Warum bei BeyondTrust Remote Support der Patch allein nicht reicht

Wer BeyondTrust Remote Support selbst hostet, muss den Patch BT26-05-RS einspielen (laut CISA für Versionen ab 24.3.1, ältere Versionen zuerst aktualisieren), den Zugriff auf die Appliance einschränken und alle selbst gehosteten Instanzen auf Kompromittierung untersuchen. Die Schwachstelle CVE-2026-102764 wird laut BSI seit mindestens August als Zero-Day ausgenutzt, also bevor ein Patch existierte. Die US-Behörde CISA hat sie am 16.10.2026 in ihren KEV-Katalog aufgenommen. Von BeyondTrust selbst betriebene SaaS-Instanzen sind laut CISA bereits gepatcht.

Was über die Lücke belegt ist

Am 15.10.2026 veröffentlichte BeyondTrust ein Advisory zu einer kritischen Schwachstelle in Remote Support, der früher unter dem Namen Bomgar bekannten Fernwartungslösung. Das BSI hat dazu am selben Tag die Cybersicherheitswarnung 2026-297832-1032 in Version 1.0 herausgegeben, mit dem Titel „Zero-Day Schwachstelle seit mindestens August ausgenutzt“. Die Ursache beschreibt das BSI als unzureichende Validierung des Ursprungs von Nachrichten in einer internen Messaging-Komponente. Unter bestimmten Voraussetzungen können Angreifende dadurch Dateioperationen auf der betroffenen Appliance ausführen. Mehr Technik gehört hier bewusst nicht hin.

Der Hersteller bewertet die Lücke nach dem Bewertungssystem CVSSv4 mit 9,3 von 10 Punkten und damit als „kritisch“. Das ist eine Herstellerbewertung, die den Schweregrad der Schwachstelle abbildet, nicht das Risiko in Ihrer konkreten Umgebung. Die CISA spricht in ihrem Alert vom 16.10.2026 von einer „critical authentication bypass vulnerability“, also einer Umgehung der Authentifizierung, und nennt Remote Support in den Versionen 26.2.3 und älter als betroffen.

Entscheidend für die Einordnung: Es handelt sich nicht um eine theoretische Schwachstelle. Laut BeyondTrust und der Google Threat Intelligence Group wurde sie bereits seit August als Zero-Day ausgenutzt, die CISA stuft sie als aktiv ausgenutzt ein. Die CISA beschreibt als Zweck der Ausnutzung den Erstzugang, auf den Persistenz, Rechteausweitung und laterale Bewegung im Netz folgen. Persistenz heißt, dass sich jemand dauerhaft auf einem System einrichtet, laterale Bewegung bedeutet das Weiterwandern auf andere Systeme.

Zum KEV-Katalog (Known Exploited Vulnerabilities): Er listet Schwachstellen, für die die CISA eine tatsächliche Ausnutzung als belegt ansieht. Auch die KEV-Neuzugänge vom 14. Oktober betrafen Lücken, deren Ausnutzung die CISA als belegt ansieht.

Zur Frage nach Opferzahlen oder betroffenen Branchen geben die ausgewerteten Quellen nichts her. Aus dem Fehlen solcher Angaben lässt sich weder Entwarnung noch ein Ausmaß ableiten.

Warum reicht der Patch allein nicht?

Ein Patch schließt die Lücke, räumt aber nichts auf. Wenn die Ausnutzung seit mindestens August läuft und der Hersteller sein Advisory erst am 15.10.2026 veröffentlicht hat, liegt zwischen dem Beginn der Ausnutzung und dem Update ein Zeitfenster von deutlich mehr als einem Monat. Wurde die Appliance in dieser Zeit erreicht, kann ein Zugang längst bestehen, der durch das Update nicht verschwindet.

Das ist der Grund, warum die CISA die Untersuchung gleichrangig neben das Patchen stellt. Sie empfiehlt Netzwerk- und Speicherforensik auf allen betroffenen selbst gehosteten Appliances. Speicherforensik ist die Analyse des Arbeitsspeichers, in dem sich Spuren finden können, die auf der Festplatte fehlen.

