BeyondTrust Remote Support ข้ามยืนยันตัวตน CVE-2026-102764
ผู้ดูแล BeyondTrust Remote Support แบบ self-hosted ที่ยังไม่ได้แก้ต้องเร่งติดตั้งแพตช์ เพราะมีการโจมตีจริงและ CISA กำหนดเส้นตาย KEV วันที่ 19 ตุลาคม 2026
1-minute summary
- Symptom / problem
- ส่วนประกอบภายในตรวจต้นทางข้อความไม่เพียงพอ เปิดทางให้ผู้โจมตีจากระยะไกลข้ามการยืนยันตัวตนเพื่อจัดการไฟล์บน appliance
- Who should read
- Remote Support ทุกรุ่นถึง 26.2.3 ที่ยังไม่ได้ติดตั้งแพตช์ โดยผู้ใช้ self-hosted ต้องตรวจสถานะการแก้ไขเอง
- Fix in short
- รุ่น 24.3.1–26.2.3 ใช้แพตช์ BT26-05-RS รุ่นเก่ากว่านั้นต้องอัปเกรดก่อน ส่วน 26.3.1 ขึ้นไปมีตัวแก้แล้ว
พอดีไล่ฟีด CISA KEV วันที่ 16 ตุลาคม 2026 เจอ CVE-2026-102764 ของ BeyondTrust Remote Support ช่องโหว่นี้ข้ามการยืนยันตัวตนด้วยการปลอมต้นทางข้อความ และถูกใช้โจมตีจริงแล้ว ผู้ดูแลแบบ self-hosted ควรตรวจแพตช์ทันที เพราะผู้โจมตีอาจจัดการไฟล์บน appliance ได้ CISA กำหนดแก้ภายใน 19 ตุลาคม 2026 สำหรับหน่วยงานรัฐบาลกลางสหรัฐฯ ที่อยู่ภายใต้ข้อกำหนด (ข้อมูล KEV ของ CISA)
เกิดอะไรขึ้น
ส่วนรับส่งข้อความภายใน Remote Support ตรวจต้นทางข้อความไม่ครบ ในบางเงื่อนไข ผู้โจมตีจากระยะไกลอาจจัดการไฟล์บน appliance ได้โดยไม่ได้รับอนุญาต ปัญหานี้จัดอยู่ใน CWE-290 หรือ Authentication Bypass by Spoofing ตาม ระเบียน CVE
คะแนนจากผู้ผลิตอยู่ที่ CVSS v4.0 9.3 ระดับ Critical โดยเวกเตอร์ระบุว่าโจมตีผ่านเครือข่ายได้ ไม่ต้องมีสิทธิ์เดิม และไม่ต้องให้ผู้ใช้กดหรือยืนยันอะไร ผลกระทบครอบคลุมความลับ ความถูกต้องของข้อมูล และความพร้อมใช้งานของระบบที่มีช่องโหว่
BeyondTrust ยืนยันว่ามีการใช้ช่องโหว่นี้แบบ zero-day กับ Remote Support ก่อนเปิดเผยประกาศ เมื่ออยู่ใน KEV แล้ว ควรเร่งแพตช์และตรวจร่องรอยการบุกรุกไปพร้อมกัน การติดตั้งแพตช์ไม่ได้บอกว่าเครื่องไม่เคยถูกบุกรุก (คำอธิบายเหตุการณ์จากผู้ผลิต)
ใครโดนและรุ่นที่แก้
ประกาศ BT26-05 ระบุว่า Remote Support ทุกรุ่นถึง 26.2.3 ได้รับผลกระทบ ตารางนี้อ้างอิงประกาศฉบับปรับปรุงวันที่ 4 พฤศจิกายน 2026 ซึ่งระบุรุ่นที่รวมตัวแก้เพิ่มเติมไว้ด้วย
| ผลิตภัณฑ์ / รุ่น | วิธีแก้ตามผู้ผลิต |
|---|---|
| Remote Support ต่ำกว่า 24.3.1 | อัปเกรดเป็นรุ่นใหม่ที่รองรับการติดตั้งแพตช์ก่อน |
| Remote Support 24.3.1–26.2.3 | ติดตั้งแพตช์ BT26-05-RS |
| Remote Support 26.3.1 ขึ้นไป | มีตัวแก้รวมในรุ่นแล้ว |
ผู้ผลิตระบุว่า Remote Support SaaS ได้รับแพตช์ครบแล้ว ณ วันที่ 9 ตุลาคม 2026 ส่วน self-hosted ที่ไม่ได้เปิดรับอัปเดตอัตโนมัติผ่านหน้า /appliance ต้องติดตั้งแพตช์เอง รุ่นที่ใช้แพตช์แยกต้องตรวจด้วยว่าติดตั้ง BT26-05-RS สำเร็จแล้ว ดูแค่เลขรุ่นไม่ได้
ต้องทำอะไร
ตรวจรุ่นและสถานะอัปเดตของ appliance แล้วติดตั้งแพตช์ผ่านกระบวนการที่ BeyondTrust กำหนด หากอยู่ต่ำกว่า 24.3.1 ให้จัดการอัปเกรดก่อน หลังทำเสร็จให้ตรวจสถานะแพตช์และทดสอบการให้บริการตามปกติ เก็บผลตรวจไว้ให้ทีมดูแลระบบตรวจสอบย้อนหลังได้
ผู้ผลิตยังแนะนำให้จำกัดหน้าบริหารไว้ในเครือข่ายที่เชื่อถือได้ และส่ง syslog กับเหตุการณ์ session ออกไปเก็บภายนอก appliance ตรวจหา session ผู้ดูแลที่ไม่รู้จัก ไฟล์สคริปต์แปลกในพื้นที่เว็บ และช่องว่างของ log หากพบหลักฐานการโจมตี ให้เปิดเคส Sev 1 กับ BeyondTrust โดยอ้าง BT26-05 และเปลี่ยนข้อมูลรับรองที่ appliance เก็บหรือใช้ตามคำแนะนำของผู้ผลิต
Privileged Remote Access ใช้โค้ดส่วนที่เกี่ยวข้องร่วมกัน ผู้ผลิตยังไม่พบวิธีโจมตีผลิตภัณฑ์นี้จากการทดสอบภายใน แต่แนะนำให้ผู้ใช้ self-hosted ติดตั้งแพตช์ที่ออกให้ทันทีเพื่อความรอบคอบ
ส่วนตัวผมให้เรื่องนี้เป็นงานแพตช์เร่งด่วน เพราะยืนยันการโจมตีจริงแล้ว และควรตรวจร่องรอยควบคู่กับการปิดช่องโหว่ ที่มา: CVE-2026-102764 (https://www.cve.org/CVERecord?id=CVE-2026-102764), CISA KEV, BeyondTrust BT26-05 และ คำแนะนำการตอบสนองเหตุการณ์ เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first