BeyondTrust vá lỗ hổng CVE-2026-102764 sau khi Mandiant phát hiện tấn công zero-day
Lỗi nghiêm trọng trên Remote Support cho phép thao tác tệp từ xa; Mandiant ghi nhận kẻ tấn công khai thác từ cuối tháng 8 và khuyến cáo kiểm tra dấu vết xâm nhập.
Ngày 15/10/2026, BeyondTrust công bố bản tin bảo mật BT26-05 về lỗ hổng CVE-2026-102764 trong sản phẩm Remote Support. Vấn đề nghiêm trọng hơn một thông báo vá lỗi thông thường: Google Threat Intelligence Group và Mandiant cho biết họ đã quan sát bằng chứng lỗ hổng bị khai thác như một zero-day từ cuối tháng 8/2026, trước khi thông tin được công khai. Doanh nghiệp dùng thiết bị Remote Support tự quản lý cần xác minh đã nhận bản vá và đánh giá khả năng bị xâm nhập trước đó.
Theo khuyến cáo của nhà cung cấp, lỗ hổng có điểm CVSS phiên bản 4 là 9,3, được xếp mức Critical. Mandiant mô tả thêm chiến dịch tấn công, các hành động sau xâm nhập và biện pháp bảo vệ trong báo cáo điều tra công bố cùng ngày.
Lỗi nằm ở đâu?
BeyondTrust Remote Support là nền tảng cho phép bộ phận hỗ trợ kỹ thuật truy cập và xử lý sự cố trên máy tính, máy chủ hoặc thiết bị của người dùng. Vì công cụ phải giữ các quyền điều khiển từ xa, tài khoản quản trị và kết nối nội bộ, một lỗ hổng trên máy chủ điều phối hỗ trợ có thể tạo ra rủi ro vượt xa chính thiết bị đó.
BeyondTrust xác định nguyên nhân là thành phần truyền thông nội bộ không xác minh đầy đủ nguồn gốc thông điệp. Trong những điều kiện nhất định, đối tượng tấn công từ xa có thể thực hiện thao tác với tệp trên appliance bị ảnh hưởng. Đây không phải lỗ hổng được mô tả đơn giản là người dùng quên đặt mật khẩu mạnh; vấn đề nằm trong kiểm tra nguồn của thông điệp ở thành phần hệ thống.
Khuyến cáo chính thức liệt kê tất cả phiên bản Remote Support được hỗ trợ tới 26.2.3 là đối tượng bị ảnh hưởng. Mandiant cho rằng đường tấn công có thể dẫn đến chiếm quyền điều khiển ở cấp máy chủ và gây nguy hiểm cho thông tin xác thực được thiết bị lưu hoặc trung chuyển.
Tại sao đã được gọi là zero-day?
Trong báo cáo ngày 15/10, Mandiant cho biết nhóm điều tra phát hiện dấu vết khai thác CVE-2026-102764 vào cuối tháng 8/2026. Nghĩa là có hoạt động tấn công trước thời điểm lỗ hổng và hướng khắc phục được công bố rộng rãi. Đó là cơ sở gọi sự kiện này là khai thác zero-day trong bối cảnh thực tế, thay vì chỉ là một khả năng lý thuyết.
Google Threat Intelligence Group liên hệ hoạt động với nhóm mà họ theo dõi dưới tên ARMORY CASTLE, trước đây gọi là UNC5221, và đánh giá có mối liên hệ nghi vấn với Trung Quốc. Đây là nhận định quy thuộc của đơn vị tình báo an ninh, không phải kết luận có thể độc lập xác nhận chỉ từ một log của khách hàng.
Mandiant ghi nhận kẻ tấn công sử dụng những công cụ tùy biến, bao gồm webshell SAWFLY và công cụ đường hầm BARECLAW, nhằm duy trì truy cập và tiếp cận hạ tầng bên trong. Báo cáo cũng mô tả hành vi sửa cấu hình, lạm dụng tài khoản quản trị và xóa dấu vết. Với người vận hành, điều đáng quan tâm là một hệ thống hỗ trợ từ xa có thể trở thành cầu nối để đối tượng xâm nhập đi sâu hơn trong mạng.
Ai cần cài bản vá BT26-05-RS?
Theo BeyondTrust, các khách hàng dùng Remote Support dạng SaaS đã được nhà cung cấp triển khai bản vá từ ngày 9/10/2026. Vì vậy không nên diễn giải rằng toàn bộ khách hàng SaaS vẫn chưa được bảo vệ tại ngày 15/10. Dù vậy, việc máy chủ được vá không tự động loại bỏ mọi hậu quả nếu trước đó có truy cập trái phép.
