Skip to content
arrow-alt-circle-up icon

Cyber Incident?

arrow-alt-circle-up icon

Call 00800 1744 0000

arrow-alt-circle-up icon

See all Threat Responses

Dutch follows English

A critical vulnerability in BeyondTrust Remote Support has been actively exploited by attackers as a zero-day. This security flaw allows unauthorized individuals to remotely place or modify files on affected systems without any authentication [1].
 
Description
BeyondTrust Remote Support contains a critical vulnerability (CVE-2026-102764) that affects how the software validates messages between its internal components. The vulnerability exists within internal components of Remote Support. The components did not adequately validate the origin of the messages it received. Under the right conditions, this could be used to perform file operations on the appliance.
 
Impact
We estimate the impact of this vulnerability as high. An attacker can remotely access your BeyondTrust Remote Support systems and place or modify files without needing any credentials. This could lead to complete system compromise, data theft, or further attacks on your network. All Remote Support versions up to and including 26.2.3 are affected.
 
Risk
We estimate the risk of this vulnerability as high. BeyondTrust has confirmed that attackers are already actively exploiting this vulnerability in the wild as a zero-day [3, 4]. The vulnerability has a CVSS score of 9.3 out of 10, indicating severe risk. Any organization using affected versions of BeyondTrust Remote Support is at immediate risk of compromise.
 
Mitigation
BeyondTrust has released patch BT26-05-RS [2] for Remote Support versions 24.3.1 through 26.2.3. If you are running older self-hosted versions, you must first upgrade to a supported version before applying the patch. Northwave strongly advises applying this security update urgently.BeyondTrust SaaS customers have already been patched, and no further action is required.
 
What should you do?
If you use BeyondTrust Remote Support, you should take immediate action.
  1. Identify all systems running Remote Support versions up to 26.2.3.
  2. Apply the BT26-05-RS [2] patch as soon as possible.
  3. Investigate your systems for signs of compromise, as this vulnerability has already been exploited by attackers. BeyondTrust customers can request a threat hunting package for this actor, which includes hunts mapped to Remote Support and Privileged Remote Access telemetry, via BeyondTrust trust portal.
  4. When any threat hunt findings based on the packages from BeyondTrust:
    1. quickly rotate every credential the appliance stored or injected. Watch for those accounts authenticating outside a managed session or from unfamiliar locations.
    2. Review new multi-factor registrations on privileged accounts.
    3. Image the appliance before you rebuild it.
If you believe you have evidence of exploitation of the vulnerability, contact BeyondTrust with a Sev 1 support request that cites “BT26-05” and inform Northwave for investigation support.
 
What will Northwave do
Northwave MDR hunted for publicly available Indicators of Compromise in customer environments [4]. Additional we will keep monitoring for exploitation attempts on vulnerabilities.

E-mail: soc@northwave-cybersecurity.com
Do you have an incident right now? Call our Incident Response Team: 00800 1744 0000
 
Disclaimer applies, see below.
 

 

 

Een kritieke kwetsbaarheid in BeyondTrust Remote Support wordt actief misbruikt door aanvallers als een zero-day. Deze beveiligingsfout stelt ongeautoriseerde personen in staat om op afstand bestanden te plaatsen of te wijzigen op getroffen systemen zonder enige vorm van authenticatie. [1]
 
Beschrijving
BeyondTrust Remote Support bevat een kritieke kwetsbaarheid (CVE-2026-102764) die invloed heeft op de manier waarop de software berichten tussen interne componenten valideert. De kwetsbaarheid bevindt zich in interne onderdelen van Remote Support. Deze componenten controleerden onvoldoende of ontvangen berichten afkomstig waren van een legitieme bron. Onder bepaalde omstandigheden kan dit worden misbruikt om bestandsbewerkingen uit te voeren op het appliance-systeem.
 
