Kritisch79 / 100Konfidenz: Hoch

In CISA KEVCVSS9.4EPSS100 %Über Netz erreichbarOhne Anmeldung

Kunden sollten umgehend auf eine neuere Version von BeyondTrust Remote Support aktualisieren und den Patch BT26-05-RS anwenden.

▸Herleitung der Bewertung(5)

Wie der Wert zustande kommt

Im CISA-KEV-Katalog: CVE-2026-102764, CVE-2023-4966, CVE-2023-46805, CVE-2024-21887, CVE-2025-0282+25
Hoechster CVSS-Basiswert 9.4+17
EPSS 100.0 % Ausnutzungswahrscheinlichkeit binnen 30 Tagen+15
Wird laut Meldung tatsaechlich ausgenutzt: has been exploited+12
Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2023-4966, CVSS-Vektor AV:N/PR:N)+10

Woraus sich die Konfidenz ergibt

3 unabhaengige Herausgeber berichten den Sachverhalt
Darunter eine behoerdliche Primaerquelle
Strukturierte CVE-Daten aus der NVD vorhanden

Die Konfidenz misst die Belegqualität, nicht die Schwere.

Einschränkungen

1 im Text genannte CVE(s) liegen uns nicht vor und gehen nicht in die Bewertung ein: CVE-2026-22769
Fuer 1 erkannte CVE(s) liegt noch kein CVSS-Basiswert vor (NVD-Rueckstau).

Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.· 2026-10-16 10:53 UTCMethodik

Chinese APT Exploited BeyondTrust Vulnerability as Zero-Day

SecurityWeek·16. Oktober 2026, 10:53

Originalartikel lesen bei SecurityWeek

Eine chinesische APT-Gruppe namens Armory Castle (UNC5221/Warp Panda) hat eine Zero-Day-Schwachstelle (CVE-2026-102764) in BeyondTrust Remote Support (RS)-Produkten ausgenutzt. Betroffen sind alle RS-Versionen bis einschließlich 26.2.3, insbesondere SaaS-Anbieter, Technologieunternehmen und Regierungsbehörden. Kunden sollten umgehend auf eine neuere Version aktualisieren und den Patch BT26-05-RS anwenden oder, falls selbst gehostet, den Fix manuell installieren.

SecBoard-Einordnung

Die Ausnutzung einer Zero-Day-Schwachstelle durch eine staatlich unterstützte APT-Gruppe deutet auf ein hohes Risiko für Spionage und Datenexfiltration hin, was kritische Infrastrukturen und sensible Daten gefährden kann.

Realistisch schlimmster Fall: Unautorisierter Zugriff auf Remote-Support-Systeme, der zur Kompromittierung von Kundendaten, zur Spionage oder zur weiteren Ausbreitung innerhalb der Netzwerke der betroffenen Organisationen führen könnte.

Empfehlung: Kunden sollten umgehend auf eine neuere Version von BeyondTrust Remote Support aktualisieren und den Patch BT26-05-RS anwenden. Selbst gehostete Instanzen erfordern eine manuelle Installation des Fixes.

Im erfassten Bestand

▸CVE-2023-46805 kommt damit in 5 erfassten Meldungen der letzten 90 Tage vor.
▸CVE-2023-4966 stand zum Zeitpunkt dieser Meldung seit 1094 Tagen im KEV-Katalog der CISA.

Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.

Key Facts

CVE-2023-4966CISA KEV

CVSS: 9.4 · CRITICAL
EPSS: 100.0%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit: 2023-10-18
Patch: unbekannt

CVE-2024-21887CISA KEV

CVSS: 9.1 · CRITICAL
EPSS: 100.0%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit: 2024-01-10
Patch: unbekannt

CVE-2025-0282CISA KEV

CVSS: 9.0 · CRITICAL
EPSS: 100.0%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: hoch
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit: 2025-01-08
Patch: unbekannt

CVE-2023-46805CISA KEV

CVSS: 8.2 · HIGH
EPSS: 100.0%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität
im KEV seit: 2024-01-10
Patch: unbekannt
Zuweisende CNA: support@hackerone.com

CVE-2026-102764CISA KEV

CVSS: unbekannt
EPSS: 1.2%
Über das Netz: unbekannt
Anmeldung nötig: unbekannt
Nutzerinteraktion nötig: unbekannt
Angriffskomplexität: unbekannt
Beeinträchtigt: unbekannt
im KEV seit: 2026-10-16
Patch: unbekannt

CVE-2026-22769

Im Text genannt, liegt uns aber noch nicht vor.

Betroffen

SaaS-Anbieter, Technologieunternehmen und Regierungsbehörden, die BeyondTrust Remote Support (RS)-Produkte bis einschließlich Version 26.2.3 verwenden.