Eine Einschränkung gehört dazu: Ob die eigene Instanz betroffen war, hängt vom Expositionsfenster ab, also davon, wie lange und von wo die Appliance erreichbar war. Ohne Untersuchung lässt sich das nicht zuverlässig beantworten. Der Satz „Bei uns ist nichts aufgefallen“ ist ohne Logs und Forensik eine Vermutung, kein Befund.

Patch einspielen: Version, Reihenfolge, Zuständigkeit

Die CISA nennt für selbst gehostete Appliances den Patch BT26-05-RS gemäß dem BeyondTrust Security Advisory BT26-05. Das Advisory selbst konnten wir nicht abrufen, die Versionsangaben stützen sich deshalb auf die CISA. Demnach gibt es Patches für unterstützte Versionen ab 24.3.1; wer eine ältere Version betreibt, muss zuerst auf eine unterstützte Version aktualisieren.

Planen Sie diesen Zwischenschritt ein, denn er verlängert das Wartungsfenster. Ein hypothetisches Beispiel: Läuft in einer Organisation noch eine Version vor 24.3.1, ist ein Update auf BT26-05-RS an einem Abend nicht realistisch, und bis dahin bleibt die Zugriffsbegrenzung die wirksamere Zwischenmaßnahme.

SaaS-Kundschaft muss laut CISA nicht patchen, weil BeyondTrust die gehosteten Deployments bereits aktualisiert hat. Ob dort vor dem Patch etwas geschehen ist, beantwortet die CISA in den gelesenen Passagen nicht. Wer SaaS nutzt, sollte das im Zweifel beim Hersteller erfragen.

Zugriff begrenzen: Was die CISA konkret empfiehlt

Dieses Bild wurde komplett mit KI generiertProviderhiggsfieldModellgpt_image_2PromptTwo IT security staff in a dim operations room reviewing abstract log timelines and network diagrams on large monitors, a printed checklist on the desk, late evening, focused incident response mood. Photorealistic editorial magazine photo, 16:9. Absolutely no text, no letters, no numbers, no logos, no brand marks.

Die CISA rät, den externen Zugriff auf die Dienste zu begrenzen, die für den Support tatsächlich nötig sind. Administrative Oberflächen sollten nur aus vertrauenswürdigen Netzen erreichbar sein. Beides verkleinert die Angriffsfläche, auch für künftige Lücken, und lässt sich meist ohne Wartungsfenster umsetzen.

Dahinter steht eine schlichte Überlegung: Eine Fernwartungs-Appliance ist darauf ausgelegt, von außen erreichbar zu sein, aber nicht jede ihrer Oberflächen muss es sein. Wer die Verwaltung nur aus vertrauenswürdigen Netzen erreichbar macht, entzieht ihr einen Teil der Sichtbarkeit im Internet. Welche Dienste in Ihrer Konfiguration zwingend offen bleiben müssen, sollten Sie anhand der Herstellerdokumentation klären, nicht per Schätzung.

Eine ähnliche Konstellation gab es zuletzt bei einem anderen Produkt: Auch bei Cisco Secure Email Gateway und einer aktiv ausgenutzten Lücke war die Erreichbarkeit der Verwaltungsoberfläche ein Teil der Risikobetrachtung. Die Produkte unterscheiden sich, der Grundsatz trägt trotzdem: Zugang begrenzen, bevor es nötig wird.

Zugriffsbegrenzung ersetzt den Patch nicht. Sie senkt das Risiko für die Zeit bis zum Update und danach, schließt aber die Schwachstelle selbst nicht.

Was tun bei Verdacht auf Kompromittierung?

Bei einem Verdacht empfiehlt die CISA eine feste Reihenfolge. Zuerst wird die Appliance isoliert, dann wird der Zustand gesichert: ein Snapshot bei virtuellen Appliances, ein forensisches Image bei physischen. Erst danach folgt die Aufräumarbeit, weil sonst die Spuren verloren gehen, die Sie für die Bewertung brauchen.

