SECUJUNSECURITY NEWS
BeyondTrust Remote Support CVE-2026-102764 실제 악용, 원격지원 장비 침해
인증 없는 공격자가 장비에서 파일 작업을 수행할 수 있는 취약점이다. 제조사는 확인된 침해 2건과 수정 패치를 공개했고 Mandiant는 웹셸·권한 상승·내부 시스템 접근을 조사했다.
실제 악용 확인 · BT26-05 패치 제공
원문 기반 한국어 요약
BeyondTrust는 10월 15일 Remote Support(RS)의 CVE-2026-102764를 공개했다. 내부 메시지의 출처 검증이 불충분해 원격 공격자가 영향을 받는 장비에서 파일 작업을 수행할 수 있으며, CVSS v4 점수는 9.3이다. Remote Support 26.2.3 이하가 영향받는다. [1]
BeyondTrust는 8월 29일 한 SaaS 인스턴스와 한 자체 호스팅 장비에서 실제 악용이 있었다고 밝혔다. 제조사의 10월 16일 갱신 공지 기준 알려진 영향 고객은 이 두 곳이며 8월 이후의 추가 공격 활동은 확인하지 못했다. 공격 그룹과 중국 연계는 BeyondTrust·Mandiant의 평가이지 확정 신원은 아니다. [2][3]
Mandiant는 조사한 자체 호스팅 장비에서 공격자가 CVE-2026-102764를 이용한 뒤 SAWFLY 웹셸과 BARECLAW 터널을 설치하고, root 권한 상승·지속성 확보·장비 로그 삭제·관리자 권한 변조를 수행했다고 보고했다. 원격지원 세션을 통해 내부 엔드포인트에 접근해 내부 문서를 반출한 정황도 확인했다. [3]
BeyondTrust는 10월 8일 BT26-05 수정 패치를 SaaS와 자체 호스팅 고객에게 제공했고, 10월 9일 현재 Remote Support SaaS에는 모두 적용됐다고 밝혔다. 자동 업데이트를 사용하지 않는 자체 호스팅 운영자는 직접 패치를 적용해야 하며, 24.3.1보다 이전 버전은 먼저 업그레이드해야 한다. [1][2]
BeyondTrust는 Privileged Remote Access(PRA)에서 이 취약점의 악용 경로를 확인하지 못했지만 코드 일부를 공유해 예방 차원의 패치를 제공했다고 밝혔다. 영향을 받았을 가능성이 있는 Remote Support 장비는 외부로 전송된 로그와 원격지원 세션을 조사하고, 침해가 확인되면 장비가 보관·중계한 자격 증명도 교체해야 한다. [2][3]
근거: 아래 출처 [1] · [2] · [3] · 원문 전체 번역이 아닌 핵심 내용의 번역·요약
자료 확인 범위
공개된 실제 침해는 제조사가 파악한 고객 2곳과 Mandiant의 조사 사례에 관한 것이다. 전체 인터넷 노출 장비가 침해됐거나 PRA가 동일한 방식으로 악용됐다는 의미는 아니다. Mandiant의 향후 광범위 악용 가능성은 전망이며 확인된 사건으로 쓰지 않았다.
출처 및 레퍼런스
- BeyondTrustBT26-05발표·갱신: 2026-10-15 · 확인: 2026-10-17
제조사 권고에서 CVE, CVSS, 영향 버전, SaaS·자체 호스팅 패치 상태와 수정 경로를 확인했다.
- BeyondTrust Security TeamARMORY CASTLE and BT26-05: What Security Teams Need to Know발표·갱신: 2026-10-16 갱신 · 확인: 2026-10-17
제조사의 침해 타임라인, 알려진 고객 2곳, PRA의 예방적 패치, 대응·로그·자격 증명 권고를 확인했다.
- Google Threat Intelligence Group · MandiantARMORY CASTLE Exploits BeyondTrust발표·갱신: 2026-10-15 · 확인: 2026-10-17
사고 조사 원문에서 악용·웹셸·터널·권한 상승·로그 삭제·내부 세션 사용과 조사·완화 방법을 확인했다.
이 게시물 작성에 직접 사용한 출처 전체입니다.