BeyondTrust Remote Support CVE-2026-102764: Zero-Day seit August ausgenutzt

Hinweis: Dieser Beitrag wurde mit KI-Unterstützung erstellt und automatisiert veröffentlicht.

Eine Appliance für Fernwartung ist der bequemste Weg in ein Firmennetz – für Admins und für Angreifer. Genau dort sitzt die kritische Lücke CVE-2026-102764: BeyondTrust Remote Support (früher Bomgar) wurde seit Ende August als Zero-Day angegriffen. Seit dem 15. Oktober 2026 ist die Lücke öffentlich, seit dem 16. Oktober steht sie im KEV-Katalog der US-Behörde CISA. Wer eine selbst gehostete Appliance betreibt, hat jetzt keine Woche Zeit mehr.

Was an der Lücke in BeyondTrust Remote Support gefährlich ist

Laut Hersteller-Advisory BT26-05 liegt der Fehler in einer internen Messaging-Komponente, die die Herkunft eingehender Nachrichten nicht ausreichend geprüft hat (CWE-290). Folge: Ein entfernter Angreifer kann ohne Anmeldung Dateioperationen auf der Appliance ausführen. Der CVSSv4-Wert des Herstellers liegt bei 9.3, Einstufung „Critical“; das NVD bewertet die Lücke zusätzlich mit 9.8 nach CVSS 3.1 – das ist die Zahl, die in vielen Scannern und Tickets landet. Betroffen sind laut BeyondTrust alle Versionen von Remote Support bis einschließlich 26.2.3.

Den Patch BT26-05-RS gibt es für die Versionen 24.3.1 bis 26.2.3. Wer älter unterwegs ist, muss zuerst aktualisieren und kann den Patch erst danach einspielen. SaaS-Instanzen hat BeyondTrust selbst gepatcht – der Patch ging laut Hersteller-Blog am 8. Oktober raus, das Advisory nennt für die SaaS-Flotte den 9. Oktober. Für Privileged Remote Access (PRA) hat BeyondTrust einen Patch nachgeschoben, obwohl eigene Tests dort keinen ausnutzbaren Weg fanden: PRA teilt den betroffenen Code.

AD-Checkliste

Dein AD härten: 12 Sofortmaßnahmen

Das PDF mit Bordmitteln, PowerShell-Prüfbefehlen und 30-Tage-Reihenfolge – per Mail, sobald du deine Anmeldung zum Tech-&-Tacheles-Newsletter bestätigst.

E-Mail-Adresse *

Mit der Anmeldung erhältst du die AD-Checkliste als PDF und danach den Tech-&-Tacheles-Newsletter mit Einordnungen zu Security, KI und Crypto sowie gelegentlichen Hinweisen auf meine Bücher und Produktempfehlungen (auch Affiliate-Links) – eingetragen bist du erst nach Klick auf den Bestätigungslink in der E-Mail (Double-Opt-in). Ich werte aus, ob du den Newsletter öffnest und Links anklickst, um ihn zu verbessern. Abmeldung jederzeit über den Link in jeder E-Mail, Details in der Datenschutzerklärung.

Zeitlinie: sechs Wochen unentdeckt, 27 Minuten bis zur Eindämmung

• 29. August 2026: Angriff als Zero-Day gegen genau zwei Instanzen – eine SaaS- und eine selbst gehostete Appliance.
• 27. September: Eine öffentlich gewordene Zero-Day-Kampagne gegen einen anderen Appliance-Hersteller und ein unspezifischer Hinweis von Mandiant lösen eigene Hunts aus.
• 28. September: Diese Hunts finden den Vorfall; Eindämmung 27 Minuten nach Erkennung.
• 8. Oktober: Patch-Auslieferung.
• 15. Oktober: koordinierte Veröffentlichung von CVE, Advisory und der Mandiant-Analyse.
• 16. Oktober: Aufnahme in den CISA-KEV-Katalog (Frist für US-Bundesbehörden: 19. Oktober), dazu ein eigener CISA-Hinweis mit Forensik-Empfehlungen.

