Unzureichende Ursprungsprüfung in BeyondTrust Remote Support ermöglicht Dateioperationen ohne Authentifizierung (CVE-2026-102764)

Was passiert ist

CVE-2026-102764 ist eine Schwachstelle durch unzureichende Ursprungsprüfung in Komponenten der internen Nachrichtenübermittlung von BeyondTrust Remote Support. Die betroffenen Komponenten haben die Herkunft der empfangenen Nachrichten nicht ausreichend überprüft. Unter geeigneten Bedingungen kann ein Angreifer, der die Appliance über das Netzwerk erreichen kann, Dateioperationen auf ihr durchführen, ohne dass eine Authentifizierung oder Benutzerinteraktion erforderlich ist. Der CVSS-4.0-Basiswert liegt bei 9,3 (kritisch).

Sowohl der KEV-Katalog der CISA als auch CISA SSVC und ENISA EUVD dokumentieren eine aktive Ausnutzung. ENISA dokumentiert eine Ausnutzung seit dem 16. Oktober 2026. Für diese CVE ist keine korrigierte Version aufgeführt.

Wer betroffen ist

Betroffen ist BeyondTrust Remote Support in allen Versionen bis einschließlich 26.2.3. Dabei handelt es sich um das Appliance-basierte Produkt BeyondTrust Remote Support. Wenn Sie Remote Support als aus dem Internet erreichbaren Dienst oder als internen Zugangspunkt für Remote-Support-Sitzungen betreiben, stufen Sie es als betroffen ein. Es ist kein korrigiertes Release aufgeführt.

Was jetzt zu tun ist

Für diese CVE sind weder eine korrigierte Version noch ein Sicherheitspatch bekannt. Stufen Sie die Schwachstelle als aktiv ausgenutzt ein.

1. Setzen Sie die in der KB0024066 von BeyondTrust und im Blog-Eintrag BT26-05 genannten Schutzmaßnahmen des Herstellers um. Befolgen Sie dort die aktuellen Anweisungen.
2. Ermitteln Sie, welche Appliances von BeyondTrust Remote Support aus dem Internet oder aus nicht vertrauenswürdigen Netzwerken erreichbar sind, und beschränken Sie den Zugriff auf vertrauenswürdige Verwaltungs- und Benutzernetze.
3. Wenn die Schutzmaßnahmen des Herstellers nicht angewendet werden können, folgen Sie der im KEV von CISA geforderten Maßnahme: Wenden Sie die Leitlinien aus BOD 26-04 und die zugehörigen Anforderungen für die forensische Triage an, oder stellen Sie die Nutzung des Produkts ein.
4. Schließen Sie die geforderte Maßnahme bis zu der von CISA gesetzten Frist am 19. Oktober 2026 ab.
5. Überwachen Sie betroffene Appliances auf unerwartete Dateioperationen und Verbindungen.

Wie man es erkennt

Überwachen Sie Appliances von BeyondTrust Remote Support auf unerwartetes Erstellen, Ändern oder Löschen von Dateien, insbesondere bei Geräten, die aus dem Internet erreichbar sind. Prüfen Sie die Netzwerkzugriffsprotokolle auf unerwartete Verbindungen, da die Schwachstelle ohne Anmeldedaten über das Netzwerk erreichbar ist. Der CVE-Eintrag und der KEV-Eintrag der CISA nennen keine spezifischen Kompromittierungsindikatoren.

Über den Patch hinaus

Da CISA KEV und ENISA EUVD eine aktive Ausnutzung dokumentieren und keine korrigierte Version aufgeführt ist, haben Erkennung und Reaktion unmittelbare Priorität. Mit Managed Detection and Response können wir die betroffenen Appliances auf Aktivitäten nach einer Ausnutzung der Schwachstelle überwachen. Mit Virtual CISO Services unterstützen wir Sie dabei, aus dem Internet erreichbare Bereitstellungen von BeyondTrust Remote Support zu identifizieren und deren Angriffsfläche zu verringern, bevor diese Art von Schwachstelle ausgenutzt werden kann.