CISA listet Zero-Day-Sicherheitslücke von BeyondTrust

Die Cybersecurity- und Infrastruktur-Sicherheitsbehörde der Vereinigten Staaten (CISA) hat am Freitag, den 16. Oktober, die CVE-2026-102764 in den Katalog der bekannten Sicherheitsanfälligkeiten (KEV) aufgenommen. Die Schwachstelle betrifft den BeyondTrust Remote Support, ein Fernzugriffstool, das von Service-Desks und verwalteten Dienstleistern verwendet wird, um auf die Maschinen von Kunden zuzugreifen. Am selben Tag gab die Behörde eine zweite Warnung heraus, in der sie die sofortige Anwendung des Patches fordert.

Die Aufnahme in den KEV zwingt die amerikanischen zivilen Bundesbehörden, das Problem innerhalb der von der CISA festgelegten Frist zu beheben. Für den privaten Sektor fungiert das Verzeichnis als die "Shortlist" dessen, was prioritär behandelt werden muss, und so wird es oft von Cyber-Risiko-Versicherern und Prüfern gelesen.

Was über die Schwachstelle bekannt ist

Laut dem BT26-05 Hinweis von BeyondTrust, der von verschiedenen Fachpublikationen zitiert wird, liegt die Schwachstelle in einem internen Messaging-Komponenten, die die Herkunft empfangener Nachrichten nicht validiert (CWE-290). Ein unautorisierter Angreifer kann ohne Authentifizierung Dateioperationen auf dem Gerät auslösen. Die Schwere der Sicherheitsanfälligkeit wird mit 9,3 im CVSS 4.0 bewertet. Alle unterstützten Versionen bis einschließlich 26.2.3 sind betroffen.

Die Zeitlinie ist das unangenehmste Detail für die Administratoren dieser Geräte. Laut dem Google Threat Intelligence Group (GTIG) und Mandiant begann die Ausnutzung am 29. August, sowohl gegen eine gehostete Instanz als auch gegen ein vor Ort installiertes Gerät. BeyondTrust veröffentlichte die Patches am 8. Oktober und machte die CVE am 15. Oktober öffentlich. Insgesamt war die Schwachstelle also etwa sechs Wochen lang ausgenutzt, bevor ein Patch verfügbar war.

Google und Mandiant führen die Kampagne auf eine mit China verbundene Spionagegruppe zurück, die sie ARMORY CASTLE nennen und zuvor als UNC5221 verfolgt wurde. CrowdStrike beobachtet denselben Akteur unter dem Namen WARP PANDA. Laut Mandiant erlangten die Angreifer Root-Rechte, installierten eigene Malware, sammelten Anmeldeinformationen, änderten Zugriffssteuerungen und verwendeten das Gerät als Ausgangspunkt für abwärtsgerichtete Systeme. Berichte verschiedener Publikationen beschreiben zudem die Löschung von Protokollen, um Spuren zu verwischen.

BeyondTrust erklärt in ihrem eigenen Hinweis, dass ihre Tests keine Möglichkeit fanden, den Privileged Remote Access, ein Produkt, das den betroffenen Code teilt, auszunutzen, hat jedoch auch für diesen vorsorglich den Patch angewendet.

Warum das Ziel wichtig ist

Fernwartungswerkzeuge sind per Design ein Master-Zugang. Wer das Gerät kontrolliert, erbt den Zugang, den der Service-Desk zu den Endpunkten jedes betreuten Kunden hat. Dies ist das Detail, das Mandiant hervorhebt, wenn sie von "downstream"-Bewegung spricht: Die Kompromittierung eines einzigen Geräts breitet sich auf die Netzwerke derjenigen aus, die ihm vertrauen.

Es ist nicht das erste Mal, dass das Produkt im Mittelpunkt eines Vorfalls mit einem Nation-State steht. Im Dezember 2024 informierte das US-Finanzministerium den Senat über einen "ernsten Vorfall": Angreifer, die zur damaligen Zeit als mit dem chinesischen Staat verbunden beschrieben wurden, hatten auf Arbeitsstationen der Behörde zugegriffen, indem sie einen API-Schlüssel des BeyondTrust Remote Support SaaS-Dienstes stahlen. Diese Wiederholung in weniger als zwei Jahren stellt eine unangenehme Frage für Aufsichtsräte und Risikokommissionen: Wie viele Tools für privilegierten Zugriff sind dem Internet ausgesetzt und wer ist dafür verantwortlich?

Die Empfehlung des GTIG ist klar. Jedes Gerät, das während des Ausnutzungszeitraums online anfällig war, sollte als potenziell kompromittiert behandelt werden, bis es überprüft wurde. Das bloße Anwenden des Patches reicht nicht aus. Die Empfehlung umfasst die Jagd nach Persistenzartefakten und die Rotation der Anmeldeinformationen, die durch das Gerät gelaufen sind.

Lektüre für IT-Dienstleister

Das Risiko konzentriert sich auf diejenigen, die Fernsupport in großem Maßstab für Dritte anbieten. In den Vereinigten Staaten ist die unmittelbare Auswirkung regulierungstechnisch: Bundesbehörden und ihre Anbieter treten in den KEV-Compliance-Zyklus ein, und private Auftragnehmer neigen dazu, von ihren Dienstleistern Nachweise über die Behebung zu verlangen.

In Indien liegt die Exposition im Liefermodell. Service-Center globaler Integratoren bedienen amerikanische und europäische Kunden von Bengaluru, Hyderabad und Pune aus, oft mit Fernzugriffstools, die vom Dienstleister selbst verwaltet werden. Ein kompromittiertes Gerät in diesem Zusammenhang gibt dem Angreifer Zugriff auf mehrere Kunden gleichzeitig, was genau dem Pivot-Muster entspricht, das Mandiant beschreibt.

In Brasilien ist der Kanal ähnlich, jedoch mit einer weiteren Verpflichtung. BPO- und Shared-Services-Operationen, die lokale Banken und Versicherer bedienen, unterliegen der LGPD und im Fall des Finanzsystems den Cybersecurity-Regeln der Zentralbank, die die Kommunikation relevanter Vorfälle erfordern. Eine Kompromittierung eines Drittanbietertools überträgt diese Verantwortung nicht auf den Anbieter.

Der gemeinsame Nenner in allen drei Märkten ist vertraglich. Die Klausel, die festlegt, wer einen Vorfall verursacht, wer ihn meldet und wer für einen Vorfall verantwortlich ist, der im Tool des Dienstleisters entsteht, wird selten mit dem Gedanken verfasst, dass es sich um einen Zero-Day handelt, der sechs Wochen lang ausgenutzt wurde, bevor es eine Warnung gab. Für den CISO des Kunden lautet die Frage dieser Woche nicht, ob der Anbieter den Patch vom 8. Oktober angewendet hat, sondern was zwischen dem 29. August und diesem Datum im Gerät passiert ist.