BeyondTrust ordnet die Aktivität mit mittlerer bis hoher Zuversicht dem China-nahen Akteur zu, den Mandiant und die Google Threat Intelligence Group als UNC5221 kennen und nun ARMORY CASTLE nennen; laut BeyondTrust führt CrowdStrike denselben Cluster als WARP PANDA. Nach der Analyse setzt der Akteur eine Web-Shell, arbeitet interaktiv darüber, kommt über Wohn- und VPN-Anschlüsse, eskaliert binnen Minuten zu Admin-Rechten, liest gespeicherte Zugangsdaten aus und löscht am Ende seine Spuren.

Was das für dich bedeutet

Der eigentliche Schaden einer solchen Lücke ist nicht die Appliance, sondern was sie verwahrt. Ein Fernwartungssystem hält privilegierte Zugangsdaten vor, spielt sie in Sitzungen ein und dokumentiert nebenbei, wer auf welchem Server etwas zu tun hat. Aus Identity-Sicht ist das ein zweites Tier-0-System neben dem Active Directory – meist ohne dessen Aufmerksamkeit im Monitoring. Wer nur patcht, hat die Tür zugemacht und übersieht, dass jemand schon im Raum sitzen könnte: Für kompromittierte Appliances empfiehlt CISA ausdrücklich Neuaufbau aus einem bekannt guten Stand, nicht Nachbessern.

Bemerkenswert und wenig beachtet ist ein zweites Detail aus dem Hersteller-Bericht: Die eigenen Sensoren haben beim Rechte-Eskalieren in Echtzeit ausgelöst – die automatische Triage einer Drittanbieter-Plattform schloss die Meldungen als Fehlalarm. Das ist das Muster, an dem in der Praxis die meisten Angriffe lange unentdeckt bleiben. Für kleine Betriebe ohne SOC heißt das: Eine zugekaufte Erkennung ist eine Meinung, kein Urteil. Kein Automat darf hochstufige Signale alleine abschließen.

Praxis: fünf Schritte in dieser Woche

• Patchen. Self-hosted Remote Support auf den Stand BT26-05-RS bringen; Versionen vor 24.3.1 vorher aktualisieren. Automatische Updates im /appliance-Interface prüfen statt annehmen.
• Angriffsfläche verkleinern. Nur das nach außen offen lassen, was Nutzer und Kunden wirklich brauchen; Admin-Oberflächen auf vertraute Netze begrenzen.
• Logs von der Box holen. Syslog und Sitzungsereignisse zeitnah ins SIEM. Wer Protokolle löscht, löscht nur die lokalen.
• Nach Verhalten jagen, nicht nach Indikatoren. Unbekannte privilegierte Sitzungen aus Consumer- oder VPN-Netzen, neue Skriptdateien in Web-Verzeichnissen, Änderungen an Jump-Items oder Teams, Lücken in der Log-Weiterleitung innerhalb einer Sitzung.
• Zugangsdaten als verbrannt behandeln. Alles rotieren, was die Appliance gespeichert oder eingespielt hat, aktive Sitzungen widerrufen – und neue MFA-Registrierungen auf privilegierten Konten gegenprüfen. Wer privilegierte Konten dauerhaft absichern will, kommt um phishing-resistente Verfahren nicht herum; welche Hardware dafür taugt, steht in meinem Ratgeber zu FIDO2-Hardware-Security-Keys.

Das Muster wiederholt sich: Edge- und Fernzugriffs-Geräte sind die bevorzugte Eintrittstür, und nach der Veröffentlichung folgt auf den gezielten Zero-Day die Breitenausnutzung aller ungepatchten Instanzen. Mandiant warnt ausdrücklich davor, dass genau das nach dieser Offenlegung ansteht. Dasselbe lief vor wenigen Tagen beim Ivanti Connect Secure Zero-Day CVE-2026-104935. Die Frage ist nicht, ob die nächste Appliance-Lücke kommt, sondern wie lange bei dir ein Patch ungenutzt liegen bleibt.

Quellen

• CISA: Urges Patching Critical Vulnerability in BeyondTrust Remote Support (16.10.2026)
• BeyondTrust Security Advisory BT26-05 (15.10.2026)
• BeyondTrust: ARMORY CASTLE and BT26-05 – What Security Teams Need to Know
• NVD-Eintrag zu CVE-2026-102764