Hersteller

BeyondTrustCitrixIvanti

Produkte

Connect Secure and Policy SecureConnect Secure, Policy Secure, and ZTA GatewaysNetScaler ADC and NetScaler GatewayRemote SupportConnect Secure3 VersionenNeurons For Zero Trust AccessPolicy Secure

▸ CPE-Rohbezeichner anzeigen (31)

cpe:2.3:a:ivanti:connect_secure:22.7:r2.1:*:*:*:*:*:*
cpe:2.3:a:ivanti:connect_secure:22.7:r2.2:*:*:*:*:*:*
cpe:2.3:a:ivanti:connect_secure:22.7:r2.3:*:*:*:*:*:*
cpe:2.3:a:ivanti:connect_secure:22.7:r2.4:*:*:*:*:*:*
cpe:2.3:a:ivanti:connect_secure:22.7:r2:*:*:*:*:*:*
cpe:2.3:a:ivanti:connect_secure:9.0:*:*:*:*:*:*:*
cpe:2.3:a:ivanti:connect_secure:9.1:r10:*:*:*:*:*:*
cpe:2.3:a:ivanti:connect_secure:9.1:r11.3:*:*:*:*:*:*
cpe:2.3:a:ivanti:connect_secure:9.1:r11.4:*:*:*:*:*:*
cpe:2.3:a:ivanti:connect_secure:9.1:r11.5:*:*:*:*:*:*
cpe:2.3:a:ivanti:connect_secure:9.1:r11:*:*:*:*:*:*
cpe:2.3:a:ivanti:connect_secure:9.1:r12.1:*:*:*:*:*:*
cpe:2.3:a:ivanti:connect_secure:9.1:r12:*:*:*:*:*:*
cpe:2.3:a:ivanti:connect_secure:9.1:r13.1:*:*:*:*:*:*
cpe:2.3:a:ivanti:connect_secure:9.1:r13:*:*:*:*:*:*
cpe:2.3:a:ivanti:connect_secure:9.1:r14:*:*:*:*:*:*
cpe:2.3:a:ivanti:connect_secure:9.1:r15.2:*:*:*:*:*:*
cpe:2.3:a:ivanti:connect_secure:9.1:r15:*:*:*:*:*:*
cpe:2.3:a:ivanti:connect_secure:9.1:r16.1:*:*:*:*:*:*
cpe:2.3:a:ivanti:connect_secure:9.1:r16:*:*:*:*:*:*
cpe:2.3:a:ivanti:connect_secure:9.1:r17.1:*:*:*:*:*:*
cpe:2.3:a:ivanti:connect_secure:9.1:r17:*:*:*:*:*:*
cpe:2.3:a:ivanti:connect_secure:9.1:r18:*:*:*:*:*:*
cpe:2.3:a:ivanti:connect_secure:9.1:r1:*:*:*:*:*:*
cpe:2.3:a:ivanti:connect_secure:9.1:r2:*:*:*:*:*:*
cpe:2.3:a:ivanti:neurons_for_zero-trust_access:22.7:r2.2:*:*:*:*:*:*
cpe:2.3:a:ivanti:neurons_for_zero-trust_access:22.7:r2.3:*:*:*:*:*:*
cpe:2.3:a:ivanti:neurons_for_zero-trust_access:22.7:r2:*:*:*:*:*:*
cpe:2.3:a:ivanti:policy_secure:22.7:r1.1:*:*:*:*:*:*
cpe:2.3:a:ivanti:policy_secure:22.7:r1.2:*:*:*:*:*:*
cpe:2.3:a:ivanti:policy_secure:22.7:r1:*:*:*:*:*:*

Prüfen

▸Überprüfen Sie alle BeyondTrust Remote Support (RS)-Instanzen auf die installierte Version und stellen Sie sicher, dass diese über 26.2.3 liegt oder der Patch BT26-05-RS angewendet wurde.
▸Suchen Sie in Ihren Systemprotokollen nach ungewöhnlichen Aktivitäten oder Anmeldeversuchen im Zusammenhang mit BeyondTrust RS-Produkten, die auf eine Kompromittierung hindeuten könnten.

▸ 1 weitere

▸Stellen Sie sicher, dass alle Remote-Support-Zugänge den Prinzipien der geringsten Privilegien folgen und Multi-Faktor-Authentifizierung (MFA) aktiviert ist.

Offene Punkte

▸ anzeigen

▸Der genaue Mechanismus der Ausnutzung der Zero-Day-Schwachstelle (CVE-2026-102764) ist nicht spezifiziert.
▸Die spezifischen Auswirkungen der Spionage, abgesehen von der allgemeinen Datenexfiltration, sind nicht detailliert.
▸Es werden keine spezifischen Indikatoren für Kompromittierung (IOCs) genannt, die zur Erkennung einer bereits erfolgten Ausnutzung verwendet werden könnten.

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen

Initial Access möglich?Ja
Privilege Escalation relevant?Unklar
Exploit öffentlich verfügbar?Ja
Detection / Logging prüfbar?Möglich
Für Purple-Team-Szenario geeignet?Unklar

Kundenfragen

Haben wir Fortinet extern erreichbar?
Haben wir Cisco extern erreichbar?

MITRE ATT&CK(2)

Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.

T1190Exploit Public-Facing Applicationzugeordnet

„Eine chinesische APT-Gruppe namens Armory Castle (UNC5221/Warp Panda) hat eine Zero-Day-Schwachstelle (CVE-2026-102764) in BeyondTrust Remote Support (RS)-Produkten ausgenutzt.“

T1565Data Manipulationzugeordnet

„für Spionage“

Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.