أصلحت شركة BeyondTrust ثغرة يوم صفر (Zero-Day) حرجة في منتجها Remote Support استغلت منذ 29 أغسطس 2026، أي قبل نحو 40 يوماً من صدور الإصلاح في 8 أكتوبر. وقد أعلنت الشركة تفاصيل الحادثة في 15 أكتوبر بالتنسيق مع Mandiant التابعة لـ Google، التي نشرت تحليلها للهجمات في اليوم نفسه.
ورمزت الشركة إلى الثغرة بالمعرف (CVE-2026-102764 بتقييم CVSS عند 9.3) في نشرتها الأمنية BT26-05. وسببها أن مكوناً داخلياً في Remote Support لا يتحقق بما يكفي من مصدر الرسائل التي يتلقاها، فيمكن لمهاجم عن بعد، في ظروف معينة، تنفيذ عمليات على ملفات الجهاز. وتؤثر في كل إصدارات المنتج حتى 26.2.3. وتضيف Mandiant أن المهاجم لا يحتاج إلى مصادقة، وأن الاستغلال قد يقود إلى السيطرة على الجهاز والوصول إلى كل بيانات الاعتماد التي يخزنها أو يتوسط في استخدامها.
وتنسب Mandiant ومجموعة استخبارات التهديدات في Google (GTIG) الاستغلال إلى مجموعة التجسس ARMORY CASTLE، المعروفة سابقاً باسم UNC5221، ويشتبه بارتباطها بالصين، وتقول إن أدواتها وأساليبها في هذا الاختراق تتوافق مع نشاطها السابق. وتصف BeyondTrust ثقتها بهذه النسبة بأنها متوسطة إلى عالية، وتوضح أنها قائمة على السلوك لأن المجموعة تغير بنيتها وأدواتها مع كل ضحية. وتقول إن CrowdStrike يتتبع المجموعة نفسها باسم WARP PANDA.
وتذكر Mandiant، في حالة استجابة لحادث حققت فيها، أن المهاجم أرسل طلباً إلى الجهاز، وبعد نحو 11 دقيقة ظهر في مجلد الموقع web shell باسم SAWFLY. ثم رفع صلاحياته من حساب خدمة الويب إلى root بنسخة من صدفة الأوامر فعلت عليها صلاحية SUID، وقرأ الأسرار المخزنة في الجهاز، وثبت آلية بقاء، وحذف السجلات. واستعمل بعدها بيانات اعتماد مدير للدخول إلى واجهة الجهاز، فرفع صلاحيات Jump Item والفرق إلى مدير، وبدأ جلسات دعم عن بعد سحب منها مستندات مثل قوائم البرمجيات، وشغل أداة نفق باسم BARECLAW.
وتقول BeyondTrust إن الاستغلال في 29 أغسطس طال مثيلاً واحداً تستضيفه هي وجهازاً واحداً مستضافاً ذاتياً. وكشفت الأول في 28 سبتمبر بصيد استباقي للتهديدات بدأ بعد الإعلان علناً في 27 سبتمبر عن حملة يوم صفر (Zero-Day) ضد أجهزة حافة لمورد آخر، واحتوته خلال 27 دقيقة من تحديد الاختراق، وأكدت Mandiant في 30 سبتمبر ما وجدته لدى العميل الآخر. وتضيف الشركة أن أنظمتها أنذرت لحظة رفع المهاجم صلاحياته، لكن أداة الفرز الآلي في منصة كشف تابعة لطرف ثالث أغلقت الإنذارات على أنها كاذبة، وأنها تعمل مع المورد على منع الأدوات الآلية من إغلاق الإنذارات شديدة الخطورة منفردة.
وأصدرت BeyondTrust الإصلاح BT26-05-RS في 8 أكتوبر، وطبق تلقائياً على مثيلات SaaS من Remote Support وPrivileged Remote Access. أما من يستضيفون المنتج بأنفسهم فعليهم تثبيته يدوياً ما لم يكن التحديث التلقائي مفعلاً في واجهة الجهاز، وتحتاج الإصدارات الأقدم من 24.3.1 إلى ترقية أولاً. ولم تجد اختبارات الشركة طريقاً لاستغلال الثغرة في Privileged Remote Access، لكنها أصدرت له الإصلاح احتياطاً لأنه يشترك في الشيفرة المتأثرة. ولم تذكر الشركة حلاً مؤقتاً، ولم تنشر تفاصيل تقنية للثغرة حتى يثبت العملاء الإصلاح.
وتوصي Mandiant بحفظ نسخة من الجهاز بذاكرته وقرصه قبل أي تغيير، وإعادة بناء الأجهزة المؤكد اختراقها أو غير المعروفة حالتها من صورة نظيفة محدثة، وتدوير بيانات الاعتماد بعد الإصلاح أو إعادة البناء لا قبلهما، لأن التدوير المبكر يعرض بيانات الاعتماد الجديدة لمهاجم لا يزال متحكماً بالجهاز. وتنبه إلى أن الترقية تغلق الثغرة لكنها لا تعالج تعرضاً سابقاً، وترى أن من الممكن ظهور محاولات استغلال واسعة مماثلة بعد الإعلان.
وكانت سايبركاست قد تناولت في فبراير ثغرة أخرى في أنظمة BeyondTrust تحولت إلى مدخل لهجمات الفدية.
