Das Wichtigste in Kürze
Wer BeyondTrust Remote Support selbst betreibt, sollte heute Patch BT26-05 einspielen und davon ausgehen, dass eine exponierte Appliance bereits kompromittiert sein kann. CVE-2026-102764 (CVSS 9.3) erlaubt einem nicht authentifizierten Angreifer, Dateien auf die Appliance zu schreiben; eine China-nahe Gruppe nutzte die Lücke ab Ende August 2026 als Zero-Day. Die CISA setzte eine Frist bis zum 19. Oktober. Fernzugriffs-Tools gehören deshalb fest in das Bedrohungsmodell Ihrer Cloud- und DevOps-Infrastruktur.
Was haben BeyondTrust und Google offengelegt?
Am 15. Oktober 2026 veröffentlichte BeyondTrust das Advisory BT26-05 zu CVE-2026-102764, einer Lücke in Remote Support, der Fernwartungsplattform für den IT-Support, die früher unter dem Namen Bomgar verkauft wurde. Eine interne Messaging-Komponente prüft nicht korrekt, woher eine Nachricht stammt, sodass ein Angreifer ohne Zugangsdaten Dateioperationen auf der Appliance ausführen kann. BeyondTrust bewertet die Lücke mit 9.3 nach CVSS v4.0.
Am selben Tag veröffentlichten Google Threat Intelligence Group und Mandiant ihre Erkenntnisse aus der Incident Response. Sie schreiben die Angriffe ARMORY CASTLE zu, einem mutmaßlich China-nahen Spionageakteur, der zuvor als UNC5221 geführt wurde und für Zero-Days in Edge-Geräten wie Ivanti Connect Secure bekannt ist. Die Ausnutzung begann um den 29. August, gegen eine von BeyondTrust gehostete und eine selbst betriebene Appliance. BeyondTrust spielte den Fix bis zum 9. Oktober, also vor der Veröffentlichung, bei seinen Cloud-Kunden ein. Die CISA nahm die CVE am 16. Oktober in ihren Katalog Known Exploited Vulnerabilities auf.
Wie haben die Angreifer die Appliance genutzt?
Der Bericht von Mandiant beschreibt eine vollständige Übernahme, keinen schnellen Zugriff. Die Angreifer luden eine PHP-Web-Shell hoch, die Google SAWFLY nennt, kopierten ein Shell-Binary mit gesetztem SUID-Bit, um Root-Rechte zu erlangen, und ergänzten per Boot-Skript sudoers-Änderungen, damit der Zugang Neustarts und das Zurücksetzen der Konfiguration überlebt. Anschließend riefen sie das eigene Secrets-Werkzeug der Appliance auf, lasen deren Zugangsdaten-Tresor aus und löschten die zugehörigen Logs.
Mit Administrator-Zugangsdaten meldeten sie sich an der Web-Konsole an, erweiterten die Rechte eines Kontos auf alle Jump Items, öffneten Support-Sitzungen zu internen Endgeräten und zogen über den eingebauten Dateitransfer des Produkts Dokumente von Benutzer-Desktops. Ein eigener Tunnel namens BARECLAW war hinter einer manipulierten HAProxy-Route versteckt und verschaffte ihnen einen SOCKS5-Weg ins Netz, der wie normaler Web-Traffic aussah. Laut Google sind bislang nur wenige Organisationen nachweislich betroffen; der Akteur sei jedoch in der Vergangenheit zu breiter, opportunistischer Ausnutzung übergegangen, sobald eine Lücke öffentlich wurde.
Wer ist betroffen?
Jede Organisation, die BeyondTrust Remote Support 26.2.3 oder älter selbst betreibt, besonders wenn das öffentliche Support-Portal oder die Admin-Pfade /login und /appliance aus dem Internet erreichbar sind. Selbst betriebene Appliances ab Version 24.3.1 können BT26-05 über die Oberfläche /appliance installieren; ältere Versionen müssen zuerst aktualisiert werden. Privileged Remote Access nutzt den betroffenen Code mit; BeyondTrust hat dort nach eigener Aussage keinen Angriffsweg gefunden, aber vorsorglich einen Patch ausgeliefert.
