CISA خواستار پَچ فوری برای آسیب‌پذیری CVE-2026-102764 در BeyondTrust Remote Support
بر اساس اطلاعیه CISA، آسیب‌پذیری احراز هویت CVE-2026-102764 در BeyondTrust Remote Support (نسخه‌های 26.2.3 و قدیمی‌تر) در حال بهره‌برداری فعال است. CISA سازمان‌ها را به اعمال پچ BT26-05-RS و انجام اقدام‌های فوریتی برای بررسی و ایزوله‌سازی دستگاه‌های خود‌میزبان فراخوانده است.
اطلاعات زیر بر اساس اطلاعیه رسمی CISA منتشر شده در منبع اصلی است. هیچ پیش‌فرض فراتر از آنچه در اعلان ذکر شده انجام نشده است.
خلاصه موضوع
- CISA از وجود یک آسیب‌پذیری بحرانی احراز هویت با شناسه CVE-2026-102764 در BeyondTrust Remote Support (پیش‌تر Bomgar) اطلاع داده است. آسیب‌پذیری دستگاه‌های Remote Support نسخه 26.2.3 و قدیمی‌تر را تحت تأثیر قرار می‌دهد.
- این CVE در 16 اکتبر 2026 به فهرست Known Exploited Vulnerabilities (KEV) اضافه شده و بازیگران تهدید در حال بهره‌برداری فعال برای دسترسی اولیه، تثبیت حضور، افزایش امتیازات و حرکت جانبی گزارش شده‌اند.
اقدامات فوری اعلام‌شده توسط CISA (خلاصه شده)
- برای دستگاه‌های خود‌میزبان (on‑premises) Remote Support: فوراً پچ BT26-05-RS را اعمال کنید. توجه داشته باشید سازمان‌هایی که روی نسخه‌ای قدیمی‌تر از 24.3.1 هستند ابتدا باید به نسخه‌ای پشتیبانی‌شده (24.3.1 و بعد) ارتقا دهند تا بتوانند پچ را اعمال کنند.
- کاربران سرویس میزبانی‌شده BeyondTrust (SaaS): طبق اطلاعیه، این استقرارها قبلاً پَچ شده‌اند.
- محدود کنید: دسترسی بیرونی به دستگاه Remote Support را به سرویس‌های ضروری محدود کنید و دسترسی به رابط‌های مدیریتی را به شبکه‌های مورد اعتماد محدود نمایید.
- بررسی و فورنزیک: سازمان‌ها باید فورنزیک شبکه و حافظه برای شواهد نفوذ انجام دهند. اگر تردید به وجود نفوذ دارید، اقدامات زیر طبق CISA توصیه شده است:
- ایزوله‌سازی هر دستگاه مشکوک یا تأییدشده به‌عنوان آلوده.
- تهیه snapshot از ماشین‌های مجازی یا تصویر فارنزیکی برای دستگاه‌های فیزیکی جهت تحلیل بعدی.
- ارسال فوری syslog و رویدادهای جلسه (session events) دستگاه به SIEM و جمع‌آوری لاگ‌های مرتبط مانند وب‌اپلیکیشن‌فایروال، معکوس‌پراکسی یا لاگ‌های دیواره‌نار (perimeter firewall) برای بازه زمانی در معرض بودن.
- جستجو و تحلیل برای شاخص‌هایی از فعالیت بازیگر تهدید—مثلاً نشست‌های مدیریتی یا پرایولیجد ناشناخته، فایل‌های اسکریپت غیرمنتظره، شکاف در لاگ‌ها یا لاگ‌فورواردینگ، تغییرات غیرمجاز در حساب‌ها، مجوزها یا سیاست‌های نشست.
- بازیابی و پاک‌سازی: بازسازی از وضعیت شناخته‌شده‌خوب، اعمال پچ BT26-05-RS، و سپس چرخش (rotate) همه اعتبارنامه‌هایی که دستگاه ذخیره یا تزریق کرده است. نشست‌های پشتیبانی فعال را بازنگری و در صورت نیاز لغو کنید و ثبت‌نام‌های MFA جدید در حساب‌های پرایولیجد را بررسی نمایید.
- منابع تکمیلی که CISA به آن‌ها ارجاع داده: بیانیه امنیتی BeyondTrust (BT26-05)، پست‌های ARMORY CASTLE، راهنمای Syslog BeyondTrust، دستورالعمل‌های B Series Appliance برای امنیت درون‌سازمانی، سند BOD 26-04 برای اولویت‌بندی وصله‌ها، و بلاگ Mandiant برای راهنمایی‌های شکار و ایزوله‌سازی.
خلاصه تحلیلی مستقل (بر پایه محتوای منبع)
- سطح تهدید: بالا — درج CVE-2026-102764 در فهرست KEV و گزارش بهره‌برداری فعال نشان می‌دهد که بازیگران تهدید این آسیب‌پذیری را برای دستیابی اولیه و گسترش نفوذ مورد استفاده قرار می‌دهند. بنابراین زمان‌بندی پَچ و واکنش فوری حیاتی است.
- اولویت‌بندی: سازمان‌هایی که از استقرارهای خود‌میزبان استفاده می‌کنند در معرض بیشترین ریسک هستند؛ مشتریان SaaS طبق منبع پچ شده‌اند اما باید لاگ‌ها و کانفیگ‌های دسترسی را بازبینی کنند. دستگاه‌های روی نسخه‌های قدیمی‌تر از 24.3.1 باید ابتدا ارتقا و سپس پچ شوند.
- اقدامات دفاعی پیشنهادی (تکمیلی، منطبق با توصیه‌ها): اعمال فوری پچ، محدودسازی دسترسی شبکه‌ای و مدیریتی، افزایش جمع‌آوری و نگهداری لاگ‌ها، اجرای شکار تهدید مبتنی بر شاخص‌های ذکرشده و آماده‌سازی فرآیند بازسازی امن و چرخش اعتبارنامه‌ها. همچنین مستندسازی بازه‌های زمانی و آثرهای رخداد برای کمک به فورنزیک و گزارش‌دهی پس از حادثه.
تذکر نهایی
این خلاصه براساس اطلاعیه CISA و منابع اشاره‌شده در آن تهیه شده است. برای جزئیات فنی و دستورالعمل‌های اجرایی دقیق، به بیانیه‌های رسمی BeyondTrust و CISA مراجعه کنید.