BeyondTrust Remote Support: Aktiv ausgenutzte Lücke CVE-2026-102764

Eine kritische Schwachstelle in BeyondTrust Remote Support wird bereits aktiv ausgenutzt. Über die Lücke CVE-2026-102764 (CVSS 9.3) können nicht angemeldete Angreifer aus der Ferne Dateien auf der Appliance ablegen und damit das Gerät übernehmen. Das BSI hat über CERT-Bund eine Warnung (WID-SEC-2026-4001) herausgegeben. Weil solche Fernwartungs-Systeme oft von IT-Dienstleistern für den Zugriff auf Kundennetze genutzt werden, ist das Risiko für KMU indirekt, aber real.

Was ist passiert?

BeyondTrust hat am 15. Oktober 2026 im Advisory BT26-05 eine kritische Schwachstelle in seinem Produkt Remote Support offengelegt. Die Lücke CVE-2026-102764 ist ein Authentifizierungs-Bypass: Eine interne Komponente prüft den Ursprung eingehender Nachrichten nicht ausreichend. Dadurch kann ein nicht authentifizierter Angreifer aus der Ferne und ohne Nutzerinteraktion Dateioperationen auf der Appliance ausführen – bis hin zur vollständigen Kompromittierung des Systems und dem Zugriff auf dort gespeicherte oder vermittelte Zugangsdaten. BeyondTrust bewertet die Lücke mit CVSS 9.3; das BSI führt sie mit einem erhöhten Base Score von 9.8.

Laut der Google Threat Intelligence Group und Mandiant wurde die Schwachstelle bereits seit Ende August 2026 als Zero-Day ausgenutzt – also rund sieben Wochen vor der öffentlichen Offenlegung. Die Angriffe werden einer mutmaßlich China-nahen Spionagegruppe (intern als ARMORY CASTLE, zuvor UNC5221 geführt) zugeordnet. Nach dem Erstzugriff installierten die Angreifer eine Webshell sowie eine Tunneling-Backdoor, änderten Berechtigungen von Administratorkonten und nutzten die Appliance als Sprungbrett ins interne Netz. Google warnt ausdrücklich, dass nach der Veröffentlichung mit einer breiteren Ausnutzung zu rechnen ist.

Wer ist betroffen?

Betroffen sind alle unterstützten Versionen von BeyondTrust Remote Support bis einschließlich 26.2.3. Das betrifft vor allem:

• Selbst gehostete (on-premises) Installationen – hier muss der Patch manuell eingespielt werden.
• Umgebungen, in denen die Appliance aus dem Internet erreichbar ist, sind besonders exponiert.

Für SaaS-Kunden besteht kein Handlungsbedarf an der Appliance: BeyondTrust hat alle Remote-Support-SaaS-Mandanten bereits am 9. Oktober 2026 gepatcht. Für KMU ist die Lücke vor allem dann relevant, wenn ein IT-Dienstleister oder MSP BeyondTrust Remote Support für den Fernzugriff auf die eigenen Systeme einsetzt.

Was jetzt zu tun ist

1. Einsatz prüfen: Klären Sie, ob Sie selbst oder Ihr IT-Dienstleister BeyondTrust Remote Support nutzen – und in welcher Variante (self-hosted oder SaaS).
2. Patch einspielen (self-hosted): Installieren Sie den Patch BT26-05-RS über die /appliance-Oberfläche. Versionen vor 24.3.1 müssen zunächst auf eine unterstützte Version (24.3.1 bis 26.2.3) aktualisiert werden.
3. Auf Kompromittierung prüfen: Weil die Lücke seit Ende August aktiv ausgenutzt wurde, reicht Patchen allein nicht. Prüfen Sie die Appliance auf unbekannte Dateien, veränderte Administratorrechte und verdächtige Webshell-Aktivität.
4. Zugangsdaten rotieren: Bei Verdacht auf Kompromittierung alle auf der Appliance gespeicherten oder darüber vermittelten Zugangsdaten ändern.
5. Dienstleister kontaktieren: Wenn ein MSP die Fernwartung übernimmt, lassen Sie sich den Patch-Stand und das Ergebnis der Kompromittierungsprüfung schriftlich bestätigen.

So hilft Binary System Services

Wir prüfen gezielt, ob in Ihrer Umgebung – oder bei Ihrem Fernwartungs-Dienstleister – verwundbare BeyondTrust-Versionen im Einsatz sind, und begleiten das Einspielen des Patches BT26-05-RS. Im Rahmen unserer Inventarisierung und des Monitorings erkennen wir aus dem Internet erreichbare Fernwartungs-Appliances und bewerten, ob Spuren einer Kompromittierung vorliegen. Im Ernstfall unterstützen wir bei der Eindämmung und der Rotation betroffener Zugangsdaten. Sprechen Sie uns an.

Angaben ohne Gewähr. Im Zweifel bitte die offizielle Quelle prüfen.