Das Risiko reicht auch zu Unternehmen, die das Produkt gar nicht selbst einsetzen. Managed Service Provider, ausgelagerte IT-Helpdesks und Softwarehersteller erreichen Kundenrechner häufig über BeyondTrust. Wurde die Appliance Ihres Dienstleisters kompromittiert, hat der Angreifer die Sitzungen und gespeicherten Zugangsdaten geerbt, die in Ihre Umgebung führen.
Was das für Teams in den USA und der EU bedeutet
Fernwartungs- und Privileged-Access-Plattformen sind aus demselben Grund ein beliebtes Ziel, aus dem sie nützlich sind: Eine einzige Box hält vertrauenswürdige, vorab freigegebene Wege zu Hunderten Maschinen. Teams, die Software entwickeln und betreiben, sollten sie wie produktive Identitätssysteme behandeln. Das heißt: Admin-Konsolen hinter SSO mit phishing-resistenter MFA, standardmäßig Rollen ohne Zugriff, die nur per Richtlinie erweitert werden, Zugangsdaten aus einem externen Tresor statt auf der Appliance und Syslog-Weiterleitung auf ein separates System, damit ein Angreifer die Spuren nicht still löschen kann.
Die zweite Lehre betrifft Dienstleisterzugänge. Fragen Sie jeden Lieferanten mit Fernzugriff auf Ihre Systeme, welches Tool er in welcher Version nutzt und ob BT26-05 eingespielt ist.
Was bedeutet die BeyondTrust-Lücke für Unternehmen im DACH-Raum?
In Deutschland fallen mit dem NIS2-Umsetzungsgesetz deutlich mehr Unternehmen unter die Pflicht, erhebliche Sicherheitsvorfälle zu melden: zunächst als Frühwarnung an das BSI innerhalb von 24 Stunden, mit Folgemeldungen danach. Ein Einbruch über das Fernwartungstool eines Dienstleisters ist dabei genau der Lieferkettenfall, den NIS2 ausdrücklich adressiert. Wurden über die Appliance personenbezogene Daten abgegriffen, etwa Dokumente von Mitarbeiter-Desktops, greift zusätzlich die 72-Stunden-Meldepflicht nach Art. 33 DSGVO gegenüber der zuständigen Datenschutzaufsicht. Finanzunternehmen müssen IKT-Vorfälle bei Drittanbietern zudem nach DORA bewerten.
In der Schweiz gilt seit April 2025 eine Meldepflicht für Cyberangriffe auf kritische Infrastrukturen gegenüber dem Bundesamt für Cybersicherheit (BACS) innerhalb von 24 Stunden. Für den Mittelstand in Deutschland, Österreich und der Schweiz, der IT-Betreuung häufig an Systemhäuser auslagert, ist die praktische Konsequenz dieselbe: Fragen Sie Ihr Systemhaus schriftlich nach Patch-Stand, Indikatoren-Suche und rotierten Zugangsdaten und halten Sie die Antwort für Audit und Meldung fest.
Was diese Woche zu tun ist
- Patchen. BT26-05 auf jede selbst betriebene Remote-Support- und Privileged-Remote-Access-Appliance einspielen; nicht unterstützte Versionen vorher aktualisieren.
- Admin-Pfade abschotten.
/loginund/applianceauf vertrauenswürdige IP-Bereiche oder ein VPN beschränken und einen Reverse Proxy oder eine WAF mit vollständiger URI-Protokollierung vor das Portal setzen. - Suchen. Googles veröffentlichte Hashes und YARA-Regeln für SAWFLY und BARECLAW nutzen; nach unbekannten
.php-Dateien, Änderungen an HAProxy-Konfiguration und sudoers-Vorlage sowie nachuser_changed-Ereignissen suchen, die Jump-Item-Rollen erweitert haben. - Secrets nach dem Patch rotieren. Admin-Passwörter von Appliance und Portal, API-Client-Secrets, SAML-Signaturschlüssel, Tresoreinträge und Integrations-Zugangsdaten sowie alles, was im Expositionszeitraum in Support-Sitzungen eingegeben wurde.
