CVE-2026-102764: BeyondTrust RS wird aktiv ausgenutzt

CVE-2026-102764 (CVSS 9,3, EPSS ≥ 67. Perzentil) ist eine kritische Schwachstelle zur Umgehung der Authentifizierung in BeyondTrust Remote Support (RS). Die Schwachstelle beruht auf einer unzureichenden Origin Validation in einer internen Messaging-Komponente, und ihre Ausnutzung ermöglicht es nicht authentifizierten Angreifenden, aus der Ferne Dateioperationen auf einer betroffenen Appliance auszuführen. Die CVE wurde am 15. Oktober 2026 veröffentlicht und am nächsten Tag in die KEV-Liste der CISA aufgenommen. In einer gemeldeten Kampagne konnten Angreifende Administratorzugriff auf die RS-Anwendung erlangen und zu verwalteten Endpunkten vordringen, um sensible Daten zu stehlen.

Zu CVE-2026-102764 sind weder eine detaillierte Ursachenanalyse noch Proof-of-Concept-Exploits (PoC) öffentlich verfügbar. Zahlreiche nationale CERT-Stellen haben Warnungen zu CVE-2026-102764 und den damit verbundenen Angriffskampagnen veröffentlicht [1][2][3][4][5][6][7][8]. Darüber hinaus wurden Schwachstellen in BeyondTrust-Produkten bereits mehrfach im Greenbone-Blog behandelt, darunter die Kompromittierung des US-Finanzministeriums im Dezember 2024 und Ransomware-Angriffe früher im Jahr 2026 [9][10][11].

Globale Risikobewertung von CVE-2026-102764 in BeyondTrust Remote Support

CVSS 9,3 · KritischEPSS 1,2 % (67.)Als Zero Day ausgenutztIn CISA KEV

Grundsätzlich kann CVE-2026-102764 von nicht authentifizierten Angreifenden mit Netzwerkzugriff auf ein betroffenes Gerät ausgenutzt werden. Forensische Belege zeigen, dass die Schwachstelle als initialer Zugangspunkt für laterale Eindringvorgänge und den Diebstahl sensibler Daten genutzt wurde. Laut Mandiant wurde CVE-2026-102764 Ende August 2026 als Zero Day ausgenutzt. Das Risiko ist erhöht, da BeyondTrust RS eine Service-Desk- und Remote-Access-Plattform für Unternehmen ist. Diese Funktionen steigern die operative Bedeutung einer Kompromittierung, weil eine erfolgreiche Ausnutzung Zugriff auf Infrastruktur verschafft, die für privilegierten Fernzugriff genutzt wird.

BeyondTrust RS ist ein bekanntes Ziel für versierte Cyberangreifende [1][2][3], und CVE-2026-102764 ist der zweite CISA-KEV-Eintrag des Produkts im Jahr 2026. Der vorherige Eintrag, CVE-2026-1731 (CVSS 9,8), wird mit Ransomware-Angriffen in Verbindung gebracht. Obwohl keine PoC-Exploits öffentlich verfügbar sind, behauptet ein GitHub-Repository, privaten Zugang zu einem solchen anzubieten. Sicherheitsverantwortliche sollten das Patchen internetexponierter und intern erreichbarer, selbst gehosteter Appliances priorisieren.

Die technischen Details zu CVE-2026-102764 in BeyondTrust Remote Support

Eine detaillierte Ursachenanalyse zu CVE-2026-102764 liegt nicht vor. Die Schwachstelle wird als unzureichende Origin Validation für Nachrichten innerhalb einer internen Messaging-Komponente beschrieben, die zu einer Umgehung der Authentifizierung durch Spoofing führt [CWE-290]. Eine erfolgreiche Ausnutzung ermöglicht Dateioperationen auf der Appliance, einschließlich des Uploads beliebiger Dateien.

Ausnutzungskampagne von ARMORY CASTLE

Laut Mandiant hat ARMORY CASTLE (früher als UNC5221 geführt) CVE-2026-102764 Ende August 2026 als Zero Day ausgenutzt. Die Schwachstelle wurde genutzt, um auf BeyondTrust-RS-Appliances Fuß zu fassen, Persistenz zu etablieren [TA0003], Rechte auszuweiten [TA0004] und sich lateral zu bewegen [TA0008]. Letztlich führten die Angriffe zur Exfiltration sensibler Informationen von verwalteten Endpunkten.

