特權存取管理業者 BeyondTrust 的遠端支援產品 Remote Support（遠端支援）零時差漏洞（zero-day）CVE-2026-102764 續有新消息。據外媒報導，Google 旗下資安業者 Mandiant 的研究指出，與中國有關的駭客組織 Armory Castle 在武器化漏洞後 11 分鐘，就部署名為 SAWFLY 的網頁後門（web shell），並從受害端點的桌面外傳敏感文件。同一週，Ivanti、Cisco 與 Palo Alto Networks 的邊界設備也傳出漏洞遭實際利用。
延伸閱讀：BeyondTrust修補零時差漏洞，疑與中國有關駭客 8 月起即鎖定攻擊
該漏洞的 CVSS v4 分數為 9.3，最早自 8 月 29 日起遭實際利用，BeyondTrust 已於 10 月 8 日釋出修補，詳見本站先前報導〈BeyondTrust修補零時差漏洞，疑與中國有關駭客 8 月起即鎖定攻擊〉。
新增細節：竊取憑證、橫向移動並外傳文件
據外媒報導，Mandiant 與 Google 威脅情報小組（GTIG）的報告指出，
駭客部署 SAWFLY 後，先搜尋設備內建的機密資料庫，取得密碼、API 金鑰與端點憑證，並傾印管理者憑證。接著以腳本建立持久化機制，並從一般服務帳號提升為完整管理者權限。
駭客也對下游系統發起遠端工作階段，進行內部網路偵察，並從受害端點的桌面下載、外傳敏感文件。報告提到，駭客首度使用第二個自製工具 BARECLAW 建立 SOCKS5 通道。最後，駭客刪除系統、網頁伺服器與應用程式日誌，增加鑑識難度。
Mandiant 認為，駭客對 BeyondTrust 設備內部運作有深入了解，是這次攻擊的關鍵。Armory Castle 前身為 UNC5221，也被稱為 UTA0178。
BeyondTrust 表示客戶逾 2 萬家，含 75% 的《財星》百大企業，但外媒指出，其中使用 Remote Support 的數量並不清楚。另據報導，今年稍早曾有 AI 代理（AI agent）發現 Remote Support 與特權遠端存取（Privileged Remote Access，PRA）存在 CVSS 9.9 的免認證漏洞，研究人員隨後發現約 11,000 個 Remote Support 執行個體暴露在網際網路上。
產業觀察：邊界設備與管理工具反覆被攻破
這起事件發生在邊界設備（edge device）接連出事的一週。資安業者 Volexity 10 月 13 日指出，未具名駭客利用
Ivanti Connect Secure（VPN）設備的零時差漏洞鏈，連已完整更新的設備也受影響。該漏洞鏈結合認證繞過（authentication bypass）、遠端程式碼執行（RCE）與提權，前兩項為
CVE-2026-104935，CVSS 為 8.6。
10 月 14 日，Cisco Secure Email Gateway（郵件安全閘道）的
CVE-2026-76519 與 PAN-OS 的
CVE-2026-0322，都被美國網路安全暨基礎設施安全局（CISA）列入已知遭利用漏洞（KEV）目錄。前者出在進階惡意軟體防護（AMP）功能，可讓遠端攻擊者寫入任意檔案，CVSS 為 9.8；後者是高風險遠端程式碼執行漏洞，CVSS 為 8.6。外媒並未指出這些事件與 BeyondTrust 的攻擊者有關。
Bambenek Consulting 總裁 John Bambenek 表示，這類網路設備或管理工具的漏洞，現在大約每個月就出現一次，他認為企業應集體要求廠商更重視資安。
邊界設備之所以成為目標，BeyondTrust 先前指出，遠端存取設備儲存並代為管理整個環境的特權憑證，既是憑證來源，也是誰連到哪裡的地圖。BeyondTrust 也說，Armory Castle 至少自 2023 年 10 月起，就以 Citrix NetScaler 與 Ivanti Connect Secure 等設備為目標。外媒則指出，遠端存取工具一旦被攻破，攻擊者取得的存取權限幾乎與 IT 人員相當。
防護建議
Mandiant 與 GTIG 依營運需求、風險承受度與是否已發現入侵，提出分層建議：
- 優先修補：自行架設的用戶儘速套用修補程式。
- 隔離高風險設備：切斷存取路徑，僅允許連往原廠端點，並以乾淨映像檔重新部署。
- 補強網路控制：在邊界設備前加裝網頁應用程式防火牆（WAF），並嚴格限制管理工具暴露在網際網路。
- 落實憑證與設定管理：輪換憑證，檢視並撤銷工作階段。
- 限縮控制平面權限：降低權限，將憑證存放在設備外部的保管庫。
- 主動獵捕入侵跡象。
本文轉載自 DarkReading、TheHackerNews、BleepingComputer。