- Im Zweifel neu aufsetzen. War eine aus dem Internet erreichbare Appliance seit Ende August ungepatcht und zeigt einen Indikator, Snapshot für die Forensik ziehen und aus einem sauberen Image neu ausrollen; ein Reset entfernt keine Persistenz auf Host-Ebene.
- Dienstleister prüfen. Patch-Stand bei MSPs, Systemhäusern und Lieferanten bestätigen lassen, die Ihre Systeme über BeyondTrust erreichen, und die Meldefristen nach NIS2 und DSGVO im Blick behalten.
Häufige Fragen
Was ist CVE-2026-102764?
CVE-2026-102764 ist eine Lücke mit fehlerhafter Herkunftsprüfung in einer internen Messaging-Komponente von BeyondTrust Remote Support, der früher als Bomgar bekannten Fernwartungsplattform. Sie erlaubt einem nicht authentifizierten Angreifer aus der Ferne beliebige Dateioperationen auf der Appliance, etwa das Hochladen einer Web-Shell. Sie ist nach CVSS v4.0 mit 9.3 (kritisch) bewertet und wurde am 15. Oktober 2026 veröffentlicht.
Wer hat die Lücke ausgenutzt und seit wann?
Google Threat Intelligence Group und Mandiant schreiben die Ausnutzung ARMORY CASTLE zu, einer mutmaßlich China-nahen Spionagegruppe, die zuvor als UNC5221 geführt wurde. Die Ausnutzung als Zero-Day begann um den 29. August 2026, gegen eine von BeyondTrust gehostete und eine selbst betriebene Appliance. Laut Google sind bisher nur wenige Organisationen nachweislich betroffen.
Welche Versionen sind betroffen und wie behebe ich das?
Betroffen ist BeyondTrust Remote Support 26.2.3 und älter. Die Korrektur ist Patch BT26-05. Cloud-Instanzen (SaaS) hat BeyondTrust bis zum 9. Oktober gepatcht. Selbst betriebene Appliances ab 24.3.1 können ihn über die Oberfläche /appliance einspielen; ältere Versionen müssen zuerst auf ein unterstütztes Release aktualisiert werden. Privileged Remote Access teilt Code mit dem Produkt, BeyondTrust hat auch dafür vorsorglich einen Patch veröffentlicht.
Reicht Patchen, wenn wir exponiert waren?
Nein. In den beobachteten Angriffen erlangte der Angreifer Root-Rechte, verankerte neustartfeste sudoers-Änderungen, las den Zugangsdaten-Tresor der Appliance aus und löschte Logs. Diese Persistenz kann einen Patch und sogar ein Zurücksetzen der Konfiguration überstehen. War eine aus dem Internet erreichbare Appliance im Expositionszeitraum ungepatcht, rät Mandiant, sie als potenziell kompromittiert zu behandeln, nach den veröffentlichten Indikatoren zu suchen und sie bei bestätigtem Einbruch aus einem sauberen Image neu aufzusetzen.
Ist ein Einbruch über BeyondTrust in Deutschland meldepflichtig?
Das hängt vom Einzelfall ab. Fällt Ihr Unternehmen unter das NIS2-Umsetzungsgesetz und ist der Vorfall erheblich, ist eine Frühwarnung an das BSI innerhalb von 24 Stunden fällig. Wurden personenbezogene Daten kompromittiert, gilt zusätzlich die 72-Stunden-Frist nach Art. 33 DSGVO. Die Bewertung sollte mit Ihrer Rechts- oder Datenschutzabteilung erfolgen.
Quellen
Google Threat Intelligence Group / Mandiant — ARMORY CASTLE Exploits BeyondTrust (October 15, 2026)
BeyondTrust — Security Advisory BT26-05 (October 15, 2026)
CISA — CISA Adds Two Known Exploited Vulnerabilities to Catalog (October 16, 2026)
Cybersecurity Dive — China-nexus espionage actor targets BeyondTrust support tool in zero-day campaign (October 16, 2026)
SecurityWeek — Chinese APT Exploited BeyondTrust Vulnerability as Zero-Day (October 2026)