Logs sichern

Syslog und Sitzungsereignisse der Appliance gehören sofort in das SIEM, das zentrale System zur Sammlung und Auswertung von Sicherheitsprotokollen. Zusätzlich sollten Sie die Protokolle von Web Application Firewall (WAF), Reverse Proxy und Perimeter-Firewall für das gesamte Expositionsfenster sichern. Diese Systeme sitzen vor der Appliance und können Hinweise enthalten, die auf der Appliance selbst fehlen oder manipuliert sein könnten.

Wonach die CISA suchen lässt

Die CISA nennt als Hinweise auf eine Kompromittierung:

• unbekannte privilegierte oder Admin-Sitzungen,
• unbekannte Skriptdateien auf der Appliance,
• unerwartete Lücken in Logs oder in der Log-Weiterleitung,
• nicht autorisierte Änderungen an Konten, Rechten oder Session-Richtlinien.

Für weitere Erkennungshinweise verweist die CISA auf Veröffentlichungen von BeyondTrust und Mandiant. Diese haben wir nicht ausgewertet und geben daraus nichts wieder.

Die Liste ist ein Suchraster und kein Ausschlusskriterium. Wer keinen dieser Punkte findet, hat damit keinen Beweis für eine saubere Appliance, vor allem dann nicht, wenn Logs lückenhaft sind. Eine unerwartete Lücke in den Logs gilt bei der CISA ausdrücklich selbst als Warnzeichen.

Neu aufsetzen, Zugangsdaten rotieren, Sitzungen widerrufen

Ist die Appliance betroffen oder lässt sich das nicht ausschließen, sieht die CISA vor, sie aus einem bekannt sauberen Zustand neu aufzusetzen und erst dann den Patch einzuspielen. Ein Update auf dem bestehenden, womöglich veränderten System ist damit keine Lösung. Ein bekannt sauberer Zustand setzt voraus, dass Sie wissen, woher er stammt, und das lässt sich nur mit vorhandenen, geprüften Sicherungen oder frischen Installationsmedien erreichen.

Danach folgt der Teil, der in der Praxis gern liegen bleibt: Rotieren Sie jede Zugangsinformation, die die Appliance gespeichert oder injiziert hat. Das betrifft alles, was die Appliance zur Anmeldung an anderen Systemen verwendet hat. Der Kreis ist damit potenziell groß, denn eine Fernwartungslösung hat naturgemäß Zugriff auf viele Ziele. Wer ein Inventar solcher Verbindungen führt, spart hier Zeit; wer keines hat, sollte jetzt eines anlegen.

Außerdem empfiehlt die CISA, alle aktiven Support-Sitzungen zu widerrufen und neue MFA-Registrierungen privilegierter Konten zu prüfen, denn über einen selbst eingerichteten zweiten Faktor könnten sich Unbefugte einen Zugang erhalten.

Der Hinweis auf MFA-Registrierungen ist leicht zu übersehen. Er zielt darauf, dass ein Konto trotz geändertem Passwort kontrolliert bleibt, wenn ein unbekannter Faktor hinterlegt ist. Das gilt auch dann, wenn die Appliance längst bereinigt wurde.

Wie belastbar ist die Zuordnung zu einem Akteur?

Laut BeyondTrust und der Google Threat Intelligence Group deuten Indikatoren darauf hin, dass die Aktivitäten wahrscheinlich dem mutmaßlich China-nahen Akteur ARMORY CASTLE zuzuordnen sind, der auch als UNC5221 oder WARP PANDA geführt wird. Das BSI gibt diese Einschätzung wieder. Wahrscheinlich bedeutet nicht gesichert, und „mutmaßlich China-nah“ ist eine Einordnung, kein Nachweis.

Für Ihre Gegenmaßnahmen ändert die Zuordnung wenig: Patch, Zugriffsbegrenzung, Untersuchung und bei Verdacht der Neuaufbau bleiben dieselben.