Với bản cài đặt tự quản lý từ phiên bản 24.3.1 đến 26.2.3, BeyondTrust yêu cầu áp dụng bản vá BT26-05-RS qua giao diện quản trị appliance hoặc xác nhận cơ chế tự cập nhật đã chạy. Phiên bản cũ hơn 24.3.1 cần nâng cấp lên bản hỗ trợ rồi mới áp dụng bản vá tương ứng.
Người quản trị nên kiểm tra trực tiếp advisory và hướng dẫn nhà cung cấp theo đúng phiên bản đang triển khai. Tránh giả định rằng cập nhật ứng dụng trên máy khách hoặc đổi mật khẩu thông thường có thể thay cho vá appliance trung tâm.
Vá lỗi không đồng nghĩa đã loại bỏ kẻ xâm nhập
Đây là điểm nổi bật trong khuyến nghị của Mandiant. Nếu một appliance đã bị chiếm quyền từ trước, việc sửa lỗ hổng ngăn đường khai thác gốc nhưng chưa chắc xóa được cơ chế bám trụ, tài khoản bị thay đổi hoặc thông tin xác thực đã bị sao chép. Vì thế cần song song hai công việc: vá để giảm nguy cơ xâm nhập mới và điều tra xem thiết bị đã bị khai thác hay chưa.
Mandiant khuyên các tổ chức từng để appliance dễ bị tấn công truy cập được từ Internet trong giai đoạn khai thác nên coi đó là tài sản có thể bị xâm nhập cho tới khi hoàn thành đánh giá. Điều này không có nghĩa mọi máy chủ công khai đều chắc chắn đã bị tấn công. Nó phản ánh mức độ thận trọng phù hợp khi lỗ hổng đã có bằng chứng bị sử dụng trong thực tế.
Những ưu tiên gồm bảo toàn log phục vụ điều tra, rà soát thay đổi tài khoản và quyền quản trị, kiểm tra chuyển tiếp mạng ngoài dự kiến, đối chiếu các tệp và cấu hình khả nghi, rồi luân chuyển những khóa hoặc mật khẩu có nguy cơ lộ. Kế hoạch ứng cứu cần phối hợp với đội vận hành để giảm gián đoạn khả năng hỗ trợ kỹ thuật đang phục vụ doanh nghiệp.
Giảm hậu quả nếu thiết bị quản trị bị chiếm quyền
Remote Support thường được tin cậy truy cập nhiều khu vực hạ tầng. Vì vậy cấu hình phân quyền tối thiểu có ý nghĩa không kém chính bản vá phần mềm. Mandiant đề xuất xác thực đa yếu tố chống phishing, giới hạn tài khoản quản trị cục bộ, thu hẹp quyền của API và Jump Items, và hạn chế kết nối đi ra từ appliance.
Doanh nghiệp cũng nên cân nhắc không lưu quá nhiều mật khẩu đặc quyền có thể tái sử dụng trực tiếp trong kho của công cụ truy cập từ xa. Một kho bí mật chuyên dụng, cơ chế cấp thông tin xác thực khi cần và quy trình luân chuyển khóa có thể giới hạn thiệt hại nếu hệ thống hỗ trợ bị xâm nhập.
Log nên được đẩy tới nơi giám sát độc lập, thay vì lưu duy nhất trên thiết bị có thể bị tấn công. Khi đối tượng có quyền quản trị trên appliance, họ có thể cố xóa hoặc chỉnh dấu vết nội bộ. Bản sao log bất biến hoặc tập trung giúp đội ứng cứu khôi phục chuỗi sự kiện đáng tin cậy hơn.
Điều rút ra cho vận hành doanh nghiệp
Vụ CVE-2026-102764 minh họa rủi ro từ các thiết bị nằm ở rìa mạng và nắm đặc quyền cao. Công cụ giúp quản trị viên tiếp cận hàng loạt hệ thống cũng có thể trở thành điểm tập trung rủi ro khi bị khai thác. Một thiết bị chỉ chiếm phần nhỏ trong hạ tầng nhưng có thể giữ chìa khóa vào nhiều tài nguyên khác nhau.
Ngày công bố 15/10 là thời điểm các nhóm vận hành cần chuyển từ theo dõi thông tin sang hành động cụ thể: xác định có dùng BeyondTrust Remote Support hay không, đối chiếu phiên bản và lịch vá, bảo toàn bằng chứng, kiểm tra dấu hiệu xâm nhập và rà soát lại phạm vi đặc quyền. Không nên chờ tới khi xuất hiện sự cố nhìn thấy rõ mới bắt đầu điều tra một lỗ hổng đã được xác nhận khai thác trước đó.
