BeyondTrust远程支持零日漏洞CVE-2026-102764遭在野利用，运维设备需立即核实风险

2026年10月15日，BeyondTrust发布安全公告BT26-05，披露远程支持产品Remote Support内部消息组件存在严重漏洞CVE-2026-102764，可能允许远程攻击者对受影响设备执行文件操作。厂商同时披露了此前发生的零日漏洞利用事件。使用BeyondTrust远程支持服务的组织，尤其是维护自托管设备的运维团队，应优先核实资产、补丁状态及历史入侵迹象。

事件背景：厂商披露此前已有利用

根据BeyondTrust的BT26-05安全公告，漏洞根源是内部组件未充分校验所接收消息的来源，归类为CWE-290，即通过欺骗实现认证绕过。厂商给出的CVSS 4.0评分为9.3，严重等级为危急；评分向量表明攻击无需既有权限或用户交互。

在配套事件说明中，BeyondTrust称，攻击者于2026年8月29日利用该零日漏洞，攻击了一个BeyondTrust托管的Remote Support实例和一台客户自托管设备。

这一披露说明托管与自托管环境均有遭利用的案例，但不能据此推断所有客户均已失陷，也不能将两个已披露案例扩大为大规模入侵结论。

安全影响：文件操作不等于已证实的任意代码执行

漏洞记录明确描述的能力是：在适当条件下，攻击者能够对设备执行文件操作。这足以构成高优先级风险，但公开摘录并未完整说明可访问路径、操作权限及全部利用条件，因此不宜直接改写为“可完全控制服务器”或“已造成客户数据泄露”。

远程支持设备通常处于运维访问链路中的重要位置。如果设备保存会话资料、接入凭据或其他敏感配置，未经授权的文件操作可能进一步影响这些信息。这属于需要调查的潜在后果，不是所有受影响部署已经发生的事实。

同样，修复漏洞与排除入侵是两项不同工作：补丁用于阻断相应攻击路径，并不能自动清除此前可能留下的异常文件、账号或访问凭据。

运维风险排查与处置重点

具体受影响版本、补丁适用条件和托管实例处理状态，应以厂商公告及实例实际记录为准，不能仅凭主版本号判断安全，也不应在未经确认时认定所有托管客户均已完成修复。

安全团队可按以下顺序推进：

1. 建立资产清单。 汇总生产、备用及灾备实例，记录部署方式、版本、补丁状态和责任人，避免遗漏低频使用设备。
2. 缩小暴露面。 在不破坏必要支持流程的前提下，通过可信网络入口和访问控制收紧访问。此举只是临时缓解措施，不能替代补丁。
3. 安全实施更新。 按厂商支持方式备份配置，确认维护窗口、恢复条件及兼容性；更新后复核补丁状态，并测试登录、远程会话与审计功能。
4. 开展历史排查。 结合厂商披露的8月29日利用时间点和本地日志留存情况，检查异常访问、账号及配置变化。日志缺失不能视为未遭入侵。
5. 按证据扩大处置。 若发现可信入侵迹象，应保全日志并联系厂商或响应团队；涉及凭据暴露时，再按影响范围撤销会话、轮换密钥或重置凭据。

此次安全产品更新的完成标准，不应只是“补丁已安装”，而应同时包括修复状态可验证、业务功能正常，以及历史风险已有调查结论。若更新失败，恢复方案也应避免让旧的易受攻击实例重新暴露于公网。