Impact
Wij schatten de impact van deze kwetsbaarheid in als hoog. Een aanvaller kan op afstand toegang krijgen tot uw BeyondTrust Remote Support-systemen en bestanden plaatsen of wijzigen zonder dat hiervoor inloggegevens nodig zijn. Dit kan leiden tot volledige compromittering van systemen, diefstal van gegevens of verdere aanvallen binnen uw netwerk. Alle versies van Remote Support tot en met 26.2.3 zijn kwetsbaar.
 
Risico
Wij schatten het risico van deze kwetsbaarheid in als hoog. BeyondTrust heeft bevestigd dat aanvallers deze kwetsbaarheid momenteel actief misbruiken als zero-day. [3, 4] De kwetsbaarheid heeft een CVSS-score van 9,3 op 10, wat wijst op een ernstig risico. Organisaties die getroffen versies van BeyondTrust Remote Support gebruiken, lopen direct gevaar slachtoffer te worden van een compromittering.
 
Mitigatie
BeyondTrust heeft de patch BT26-05-RS [2] uitgebracht voor Remote Support-versies 24.3.1 tot en met 26.2.3. Indien u een oudere on-premises (self-hosted) versie gebruikt, dient u deze eerst te upgraden naar een ondersteunde versie voordat u de patch kunt installeren.Northwave adviseert met klem om deze beveiligingsupdate met spoed toe te passen.Voor klanten die gebruikmaken van de BeyondTrust SaaS-oplossing is de patch reeds uitgerold. Hiervoor zijn geen verdere acties vereist.
 
Wat moet u doen?
Maakt u gebruik van BeyondTrust Remote Support, neem dan onmiddellijk de volgende maatregelen:
  1. Identificeer alle systemen waarop Remote Support-versies tot en met 26.2.3 draaien.
  2. Installeer zo snel mogelijk de BT26-05-RS-patch [2].
  3. Onderzoek uw systemen op tekenen van compromittering, aangezien deze kwetsbaarheid reeds actief wordt misbruikt. BeyondTrust-klanten kunnen via het BeyondTrust Trust Portal een threat hunting-pakket aanvragen voor deze dreigingsactor. Dit pakket bevat detecties die zijn afgestemd op de telemetrie van Remote Support en Privileged Remote Access.
  4. Indien uit de threat hunting-resultaten blijkt dat er mogelijk misbruik heeft plaatsgevonden:
    1. Roteer direct alle wachtwoorden en andere referenties die door het appliance-systeem zijn opgeslagen of geïnjecteerd,
    2. Controleer op authenticaties van deze accounts buiten beheerde sessies of vanaf onbekende locaties, nderzoek nieuwe multi-factor authenticatie (MFA)-registraties op geprivilegieerde accounts.
    3. Maak een forensische kopie (image) van het appliance-systeem voordat u deze opnieuw opbouwt.
Indien u aanwijzingen heeft dat de kwetsbaarheid is misbruikt, neem dan contact op met BeyondTrust via een Sev 1-supportverzoek onder vermelding van “BT26-05” en informeer tevens Northwave voor ondersteuning bij het onderzoek.
 
Wat doet Northwave?
Het Northwave MDR-team heeft binnen klantomgevingen actief gezocht naar publiek beschikbare Indicators of Compromise (IoC's) die gerelateerd zijn aan deze kwetsbaarheid. [4] Daarnaast blijven wij monitoren op pogingen om deze en andere kwetsbaarheden te misbruiken.
Heeft u op dit moment een incident? Neem dan contact op met ons Incident Response Team via: 00800 1744 0000
 
 
Disclaimer van toepassing, zie hieronder.


Disclaimer

Northwave has made every effort to make this information accurate and reliable. However, the information provided is without warranty of any kind and its use is at the sole risk of the user. Northwave does not accept any responsibility or liability for the accuracy, content, completeness, legality or reliability of the information provided. We will not be liable for any loss or damage of whatever nature, direct or indirect, consequential or other, whether arising in contract, tort or otherwise, which may arise as a result of your use of, or inability to use, this information or any additional information provided by us in direct or indirect relation to the information provided here.
.