Die PHP-basierte Web Shell SAWFLY [T1505.003] und der SOCKS5-Proxy-Tunneler BARECLAW sind neuartige Malware-Varianten, die bei Aktivitäten nach der Kompromittierung beobachtet wurden. Außerdem setzten die Angreifenden auf Living-off-the-Land-Techniken (LoTL) sowie auf das Löschen von Appliance-Logs [T1685.006] und anderer Artefakte [T1070.004], um einer Entdeckung zu entgehen.

Nach dem initialen Zugriff versuchten die Angreifenden, mit der nativen Binärdatei /ns/sbin/bt-secrets des Geräts Zugangsdaten zu stehlen [T1555], und meldeten sich anschließend an der RS-Anwendung an [T1078]. Die Berechtigungen des kompromittierten Kontos für Jump Items und Team wurden auf Administrator angehoben [T1098] und ermöglichten so den Zugriff auf nachgelagerte Remote-Systeme. Danach nutzten die Angreifenden die eigenen Fernverwaltungstools von BeyondTrust [T1219], um sensible Dokumente [TA0010] von den entfernten Endpunkten zu exfiltrieren. Außerdem änderten sie die HAProxy-Konfiguration des Geräts, um den WebSocket-basierten SOCKS5-Proxy BARECLAW über die öffentlich erreichbare Schnittstelle der Appliance zugänglich zu machen [T1090] und so Command and Control (C2) [TA0011] zu ermöglichen.

Betroffene Versionen und Gegenmaßnahmen für CVE-2026-102764 in BeyondTrust Remote Support

Organisationen, die selbst gehostete BeyondTrust-RS-Installationen betreiben, müssen den BT26-05-RS-Patch manuell installieren, wenn automatische Updates nicht aktiviert sind. Der Patch BT26-05-RS gilt für die Versionen 24.3.1 bis 26.2.3. Bei Versionen vor 24.3.1 müssen Nutzende zuerst ein Upgrade durchführen, bevor sie den Patch einspielen. Laut BeyondTrust teilt sich Privileged Remote Access (PRA) zwar das anfällige Codesegment, der Hersteller hat in PRA jedoch keinen ausnutzbaren Pfad identifiziert. BeyondTrust hat allerdings einen vorsorglichen Patch veröffentlicht und empfiehlt Kundschaft mit selbst gehostetem PRA, ihn umgehend einzuspielen.

Die CISA hat CVE-2026-102764 für die forensische Triage gekennzeichnet, und das Patchen sollte mit einem Compromise Assessment verbunden werden. Appliances sollten auf Anzeichen untersucht werden, die zur gemeldeten Aktivität passen, darunter unbekannte Dateien, Änderungen an Sitzungsrichtlinien oder Kontoberechtigungen, nicht erkannte Kontoaktivitäten, das Vorhandensein einer Web Shell und damit verbundener Aktivitäten, WebSocket-basiertes SOCKS5-Tunneling sowie unerklärliches Löschen von Logs.

Produkt	Betroffene Versionen	Behobene Versionen	Hinweise
BeyondTrust Remote Support, selbst gehostet	Alle Versionen <= 26.2.3	Patch BT26-05-RS für die Versionen 24.3.1 bis 26.2.3	Versionen vor 24.3.1 müssen aktualisiert werden, bevor der Patch eingespielt werden kann.

Zusammenfassung

CVE-2026-102764 ist eine aus der Ferne ausnutzbare Schwachstelle mit kritischem Schweregrad zur Umgehung der Authentifizierung in BeyondTrust RS. Die Schwachstelle wurde aktiv ausgenutzt, um auf einem anfälligen Gerät Persistenz zu etablieren, Rechte auszuweiten, sich lateral zu verwalteten Endpunkten im Netzwerk der Betroffenen zu bewegen und sensible Daten zu stehlen. Sicherheitsverantwortliche sollten umgehend selbst gehostete BeyondTrust-Remote-Support-Appliances identifizieren, auf eine gepatchte Version aktualisieren und die Appliances auf Kompromittierungsindikatoren prüfen.