Критична ранливост во BeyondTrust: експлоатација во тек – ажурирајте веднаш

Критична ранливост за извршување на код од далечина (RCE) пред автентикација во апаратите BeyondTrust Remote Support и Privileged Remote Access сега се експлоатира во напади откако PoC (proof-of-concept) беше објавен онлајн.

Следена како CVE-2026-1731 и со скоро максимален CVSS скор од 9.9, оваа ранливост влијае на BeyondTrust Remote Support верзии 25.3.1 и претходни и Privileged Remote Access верзии 24.3.4 и претходни.

BeyondTrust ја објави ранливоста на 6 февруари, предупредувајќи дека неавтентикирани напаѓачи можат да ја искористат со испраќање специјално конструирани клиентски барања. „BeyondTrust Remote Support и постари верзии на Privileged Remote Access содржат критична RCE ранливост пред автентикација која може да се активира преку специјално конструирани клиентски барања,“ објаснува BeyondTrust.

„Успешната експлоатација може да им овозможи на неавтентикираниот напаѓач од далечина да извршува команди на оперативниот систем во контекст на корисникот на сајтот. Успешната експлоатација не бара автентикација или интеракција од корисник и може да доведе до компромитирање на системот, вклучувајќи неовластен пристап, извлекување на податоци и прекин на услуги.“

BeyondTrust автоматски ги закрпи сите SaaS инстанци на Remote Support и Privileged Remote Access на 2 февруари 2026, но клиентите со on-premise инсталации мора да ги инсталираат закрпите рачно.

CVE-2026-1731 сега се експлоатира во реалниот свет

Ранливоста беше откриена од Hacktron и одговорно пријавена до BeyondTrust на 31 јануари.

Hacktron наведува дека околу 11.000 инстанци на BeyondTrust Remote Support биле изложени онлајн, со околу 8.500 on-premise инсталации.

Ryan Dewhurst, шеф на Threat Intelligence во watchTowr, известува дека напаѓачите започнале активно да ја експлоатираат ранливоста, предупредувајќи дека ако уредите не се закрпени, треба да се сметаат за компромитирани.

„Ноќеска забележавме први експлоатации на BeyondTrust во реалниот свет преку нашите глобални сензори,“ објави Dewhurst на X.

„Напаѓачите ја злоупотребуваат функцијата get_portal_info за да го извлечат x-ns-company вредноста пред да воспостават WebSocket канал.“

Оваа експлоатација следи еден ден по објавувањето на PoC експлоат за истиот /get_portal_info крајниот точка на GitHub.

Нападите ги таргетираат изложените BeyondTrust портали за да го добијат идентификаторот 'X-Ns-Company', кој потоа се користи за создавање websocket кон таргетираниот уред. Ова им овозможува на напаѓачите да извршуваат команди на ранливите системи.

Организациите кои користат self-hosted BeyondTrust Remote Support или Privileged Remote Access апарати треба веднаш да ги применат достапните закрпи или да надградат на најновите верзии.

Извори:

• Bleeping Computer – Critical BeyondTrust RCE flaw now exploited in attacks, patch now Bleeping Computer