CISA اعلام کرده است که آسیب‌پذیری دور زدن احراز هویت CVE-2026-102764 در نسخه‌های 26.2.3 و قدیمی‌تر BeyondTrust Remote Support، که پیش‌تر Bomgar نام داشت، در حال سوءاستفاده است. سازمان‌هایی که تجهیزات خودمیزبان دارند باید وصله و بررسی احتمال نفوذ را هم‌زمان انجام دهند.
۱. نسخه و روش استقرار را مشخص کنید
ابتدا مشخص کنید Remote Support به‌صورت خودمیزبان اجرا می‌شود یا توسط BeyondTrust میزبانی می‌شود. بر اساس اطلاعیه CISA، استقرارهای SaaS اصلاح شده‌اند؛ اما تجهیزات خودمیزبان باید بررسی شوند. وصله BT26-05-RS برای نسخه‌های پشتیبانی‌شده 24.3.1 و جدیدتر در دسترس است. نسخه‌های قدیمی‌تر ابتدا باید ارتقا پیدا کنند.
۲. وصله و سطح دسترسی را اصلاح کنید
طبق راهنمای امنیتی BT26-05، وصله را اعمال کنید و دسترسی خارجی به تجهیز را فقط به سرویس‌های لازم محدود سازید. رابط‌های مدیریتی را به شبکه‌های مورد اعتماد محدود کنید و تنظیمات اتصال شبکه را برای تجهیزات خودمیزبان بازبینی کنید.
۳. نشانه‌های نفوذ را بررسی کنید
در صورت احتمال compromise، تجهیز را ایزوله کنید، از ماشین مجازی snapshot یا از تجهیز فیزیکی تصویر فارنزیک تهیه کنید و syslog و رویدادهای نشست را به SIEM ارسال کنید. لاگ‌های WAF، پراکسی معکوس و فایروال پیرامونی را نیز برای بازه در معرض خطر نگه دارید.
به نشست‌های مدیریتی ناشناس، فایل‌های اسکریپت غیرمنتظره، شکاف در لاگ‌ها یا ارسال آن‌ها، و تغییرات بدون مجوز در حساب‌ها، مجوزها و سیاست‌های نشست توجه کنید.
چرا مهم است؟
مهاجمان می‌توانند پس از دسترسی اولیه، ماندگاری ایجاد کنند، سطح دسترسی را افزایش دهند و در شبکه حرکت جانبی انجام دهند.
اقدام عملی
پس از بررسی، تجهیز را از وضعیت قابل اعتماد بازسازی کنید، وصله را اعمال کنید، تمام اعتبارنامه‌های ذخیره‌شده یا تزریق‌شده را تغییر دهید، نشست‌های فعال پشتیبانی را لغو کنید و ثبت‌نام‌های جدید MFA برای حساب‌های ممتاز را بازبینی کنید.