特權存取管理業者 BeyondTrust 於 10 月 15 日公布，旗下遠端支援產品 Remote Support（遠端支援）存在嚴重漏洞 CVE-2026-102764，CVSS v4 分數為 9.3。BeyondTrust 指出，疑似與中國有關的駭客組織 Armory Castle 早在 8 月 29 日就已實際利用這個零時差漏洞，Google 旗下 Mandiant 同步發布相關分析。廠商已釋出修補程式，自行架設（self-hosted）的用戶必須手動更新。
漏洞影響範圍與修補方式
根據 BeyondTrust 資安公告 BT26-05，問題出在 Remote Support 的內部訊息元件未妥善驗證訊息來源（improper origin validation），遠端攻擊者在特定條件下，可對設備執行檔案操作。受影響版本為 26.2.3 及更早的所有版本。
BeyondTrust 於 10 月 8 日釋出修補程式，SaaS 用戶已自動更新，公告並註明截至 10 月 9 日，所有 Remote Support SaaS 用戶均已完成修補。自行架設且未啟用自動更新的用戶，若使用 24.3.1 至 26.2.3 版，須手動套用 BT26-05-RS 修補程式；低於 24.3.1 版者，則須先升級才能套用。
另外，特權遠端存取（PRA）與 Remote Support 共用程式碼。BeyondTrust 表示，內部測試未發現能在 PRA 上利用的方式，但基於謹慎也釋出修補，建議自行架設的 PRA 用戶立即套用。廠商目前暫不公開漏洞技術細節，以免尚未修補的設備承受更高風險。
從 8 月攻擊到 10 月揭露
依 BeyondTrust 公布的時間軸，駭客 8 月 29 日對一個由 BeyondTrust 代管的 Remote Support 執行個體，以及一台自行架設的設備發動攻擊。9 月 27 日，另一家資安設備業者遭成功攻擊的消息曝光，促使 BeyondTrust 展開獵捕，並在 9 月 28 日發現受影響的代管執行個體，於辨識後 27 分鐘內完成隔離。10 月 15 日，BeyondTrust 與 Mandiant 協調後同步揭露。
據外媒報導，Mandiant 觀察到駭客入侵後，會部署輕量的 PHP 網頁後門（web shell）SAWFLY，並透過自製的 SOCKS5 代理工具 BARECLAW 建立通道。駭客也提升至 root 權限、讀取設備儲存的機密資料，並利用管理者權限，對設備 Jump Item 清單中的下游系統開啟遠端連線，最後刪除系統、網頁伺服器與應用程式日誌。駭客還使用商用 VPN 節點及遭入侵的家用、小型辦公室路由器，讓流量看似一般連線。
BeyondTrust 以中高信心程度（moderate to high confidence）評估，這起攻擊屬於 Armory Castle，也就是先前的 UNC5221，資安業者 CrowdStrike 則稱之為 Warp Panda，評估依據為攻擊手法。該組織過去曾利用 Citrix NetScaler 與 Ivanti Connect Secure 的零時差漏洞。BeyondTrust 指出，該組織通常先選擇性利用零時差，待漏洞公開後轉向攻擊所有尚未修補的設備，Mandiant 也警告這次可能出現類似的大規模攻擊。
網路威脅監測組織 Shadowserver 追蹤到逾 1,400 個 BeyondTrust 遠端支援執行個體暴露在網際網路上，但未說明其中多少已完成修補或屬於誘捕系統。
防禦與獵捕建議
Mandiant 建議，凡在攻擊期間以易受攻擊版本暴露於網際網路的設備，在完成檢視前，都應視為可能已遭入侵。BeyondTrust 建議用戶採取以下措施：
- 立即修補：自行架設的 Remote Support 與 PRA 用戶，儘速套用 BT26-05 修補程式。
- 縮小暴露面：僅開放必要服務，管理介面限制在可信網路，並限制管理設備的對外連線。
- 日誌不要只留在設備上：駭客會刪除本機日誌，應將 syslog 與工作階段事件近即時轉送至資安事件管理系統（SIEM）。
- 獵捕行為而非指標：留意來自住宅寬頻或商用 VPN、無法對應已知管理者或工單的特權工作階段，網頁目錄中的不明腳本檔，帳號、權限或 Jump Items、Teams 設定異動，以及日誌轉送的異常中斷。
- 將憑證視為外洩：若發現入侵跡象，須輪換設備儲存或注入的所有憑證，檢視特權帳號新增的多因素驗證註冊，並在重建設備前先製作映像檔。