IT som driver BeyondTrust Remote Support på egen server behöver verifiera att BT26-05-RS-patchen är installerad. CVE-2026-102764 är en kritisk säkerhetsbrist som har utnyttjats. För Remote Support SaaS uppger BeyondTrust att serverpatchen var införd hos alla kunder senast 9 oktober 2026.
Ta reda på vem som ansvarar för servern, vilken Remote Support-version ni kör och vilket belägg som finns för installerad patch. Låt behörig IT-personal hantera uppdatering och eventuell incidentutredning. En uppdaterad server är inte ensam ett bevis för att tidigare intrång saknas.
Vilka installationer berörs?
Remote Support, tidigare Bomgar, används för fjärrsupport till organisationers datorer. Bulletinen BT26-05 anger version 26.2.3 och äldre, CVSS 4.0 9,3 / Critical. Bristande kontroll av meddelandens ursprung kan möjliggöra filoperationer på serverappliancen för en fjärrangripare utan autentisering.
| Er driftform/version | Vad IT behöver kontrollera |
|---|---|
| Egen drift, Remote Support 24.3.1–26.2.3 | Att BT26-05-RS har installerats, manuellt eller automatiskt. Versionsnumret ensamt räcker inte. |
| Egen drift, äldre än 24.3.1 | En stödd uppgraderingsväg behövs innan patchen kan installeras. Ta hjälp av leverantören vid osäkerhet. |
| Remote Support SaaS | Leverantören har hanterat serverpatchen. Bedöm historisk exponering och organisationens åtkomst tillsammans med ansvarig IT. |
Versions- och patchuppgifterna ovan kontrollerades mot leverantörens bulletin 18 oktober. Kontrollera originalet igen vid genomförandet.
Har ni även Privileged Remote Access (PRA)? I BeyondTrusts uppdatering den 16 oktober uppges att PRA delar berörd kod och fått en försiktighetspatch. Leverantören hade då inte identifierat ett fungerande utnyttjande av bristen i PRA, men rekommenderar patchning av självhostad PRA.
Så verifierar administratören uppdateringen
Planera underhåll och kontrollera att nödvändiga säkerhetskopior och återställningsrutiner finns före ändringar. Enligt leverantörens uppdateringsdokumentation kan programuppdatering avbryta pågående supportsessioner. Vid tecken på intrång behövs incidenthantering och bevarande av bevis före omstart eller ominstallation.
- Inventera installationen. Dokumentera driftform, ansvarig, Remote Support-version och tidigare uppdateringar i ett internt ärende. Publicera inte interna adresser, licensnycklar eller skärmbilder med känsliga uppgifter.
- Öppna rätt administration. Använd organisationens kända adress till
/appliance. BeyondTrusts engelska dokumentation anger sidan Updates för uppdateringar och knappen Check for updates för att hämta tillgängliga paket. Menynamnen här är engelska. - Stäm av paketet och förutsättningarna. Följ bulletinen och leverantörens uppgraderingsordning. Kontrollera separat att BT26-05-RS faktiskt har applicerats; anta inte att automatisk uppdatering har lyckats.
- Verifiera efteråt. Spara resultat, tidpunkt och installationsbekräftelse i driftärendet. Kontrollera normal supportfunktion och logginsamling. Om patchen inte går att hitta eller statusen är oklar, öppna ett supportärende med hänvisning till BT26-05.
En tom lista över tillgängliga uppdateringar är inget säkert installationsbevis. Dokumentationen för Updates anger att ett redan nedladdat paket försvinner ur listan även om det återstår att installera det. För ett sådant fall behövs kontroll av installationen eller leverantörens hjälp.
Vad vet vi om angreppen?
Mandiants originalrapport från 15 oktober beskriver exploatering i slutet av augusti 2026, innan bristen var offentligt känd. Mandiant kopplar den till ARMORY CASTLE, tidigare UNC5221, och bedömer aktören som misstänkt Kinaanknuten. Det är analysföretagets attribuering.
Rapporten beskriver kvarvarande åtkomst och försök att komma åt inloggningsuppgifter. Mandiant varnar för att fler kan försöka utnyttja felet efter offentliggörandet; det är en riskbedömning, inte ett belägg för redan omfattande spridning. Källorna här belägger inte attacker mot svenska kunder.
Om servern kan ha angripits
Låt incidentteamet bedöma exponeringstiden och bevara loggar, även kopior utanför servern. Mandiant rekommenderar granskning av internetåtkomliga, tidigare sårbara installationer och av åtkomstuppgifter och konfiguration även för SaaS. Patchning tar inte automatiskt bort tidigare etablerad åtkomst.
Vid tecken på exploatering ber BeyondTrust kunden öppna ett Sev 1-supportärende och ange BT26-05. Samordna bevissäkring, eventuell isolering och återuppbyggnad med incidentteam och leverantör. Rotera berörda hemligheter i rätt ordning efter att miljön säkrats; lägg inte nya uppgifter i en server som en angripare fortfarande kan kontrollera.
Saknar du administratörsrättigheter, skicka bulletinen till den ansvariga driftorganisationen och be om ett verifierat patchbesked. Försök inte testa bristen mot produktionen för att få ett svar.
Källorna lästes 18 oktober 2026. Tekniksvar har inte testat patchen, administrerat någon kundinstallation eller genomfört en incidentutredning. Logotypen identifierar leverantören och visar inget drabbat system.
