Wer in seiner Firma oder seinem Homelab BeyondTrust Remote Support zur Fernwartung einsetzt, sollte JETZT nachsehen, ob der Patch schon drauf ist. Eine chinesische Spionagegruppe hat die Software monatelang als Zero-Day missbraucht, bevor der Hersteller die Lücke überhaupt öffentlich machte.
Was genau kaputt war
Die Lücke CVE-2026-102764 steckt in einer internen Messaging-Komponente von BeyondTrust Remote Support. Das Problem: Die Komponente prüft nicht ordentlich, woher eingehende Nachrichten tatsächlich stammen (CWE-290, „Improper Origin Validation“). Unter den richtigen Bedingungen reicht das einem Angreifer, um Dateioperationen direkt auf der Appliance auszuführen — ganz ohne gültiges Login. BeyondTrust selbst vergibt dafür nach CVSS-Version-4.0-Skala die Note 9,3, kritisch.
Elf Minuten von der Lücke zur Webshell
Besonders bitter: Die als „Armory Castle“ bezeichnete Gruppe — vermutlich identisch mit dem bereits bekannten China-Nexus-Akteur UNC5221 alias „Warp Panda“ — nutzte die Lücke bereits seit dem 29. August 2026 aus, also fast sieben Wochen vor der öffentlichen Warnung. Innerhalb von nur elf Minuten nach dem „Weaponizing“ der Lücke platzierten die Angreifer eine eigene PHP-Webshell namens SAWFLY, getarnt als Datei mangoapi.php.
SAWFLY ist bewusst unauffällig gebaut: Sie kommuniziert über eine eigene Base32-Kodierung kombiniert mit RC4-Verschlüsselung und reagiert nur, wenn eingehende POST-Anfragen einen ganz bestimmten Parameter enthalten. Fehlt dieser Parameter, liefert die Webshell einfach eine normale 404-Fehlerseite zurück — ein klassischer Trick, um bei automatisierten Scans oder oberflächlichen Checks unentdeckt zu bleiben.
Vom Dienstkonto zu dauerhaften Root-Rechten
Die Webshell lief zunächst nur mit einem unprivilegierten Dienstkonto. Die Angreifer missbrauchten anschließend SUID-Berechtigungen, um sich Root-Rechte zu verschaffen, und manipulierten danach die Startkonfiguration der Appliance so, dass das Dienstkonto auch nach einem Neustart oder einem Zurücksetzen der Konfiguration dauerhaft passwortlose Administratorrechte behielt. Eine einfache Neuinstallation reicht in solchen Fällen oft nicht aus, um den Zugriff wirklich zu beenden.
Patch war schon da — nur niemand wusste davon
BeyondTrust hatte den Fix als Patch BT26-05-RS bereits am 8. Oktober verteilt, die öffentliche Offenlegung der CVE folgte aber erst am 15. Oktober. Betroffen sind selbst gehostete Remote-Support-Installationen der Versionen 24.3.1 bis 26.2.3; wer eine ältere Version betreibt, muss zuerst auf eine unterstützte Version aktualisieren, bevor der Sicherheitspatch überhaupt installierbar ist. Alle SaaS-Kundeninstanzen von BeyondTrust waren laut Hersteller bereits zum 9. Oktober gepatcht.
Die US-Behörde CISA hat die Lücke am 16. Oktober in ihren „Known Exploited Vulnerabilities“-Katalog aufgenommen und setzt Bundesbehörden eine Frist bis zum 19. Oktober, um die Lücke zu schließen oder die Nutzung des Produkts einzustellen. Für alle anderen Betreiber gilt die gleiche Empfehlung — nur ohne behördliche Deadline im Nacken.
Wer die Appliance selbst betreibt, sollte nicht nur patchen, sondern auch aktiv nach Kompromittierungs-Spuren suchen: verdächtige Dateien mit Namen wie mangoapi.php, ungewöhnliche SUID-Berechtigungen und Änderungen an der Startkonfiguration sind die bekannten Fingerabdrücke von Armory Castle.