BeyondTrust가 원격 지원 제품(Remote Support)에서 8월 말부터 공격에 악용된 심각한 취약점을 패치했다. 영향을 받는 버전은 RS 26.2.3 이하이며, 자체 호스팅 환경은 자동 업데이트가 켜져 있지 않다면 관리자가 직접 패치를 적용해야 한다.

CVE-2026-102764로 추적되는 이 인증 우회 취약점은 인증되지 않은 원격 공격자가 패치되지 않은 장치에서 파일 작업을 수행하게 할 수 있다. BeyondTrust는 10월 8일 Remote Support와 Privileged Remote Access의 서비스형 소프트웨어(SaaS) 고객에게 패치를 적용했다. Privileged Remote Access에서는 악용 경로를 확인하지 못했지만 영향을 받는 코드가 같아 패치를 배포했으며, 자체 호스팅 고객에게 즉시 적용을 권고했다고 회사는 밝혔다.

맨디언트와 구글 위협 인텔리전스 그룹(GTIG)은 의심되는 중국 연계 첩보 행위자를 ‘Armory Castle’로 추적한다. 크라우드스트라이크는 같은 행위자를 ‘Warp Panda’라고 부른다. 맨디언트에 따르면 공격자는 취약점을 이용해 초기 접근 권한을 얻고, SUID 권한을 설정해 침해한 장치에서 루트 권한으로 상승했다. 이후 Sawfly 웹셸과 Bareclaw 터널링 악성코드를 배포하고 로그를 삭제했으며, 탈취한 관리자 자격 증명으로 네트워크 내 다른 시스템에 원격 접속했다.

맨디언트는 취약한 버전으로 인터넷에 노출된 상태에서 공격 기간을 지난 장치를 검토가 끝날 때까지 잠재적 침해 대상으로 봐야 한다고 경고했다. Shadowserver는 인터넷에 노출된 BeyondTrust 원격 지원 인스턴스를 1,400개 이상 추적하지만, 이 가운데 이미 패치된 인스턴스나 허니팟이 얼마나 되는지는 공개하지 않았다.

맨디언트는 과거 Armory Castle이 시트릭스 NetScaler와 Ivanti Connect Secure 등 네트워크 경계 장비의 제로데이 취약점을 악용해 기업 네트워크에 침투했다고 설명했다. 공개적으로 취약점이 알려진 뒤에는 패치가 적용되기 전에 더 광범위한 공격을 시도할 가능성도 있다고 덧붙였다.

BeyondTrust는 전 세계 2만 곳이 넘는 고객에게 서비스를 제공하며, 고객에는 정부 기관과 포춘 100대 기업의 75%가 포함된다.