更新時間：2026/10/21 13:38:10
發佈時間：2026/10/21 13:38:09
TLP：
(White)
得對外公開散布，但不得違反著作權法等相關規定
更新說明：
一、漏洞說明[1][2]
BeyondTrust Remote Support（RS）存在訊息來源驗證不當漏洞（CVE-2026-102764，CWE-290）。由於系統內部訊息傳遞元件未妥善驗證接收訊息的來源，遠端攻擊者可能在特定條件下利用此漏洞，於受影響設備上執行檔案操作。
二、已揭露攻擊活動說明
1. CISA已納入漏洞利用清單。[3]
2. BeyondTrust確認，攻擊者於2026年8月29日利用該零時差漏洞，入侵原廠託管及客戶自行部署的Remote Support環境。
3. Mandiant將相關攻擊活動歸因於疑似與中國有關聯的威脅行為者ARMORY CASTLE（原代號UNC5221）。攻擊者於入侵後部署Webshell及通道工具，並進行權限提升、建立持續存取機制及嘗試擷取憑證等活動。[4]
三、F-ISAC彙整Mandiant所提供入侵威脅指標如附檔。
四、SSVC漏洞處置決策方法[5]
利用狀況（Exploitation）: 已遭實際利用（Active）
可否自動化利用（Automatable）: 是（Yes）
技術影響（Technical Impact）: 完全控制（Total）
▶ 漏洞資訊
⌵
名稱：
CVE-2026-102764
描述：
使用版本：CVSS 4.0-B
分析分數：9.3
參考來源：BeyondTrust
▶ 影響平台
⌵
影響平台-系統：
1. BeyondTrust Remote Support 26.2.3（含）以前版本，建議套用原廠BT26-05-RS修補程式。
註：
(1) 低於24.3.1版本須先升級至支援修補程式的版本，再套用BT26-05-RS修補程式。
(2) BeyondTrust表示，Privileged Remote Access（PRA）與Remote Support共用受影響的程式碼，但原廠內部測試尚未發現可利用此漏洞攻擊PRA的方式。原廠已基於預防考量釋出修補程式，建議自行部署PRA的單位儘速套用。
(3) BeyondTrust Remote Support SaaS環境已由原廠完成修補。
▶ 建議措施
⌵
1. 官方已發布修補程式，建議會員依據單位內漏洞管理機制進行相關作業。
2. 建議僅開放必要的遠端存取服務，限制管理介面僅允許可信任網路存取，並限制管理設備的對外連線目的地及監控進出站流量。
3. 建議檢視是否存在未經授權的管理員連線、可疑腳本檔案、帳號或權限異動，以及日誌轉送異常中斷等跡象。
4. 如發現遭入侵跡象，建議更換設備所儲存或注入的所有憑證，並檢查相關帳號是否存在異常登入活動。
▶ IoC資料欄位
⌵
| 類別 | 內容 |
|---|---|
| HASH(SHA256) | 1f19b9a27d79c11bda00a1e8faf74a7fdd683d38ccef1b60df2fd0307e3aa462 |
| HASH(SHA256) | dc14e215269a93fdbc4c1a80b984c23faf7af0911c6dbb85309796a6f2ae95fb |
▶ 參考資訊
⌵
| 編號 | 網址 | 說明 |
|---|---|---|
| 1 | https://www.beyondtrust.com/trust-center/security-advisories/bt26-05 | BeyondTrust（安全公告） |
| 2 | https://www.beyondtrust.com/blog/entry/bt26-05 | BeyondTrust（攻擊分析與應變建議） |
| 3 | https://www.cisa.gov/known-exploited-vulnerabilities-catalog | CISA |
| 4 | https://cloud.google.com/blog/topics/threat-intelligence/armory-castle-exploits-beyondtrust | Mandiant |
| 5 | https://nvd.nist.gov/vuln/detail/CVE-2026-102764 | NVD |
情資編號：
FISAC-200-202610-0010
系統目錄：
資安漏洞
資安類別：
漏洞公告 /
影響等級：
3
關鍵字：
弱點漏洞