BeyondTrust 遠端支援漏洞 CVE-2026-102764 列入 KEV：Mandiant 說 8 月下旬就遭零時差利用，雲端版 10 月 9 日先修，KEV 條目期限 10 月 19 日；修補靠 BT26-05-RS 補丁，只看版本號可能判斷不出有沒有修
趨勢新聞2026 年 10 月 17 日
美國網路安全暨基礎設施安全局（CISA）2026 年 10 月 16 日把 BeyondTrust 遠端支援產品 Remote Support（舊名 Bomgar）的 CVE-2026-102764 列入已知遭利用漏洞目錄（KEV），條目列出的處置期限是 10 月 19 日（適用 BOD 26-04 的美國聯邦文職行政部門機關要遵守）。BeyondTrust 以 CVE 編號機構身分發布的記錄（世界協調時間 10 月 15 日 20:30）寫，產品內部元件沒有充分驗證所收到訊息的來源，在特定條件下，攻擊者可以在設備上進行檔案操作；未套用修補時，26.2.3 及更早的版本都受影響，CVSS 4.0 評分 9.3（Critical 等級）。CISA 同日另發一則警示，指出已有攻擊者利用它取得初始存取，再建立持續存取、提升權限、橫向移動。
遠端支援設備是 IT 人員連進員工與客戶電腦的入口。本站的讀法：設備遭控制後，攻擊者可能利用它存放的帳密、權限與支援連線進入下游系統。而這次官方要求確認的是一個補丁有沒有裝上，不是單看版本號。這篇整理三件事：從被利用到公開隔了多久、三份官方文件對受影響範圍怎麼寫，以及 Mandiant 描述的入侵手法，說明為什麼只裝補丁還不夠。
8 月下旬被利用，10 月 15 日才公開
Google 旗下的 Mandiant 發表調查文章（頁面標示 10 月 16 日）說，它在一次事件應變中，發現它指稱疑似與中國有關的間諜組織 ARMORY CASTLE（以前追蹤代號 UNC5221）在 2026 年 8 月下旬就把這個漏洞當成零時差漏洞利用。同一篇文章寫，BeyondTrust 在 10 月 9 日已替所有雲端（SaaS）租戶套用修補，10 月 15 日公開漏洞。CISA 隔天列入 KEV，給的期限是 3 天後的 10 月 19 日，那天是星期一，中間隔著週末。
依這幾個日期排下來，從 Mandiant 說的 8 月下旬，到 10 月 15 日公開，中間約一個半月到近兩個月；所有雲端租戶套用修補的日期，比漏洞公開早 6 天。Mandiant 文章另外提醒，這個組織過去在漏洞公開後，曾轉為大範圍、亂槍打鳥式的利用，例如 2024 年 Ivanti 的 CVE-2023-46805 與 CVE-2024-21887，這次應準備因應可能出現的類似情況。CISA 寫進 CVE 記錄的 SSVC 評估（一種漏洞處置優先序的判斷框架）是：已遭主動利用、攻擊步驟可自動化、技術影響為「完全」（可完全控制受影響的軟體）。依 CISA 的約束性作業指令 BOD 26-04 的處置時程表，KEV 漏洞若可自動化、技術影響為完全，對適用機關而言，不論資產是否對外開放，期限都是 3 個日曆天，並要做鑑識初判（從列入 KEV，或機關在資產上辨識出漏洞並更新 CDM 儀表板，兩者較早的時點起算）；這筆條目的鑑識初判欄是「是」。
修補靠補丁，只看版本號可能判斷不出有沒有修
三份官方文件對受影響範圍的寫法，可以對起來，但細節不同。BeyondTrust 的 CVE 記錄只列一個產品 Remote Support，版本欄以 0 為範圍起點、26.2.3 為含括上限，沒有列出任何「已修正」的版本。CISA 警示寫的是 26.2.3 及更早的版本，修補對有支援的版本（24.3.1 及以後）提供，更舊的版本要先升級；雲端版已經修好。Mandiant 文章的說法相同：自架、24.3.1 及以後版本的設備，在 /appliance 管理介面套用 BT26-05-RS 補丁，有訂閱自動更新的則確認補丁已經裝上；24.3.1 以前的先升級再裝。
本站的讀法：既然官方要求另外確認補丁，一台 26.2.3 的設備可能已經修了，也可能沒修，只記版本號的資產清單、只憑版本號判斷的掃描，可能都不足以分辨。Mandiant 文章也寫，升級可以關掉漏洞，但不會處理先前已經暴露的部分，例如入侵留下的後門、設定變更或外洩的帳密。CVE 記錄上，BeyondTrust 自評的 CVSS 4.0 是 9.3 分；美國國家弱點資料庫（NVD）另評 CVSS 3.1 為 9.8 分，兩者都標示攻擊不需要權限、不需要使用者互動。記錄只寫「攻擊者」，KEV 條目寫「遠端攻擊者」，Mandiant 文章寫「未經驗證的遠端攻擊者」。
入侵後拿帳密、改權限、刪紀錄
Mandiant 描述的入侵後動作，說明了為什麼它和 CISA 都要求修補之外還要清查。攻擊者先植入一支名為 SAWFLY 的 PHP 網頁後門，再把 /bin/sh 複製成 /usr/bin/dbus-authd，擁有者改為 root 並開啟 SUID 權限，取得 root 權限的後門。之後他們嘗試用設備內建的 bt-secrets 工具傾印密碼庫，在開機時執行的目錄放入腳本，替網站服務帳號把免密碼執行任何指令的權限寫進 sudoers 範本，讓這個權限在重開機與設定重設後仍會套用。攻擊者也多次刪除系統、網頁伺服器與應用程式紀錄。
在應用層，攻擊者用取得的管理員帳號登入，把一個帳號的跳板項目（Jump Item）與團隊權限從「無存取」改成「管理員」，再開遠端支援連線，從使用者桌面下載軟體清單等內部文件。Mandiant 另發現一支名為 BARECLAW 的通道程式，攻擊者改了設備上的 HAProxy 設定，經 HAProxy 把特定路徑轉到它的 WebSocket 端點，讓外部可以連到它。Mandiant 建議的順序是先修補或重建設備，再依序更換設備存放或代填過的各類帳密；Mandiant 列的輪替範圍還包括暴露期間在支援連線中輸入過的帳密。它寫明，若攻擊者仍控制設備，提前換密碼可能讓新密碼再次外洩。CISA 的警示則建議，懷疑遭入侵的組織要隔離設備、保全映像檔與紀錄、從已知乾淨的狀態重建並裝上補丁，再更換設備存放或代填過的所有帳密、撤銷進行中的支援連線，並檢查特權帳號新登記的多因素驗證。
KEV 裡第四筆 BeyondTrust 漏洞
本站解析 CISA 10 月 16 日版的 KEV 目錄（共 1,748 筆），截至這一版，廠商為 BeyondTrust 的條目有 4 筆：2024 年 12 月 19 日的 CVE-2024-12356、2025 年 1 月 13 日的 CVE-2024-12686、2026 年 2 月 13 日的 CVE-2026-1731，以及這次的 CVE-2026-102764。前三筆的產品欄都同時列 Remote Support 與 Privileged Remote Access，這次只列 Remote Support。四筆中只有 CVE-2026-1731 的勒索軟體使用欄標「已知」，這次標「未知」（代表目錄尚未確認，不等於沒有勒索利用）。