谷歌警告 BeyondTrust 嚴重漏洞可能遭大規模利用 呼籲企業立即加強防護

BeyondTrust 嚴重漏洞引發更大範圍攻擊風險擔憂

谷歌警告企業，應為 BeyondTrust Remote Support 設備中的一項嚴重漏洞可能遭到大規模利用做好準備。相關設備主要用於幫助企業 IT 團隊安全地遠程訪問終端設備並提供技術支持。

Google Threat Intelligence Group（GTIG）與網路安全公司 Mandiant 於 2026 年 10 月 15 日發布的安全報告指出，調查人員發現，攻擊者在該漏洞公開披露之前，已經利用相關弱點發動攻擊。

該漏洞編號為 CVE-2026-102764。成功利用這一漏洞可能讓攻擊者未經授權上傳文件，並進一步取得受影響設備的控制權。

這一問題尤其值得關注，因為遠程支持系統通常具備訪問其他設備及企業內部環境的權限。一旦相關設備遭到入侵，攻擊者便可能以此為切入點，進一步滲透企業網路、接觸敏感資訊，或嘗試訪問更多內部系統。

谷歌此次發出的警告再次凸顯，企業必須及時處理安全基礎設施中的嚴重漏洞，特別是在已有證據顯示攻擊者成功利用相關弱點的情況下。

漏洞可能如何影響企業系統？

BeyondTrust Remote Support 前身為 Bomgar，是一種企業級遠程支持解決方案，供 IT 團隊遠程訪問終端設備及提供技術協助。

如果攻擊者成功入侵存在漏洞的設備，便可能上傳惡意文件，並在受影響系統中建立立足點。根據谷歌與 Mandiant 的調查，攻擊者隨後還使用了其他技術，以提升系統權限並維持對設備的訪問。

調查人員發現，攻擊活動涉及名為 SAWFLY 的網頁後門程序（webshell），以及名為 BARECLAW 的隧道工具。此外，攻擊者據報還刪除了日誌和其他活動痕跡，以增加安全團隊發現入侵行為的難度。

這些情況說明，遠程訪問設備遭入侵所造成的影響，可能遠遠超出最初的漏洞本身。取得初始訪問權限後，攻擊者可能進一步維持長期控制、規避安全監測，並嘗試進入受影響設備能夠訪問的其他系統。

因此，使用遠程支持軟體的企業不應只確認設備是否存在漏洞，也應檢查在安裝安全更新之前，系統是否已經出現可疑活動。

谷歌指出一個受到懷疑的威脅組織

谷歌與 Mandiant 將此次觀察到的攻擊活動歸因於一個名為 ARMORY CASTLE 的威脅行為者。根據兩家機構的評估，該組織疑似與中華人民共和國有關聯，此前曾以 UNC5221 的名稱受到追蹤。

谷歌指出，攻擊者展現了對 BeyondTrust 設備內部架構的深入了解，包括專有命令行工具、啟動配置模板，以及本地反向代理路由機制。

不過，威脅歸因通常建立在情報評估及現有技術證據之上。相關判斷不應被解讀為中國企業或中國個人普遍參與此類活動的證據。

此次事件的核心安全問題，在於企業級產品遭到漏洞利用，以及相關技術細節公開後，其他威脅行為者可能嘗試發動類似攻擊。

谷歌指出，ARMORY CASTLE 過去曾利用暴露於網路的設備漏洞發動攻擊，因此在此次漏洞披露後，也存在類似活動擴大的可能性。當漏洞細節公開後，更多攻擊者可能研究相關技術資料、嘗試重現攻擊手法，使尚未完成修補的企業面臨更大壓力。

為什麼企業需要防範更大範圍的漏洞利用？

遠程訪問設備之所以容易成為攻擊目標，是因為它們負責連接技術支持人員與其管理的系統。根據企業的網路架構及訪問權限設置，一台設備遭到入侵後，可能為攻擊者提供接觸敏感內部資源的機會。

當漏洞公開披露後，相關風險可能進一步上升。攻擊者可以研究公開的技術資料、比較存在漏洞與已修補的軟體版本，並嘗試重現漏洞利用方法。

直接暴露於網路的設備、補丁更新流程緩慢的企業，以及安全監測能力有限的組織，都可能面臨較高風險。

谷歌的警告並不意味著所有使用 BeyondTrust 的企業都已經遭到入侵，而是提醒組織應儘快確認自身受到影響的程度，減少漏洞被利用的機會，並調查是否存在可疑活動。

企業應採取哪些安全措施？

谷歌強烈建議企業評估自身受到影響的程度，並安裝 BeyondTrust 提供的 BT26-05 安全補丁。

安全團隊應優先採取以下措施：

• 立即安裝安全補丁： 確認企業使用的 BeyondTrust Remote Support 設備是否受到影響，並儘快安裝供應商建議的更新。

• 檢查設備暴露情況： 確認哪些設備可以從網路訪問，以及這些設備在已知攻擊活動發生期間是否存在漏洞。

• 調查可疑活動： 檢查相關設備日誌、身份驗證記錄、文件上傳記錄及其他可能反映未經授權訪問的跡象。

• 檢查是否存在持續控制機制： 留意異常文件、網頁後門程序、隧道工具、配置變更或其他可疑修改。

• 加強訪問控制： 儘可能將遠程管理接口限制在可信網路範圍內，並僅允許獲授權的用戶訪問。

• 監測關聯繫統： 如果懷疑設備已經遭到入侵，應進一步調查其他可能因設備訪問權限而受到影響的系統及憑證。

• 遵循供應商指引： 參考 BeyondTrust 官方安全公告及修復說明，確認受影響系統已經得到妥善保護。

如果懷疑係統已遭入侵，企業應按照既定的事件響應流程採取行動，妥善保存相關證據，並考慮尋求專業事件響應團隊的協助。

來源：金色財經

發佈者對本文章的內容承擔全部責任
在投資加密貨幣前，請務必深入研究，理解相關風險，並謹慎評估自己的風險承受能力。不要因為短期高回報的誘惑而忽視潛在的重大損失。