据 BleepingComputer 报道，BeyondTrust 周四警告客户修补 Remote Support（RS）中的严重漏洞，该漏洞自 8 月下旬起已被用于零日攻击。美国网络安全和基础设施安全局（CISA）于 2026 年 10 月 16 日将其纳入已知被利用漏洞（KEV）目录，敦促受影响的自托管用户立即修补，并排查可能的入侵。
据 BleepingComputer 报道，该漏洞编号为 CVE-2026-102764，属于认证绕过漏洞，影响 RS 26.2.3 及更早版本，可让未获授权的远程攻击者在未修补设备上执行文件操作。
BeyondTrust 已于 10 月 8 日为全部 Remote Support 和 Privileged Remote Access（PRA）的 SaaS 客户完成修补；未开启自动更新的自托管实例需要手动安装补丁。公司表示，内部测试尚未发现攻击者可在 PRA 中利用该漏洞的方式，但由于 PRA 共用受影响代码，也为其发布了补丁。
CISA 指出，补丁适用于 24.3.1 及更高的受支持版本，使用更旧版本的组织必须先升级，再按照 BeyondTrust 安全公告 BT26-05 安装 BT26-05-RS 补丁。
据 BleepingComputer 转述，BeyondTrust 称利用该零日漏洞的是一个疑似与中国有关联的间谍组织。Mandiant 和 Google 威胁情报团队（GTIG）将其称为 Armory Castle，原编号为 UNC5221；CrowdStrike 则称其为 Warp Panda。这一背景归属属于安全厂商的判断。
据 Mandiant 研究人员介绍，攻击者利用漏洞获得初始访问后，通过启用 SUID 权限提权至 root，随后部署 Sawfly 网页后门和 Bareclaw 隧道工具，清除日志以规避检测，并使用被盗管理员凭据在下游系统开启远程会话，实现横向移动。
Mandiant 表示，在漏洞利用窗口期内可从互联网访问、且运行存在漏洞版本的设备，在完成审查前均应视为可能已遭入侵。
据 BleepingComputer 报道，Shadowserver 追踪到超过 1,400 个暴露在网上的 BeyondTrust 远程支持实例，但未提供其中多少已完成修补、多少属于蜜罐的信息。
CISA 建议，将设备的外部访问限制在支持用户和客户所必需的服务范围内，并仅向受信任网络开放管理界面。受影响的自托管组织还应开展网络和内存取证，查找潜在入侵证据。
对于疑似遭入侵的设备，CISA 建议先隔离并保留取证材料，调查异常管理会话、脚本文件、日志缺失及未经授权的权限变更；随后从已知可信状态重建并安装补丁，轮换设备存储或注入的全部凭据，撤销所有活跃支持会话，并检查特权账户新增的多因素认证注册。
