Armory Castle, Ağustos'tan bu yana BeyondTrust Remote Support kimlik doğrulama atlama açığı CVE-2026-102764'ü istismar ediyor

Google'ın tehdit istihbaratı ekibi ve Mandiant, Armory Castle olarak izlenen ve Çin bağlantılı olduğundan şüphelenilen bir aktörün, Ağustos 2026'nın sonlarından bu yana BeyondTrust Remote Support cihazlarındaki kritik bir kimlik doğrulama atlama açığını istismar ettiğini bildiriyor. CVE-2026-102764 olarak kayıtlı olan bu açıklık, 9,3 önem derecesiyle BeyondTrust'ın BT26-05 adlı duyurusunda belgelenmiş durumda ve Remote Support 26.2.3 ile önceki sürümleri etkiliyor.

Üreticinin zaman çizelgesine göre SaaS müşterileri 8 Ekim 2026'da yamalanmış ve açık 15 Ekim'de herkese açık şekilde duyurulmuş. Kendi sunucusunda barındırılan (self-hosted) cihazlar, otomatik güncellemeler etkinleştirilmediği sürece eşdeğer bir korumaya kavuşmuyor; bu da birçok işletmeciyi elle yamalamaya bırakıyor.

Sızma nasıl gelişti

Mandiant'ın anlatımı kompakt bir ayrıcalık yükseltme yolu çiziyor. Aktör, kimlik doğrulama atlamasını ilk erişimi sağlamak için kullanmış; ardından cihazın web servis hesabından root'a, sistem kabuğunu yeni bir konuma kopyalayıp SUID izin bitini etkinleştirerek geçmiş. Buradan sonra saldırganlar komut ve kontrol için Sawfly adlı bir PHP webshell kurmuş, cihazın kendi secrets yardımcı programını kullanarak saklı kimlik bilgilerini okumuş ve Jump Items öğelerini Administrator seviyesine yükselterek下游 sistemlere karşı gerektiğinde uzak oturumlar başlatılabilmesini sağlamış.

Herkese açık kayıtlarda iki önemli boşluk var. Ne BeyondTrust ne de Google kaç kuruluşun etkilediğini açıkladı ve CVE-2026-102764'ün temel kök nedeni yayımlanmış değil.

Kurbanlar yerine erişilebilirliği ölçmek

dev.to'daki teknik bir yazı, kapsam sorusuna ağ tarafından yaklaşıyor ve 23 Ekim 2026'da çalıştırılan ZoomEye sorgularını kullanıyor. Sonuçlar, arama motoru parmak izlerinin nasıl yanıltıcı olabileceğini gösteriyor. "BeyondTrust" başlığına dayalı bir sorgu 966 varlık döndürürken, "BeyondTrust Remote Support" uygulama parmak izi sıfır sonuç verdi — bu, parmak izi verilerindeki bir kapsam sorunu, hiçbir cihazın çevrimiçi olmadığının kanıtı değil. Kardeş ürün olan Privileged Remote Access için bir parmak izi 226 varlıkla eşleşti.

Yazı ayrıca iki ürün hattında 1.400'den fazla erişilebilir BeyondTrust örneğini izleyen Shadowserver telemetrisine atıf yapıyor. Yazar bu rakamların ne anlama geldiğine dikkat ediyor: bunlar erişilebilirliği ölçüyor, açıklığı değil ve hiçbiri fiilen istismar edilmiş bir sunucuyu tanımlamıyor. Duyurudan sonra alınan anlık görüntüler ayrıca bu sürede yamalanmış ya da çevrimdışı bırakılmış cihazları kaçırıyor; ayrıca tuzak sunucuları (honeypot) ve yalnızca üreticiyi anan ilgisiz sayfaları da içeriyor.

İşletmeciler için pratik adımlar

dev.to yazısı bir triyaj sırası ortaya koyuyor. Dış adres aralıklarını geniş bir başlık sorgusuyla tarayın, sonra sonuçları kuruluşun kendi ağ bloklarına, sertifikalarına ve DNS kayıtlarına göre filtreleyin. Ayakta kalanları yapılandırma yönetimi verileriyle çapraz kontrol ederek hangi cihazların 26.2.3 veya öncesini çalıştırdığını doğrulayın, onları yamalayın ve otomatik güncellemelerin sessizce kapatılmadığından emin olun. Ağ kenarında /login ve /appliance yollarını kısıtlamak — bunu cihazın kendisi yerine güvenlik duvarında uygulayıp reddedilen istekleri kaydederek — erişilebilir yüzeyi daraltıyor.

En kesin öneri, istismar penceresi boyunca hem erişilebilir hem açık olan cihazlarla ilgili. Yazıda aktarıldığı şekliyle Mandiant'ın yönlendirmesi, böyle bir cihazı incelenene kadar ele geçirilmiş olabilecek şekilde ele almak ve uygulamada yerinde temizlik denemek yerine temiz bir imajdan yeniden kurmak. İnceleme, belleğin ve yapılandırmanın gözden geçirilmesi anlamına geliyor; yamanın uygulanmasıyla yetinmek değil.

Neden önemli

Uzaktan destek cihazları tasarımı gereği atlama noktalarıdır: birini kontrol eden, daha geniş sistemlerin içine açılan oturumları kontrol eder. Bu olayda saldırganların saklı kimlik bilgileri topladığı ve yönetici haklarıyla下游 sistemlere ulaştığı bildiriliyor; tek bir cihazın ele geçirilmesi böylece ağ genelinde bir soruna dönüşüyor. dev.to yazarı, bu sınıf cihazların üç yılda üç kez istismar edildiğine dikkat çekiyor; üretici ya da araştırmacılar kurban sayısını yayımlamadığı için, Ekim yamasından önceki bir self-hosted örneği çalıştıran her kuruluşun kendisinin o pencere içinde kaldığını varsyması gerekiyor. Erişilebilirlik taramaları ele geçirilmeyi kanıtlayamaz ama yanıtlayıcıların ilk ihtiyaç duyduğu yapıtı üretir: internetin fiilen hangi cihazlara erişebildiğinin savunulabilir bir listesini.