BeyondTrust远程支持产品零日漏洞遭利用，边缘设备漏洞频发态势延续

在高危且已遭积极利用的边缘设备漏洞接连曝光的一周里，又一起攻击事件浮出水面：被Mandiant追踪为Armory Castle（曾用名UNC5221，又称UTA0178）的威胁行为者，自2026年8月29日起将BeyondTrust远程支持设备中的一个严重漏洞作为零日漏洞加以利用。该漏洞编号为CVE-2026-102764，CVSS评分为9.3，源于一个内部消息组件未能正确验证传入消息的来源。远程支持是IT团队用于远程连接和控制计算机与服务器的工具，攻击者利用该漏洞后也获得了大致相同的能力。BeyondTrust称拥有逾2万家客户，包括财富100强中的75家；今年早些时候，研究人员曾发现约1.1万个暴露在互联网上的远程支持实例。据Mandiant与谷歌威胁情报小组的报告，攻击者在将漏洞武器化仅11分钟后便部署了新的定制PHP网页后门SAWFLY，随后直奔设备内置的机密管理数据库，系统性搜寻密码、API密钥和终端凭据，并导出全部管理员凭据。其后，攻击者通过脚本建立持久化，删除系统、Web服务器和应用日志以对抗取证，将权限从普通服务账户提升至完全管理员，进而向下游系统发起远程会话、开展内网侦察，并从受害者桌面窃取敏感内部文件，还启用了另一款用于SOCKS5隧道的新工具BARECLAW。Mandiant认为，攻击者对BeyondTrust的技术细节有深入了解。BeyondTrust已于10月9日发布补丁，敦促本地部署用户尽快更新。研究人员建议首先打补丁，其次可隔离高风险设备，或采取网络限制、凭据轮换、权限最小化等补偿性控制措施。同一周内，Ivanti Connect Secure、思科安全邮件网关及Palo Alto Networks的PAN-OS也相继曝出已遭利用的严重漏洞。Bambenek Consulting总裁John Bambenek表示，此类漏洞如今几乎每月都会出现，企业应联合起来要求厂商认真对待安全问题。