ثغرة صفرية في BeyondTrust Remote Support تستغلها قراصنة صينيون

استخدمت مجموعة متقدمة من التهديدات الدائمة المرتبطة بالصين، تُعرف باسم Armory Castle، ثغرة حرجة في BeyondTrust Remote Support للحصول على وصول أولي إلى شبكات الشركات. تم تحديد الثغرة باسم CVE-2026-102764، وحصلت على تقييم 9.3 على مقياس CVSS، وقد استُغلت لأول مرة في أواخر أغسطس 2026، وظلت نشطة في هجمات صفرية منذ ذلك الحين. أصدرت BeyondTrust تصحيحاً يوم الخميس، محذرةً العملاء من أن الثغرة تتيح للمهاجمين تجاوز التحقق من المصدر الداخلي في مكون رسائل Remote Support، مما يسمح بتنفيذ الأكواد عن بُعد والاستيلاء الكامل على الخادم.

• استغل Armory Castle الثغرة CVE-2026-102764 لإطلاق هجمات، ونشر أدوات مخصصة، وحذف السجلات.
• الثغرة، بتقييم CVSS يبلغ 9.3، لا تزال نشطة في هجمات صفرية منذ أغسطس 2026.
• أصدرت BeyondTrust تصحيحاً وحثت جميع المستخدمين على التحديث فوراً لمنع المزيد من الاختراق.

الجدول الزمني للهجوم والتكتيكات

وفقاً لموقع The Hacker News، بدأت المجموعة باستغلال الثغرة في أواخر أغسطس 2026. تم تحقيق الوصول الأولي عبر خادم Remote Support، وبعد ذلك نشر Armory Castle أدوات مخصصة للحفاظ على الوجود المستمر. كما قام المهاجمون بحذف السجلات والأدلة الجنائية الرقمية الأخرى لإخفاء آثارهم. أبلغت SecurityWeek عن أن المجموعة استخدمت CVE-2026-102764 للحصول على قدم راسخة قبل التحرك جانبياً داخل بيئات الضحايا.

التفاصيل التقنية للثغرة

تتعلق الثغرة بفحص غير صحيح للتحقق من المصدر داخل مكون الرسائل الداخلي في BeyondTrust Remote Support (المعروف سابقاً باسم Bomgar). يمكن للمهاجمين إرسال رسائل مصممة خصيصاً لتجاوز التحقق، مما يتيح لهم تنفيذ أكواد عشوائية على الخادم. تم تصنيف الثغرة بدرجة 9.3 على مقياس CVSS، مما يشير إلى احتمال مرتفع للاستغلال وأثر شديد.

رد فعل BeyondTrust

حذرت BeyondTrust عملاءها يوم الخميس من أن الثغرة الحرجة قد استُغلت في هجمات صفرية منذ أواخر أغسطس. أصدرت الشركة تصحيحاً وحثت جميع المستخدمين على تطبيقه فوراً. يعالج التصحيح مشكلة التحقق من المصدر ويغلق سطح الهجوم الذي كانت تستغله مجموعة التهديد الدائم.

التداعيات على مستخدمي Remote Support

تواجه المؤسسات التي تعتمد على BeyondTrust Remote Support للإدارة عن بُعد واستكشاف الأخطاء وإصلاحها خطراً إذا لم تطبق التحديث الأخير. تتيح الثغرة للمهاجمين الاستيلاء الكامل على خادم Remote Support، مما قد يمنحهم وصولاً إلى جميع الأنظمة المُدارة من خلال المنصة. يجب على فرق تقنية المعلومات التأكد من أن جميع حالات Remote Support تعمل بالإصدار المُصحح، ومراجعة السجلات بحثاً عن علامات النشاط غير المصرح به.

ماذا بعد؟

ينصح الخبراء الأمنيون المؤسسات بإجراء تدقيق شامل لأدوات الدعم عن بُعد لديها، والتأكد من تحديث جميع البرامج. يُتوقع أن تصدر BeyondTrust إرشادات إضافية حول اكتشاف الهجوم والتخفيف من حدته. في غضون ذلك، يراقب مجتمع الأمن السيبراني الأوسع أي استغلال إضافي لثغرات أجهزة الحافة المماثلة، كما أبرزتها الحوادث الأخيرة التي شملت Ivanti وCisco وPalo Alto Networks.