חולשת אבטחה קריטית ב־BeyondTrust Remote Support כבר נוצלה כ־Zero-Day, עוד לפני שנחשפה לציבור. לפי Google Threat Intelligence Group ו־Mandiant, קבוצת ריגול המקושרת לסין ניצלה את CVE-2026-102764 בסוף אוגוסט 2026. BeyondTrust פרסמה תיקון ב־8 באוקטובר, והפרטים נחשפו ב־15 באוקטובר.
מה מאפשרת החולשה?
הפגיעה נמצאת במוצר Remote Support, שבעבר נקרא Bomgar ומשמש צוותי IT לחיבור מרחוק למחשבים ולהתקנים. לפי Google, תוקף מרוחק שאינו מזוהה יכול לבצע פעולות קבצים, לרבות העלאת קבצים שרירותית. בתרחיש מוצלח הדבר עלול להוביל לשליטה במארח ולחשיפה של אישורים שנשמרו או תווכו באמצעות המערכת.
החולשה משפיעה על כל הגרסאות הנתמכות עד 26.2.3, על פי הדיווח הטכני. BeyondTrust מסרה כי שירותי הענן שלה תוקנו אוטומטית ב־9 באוקטובר. לקוחות בהתקנה עצמית בגרסה 24.3.1 ומעלה נדרשים להחיל את התיקון BT26-05-RS; לקוחות בגרסה מוקדמת יותר צריכים קודם לשדרג לגרסה נתמכת.
מי ניצל את ה־Zero-Day?
Mandiant מייחסת את הפעילות לשחקן שכונה בעבר UNC5221 וכעת ARMORY CASTLE, ברמת ביטחון בינונית עד גבוהה ובהקשר ריגול סיני. BeyondTrust מציינת כי CrowdStrike עוקבת אחר אותה פעילות בשם WARP PANDA. החוקרים תיארו שימוש ב־webshell מותאם בשם SAWFLY ובכלי תיעול בשם BARECLAW, לצד העלאת הרשאות, התמדה, תנועה רוחבית ומחיקת לוגים.
רויטרס דיווחה כי Google מזהירה מפני אפשרות לניצול רחב יותר לאחר הפרסום. זו אינה הוכחה שכל שרת חשוף כבר נפרץ, אבל היא כן סיבה לצמצם את חלון החשיפה במהירות.
מה צוותי IT צריכים לעשות עכשיו?
- לזהות חשיפה: למפות מופעי Remote Support, גרסאות, כתובות חיצוניות והאם המערכת הייתה נגישה מהאינטרנט בתקופת הסיכון.
- להתקין את העדכון: לפעול לפי הוראות BT26-05-RS. התקנת תיקון מונעת ניצול עתידי של החולשה, אך אינה מנקה בהכרח חדירה שכבר התרחשה.
- לשמר ולבדוק ראיות: לפני מחיקה או בנייה מחדש, לשמור לוגים, קובצי מערכת ונתוני רשת. Google פרסמה אינדיקטורים ושיטות חקירה בדוח הטכני שלה.
- לבדוק אישורים: אם קיימת אינדיקציה לחשיפה או חדירה, לבחון החלפת סיסמאות, מפתחות וטוקנים שהמערכת שמרה או תיווכה. את ההחלפה יש לבצע לאחר חסימת נתיב התקיפה ובהתאם לתכנית תגובה לאירוע.
- לחפש התמדה ותנועה רוחבית: לבדוק חשבונות חדשים, משימות מתוזמנות, שירותים חריגים, קבצים שהועלו וחיבורים ממערכות סמוכות.
האירוע ממחיש מדוע מערכות גישה מרחוק הן יעד בעל ערך גבוה: הן מחברות בין זהויות, הרשאות ומחשבים רבים. בהקשר הזה, לא מספיק להסתמך על עדכון בלבד; צריך לשלב ניהול חשיפה, ניטור ושמירת לוגים. לקריאה נוספת על הצורך בתקני אבטחה סביב מערכות AI וכלים אוטונומיים, ראו גם את הכתבה על אזהרת DeepMind.
מקורות
צילום: Zeleboba / Pexels. מקור: Pexels, שימוש בהתאם לרישיון Pexels.
