BeyondTrust: Spionagegruppe nutzte die Fernwartungslücke seit Ende August

Michael Dobler

Autor Dr. Web

19. Okt. 2026

3 Min. Lesezeit

Mandiant zufolge kaperte eine mutmaßlich chinesische Spionagegruppe seit Ende August Fernwartungsserver von BeyondTrust, Wochen bevor der Hersteller die Lücke am 15. Oktober öffentlich machte. Auf den Geräten lagen die Zugangsdaten für alle Rechner, die sie verwalten. Das Update schließt die Lücke, verrät aber nicht, ob jemand schon drin war.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

„Jedes Gerät, das im Angriffszeitraum mit einer anfälligen Version aus dem Internet erreichbar war, sollte bis zur Prüfung als möglicherweise kompromittiert gelten“, schreiben die Forscher der Google-Tochter Mandiant.^[1] Betroffen ist BeyondTrust Remote Support, eine Fernwartungssoftware, mit der IT-Abteilungen und Helpdesks fremde Rechner fernsteuern. Die US-Cybersicherheitsbehörde CISA gab Bundesbehörden drei Tage Zeit, um die Lücke zu schließen und die Server forensisch zu prüfen. Die Frist endet am 19. Oktober.^[3]

Das Wichtigste in Kürze

Die Lücke CVE-2026-102764 erlaubt Angreifern ohne Anmeldung, Dateien auf Remote-Support-Servern bis Version 26.2.3 abzulegen.
Mandiant schreibt die Angriffe der mutmaßlich China-nahen Spionagegruppe ARMORY CASTLE zu.
Bei Cloudkunden hat BeyondTrust die Lücke bis zum 9. Oktober selbst geschlossen, selbst betriebene Server brauchen den Patch BT26-05-RS.
BeyondTrust Remote Support steht seit Dezember 2024 zum vierten Mal im CISA-Katalog ausgenutzter Lücken.

Was taten die Angreifer auf den Servern?

Oranger Schlüssel mit Anhänger „Passt überall“ an Ring, weißer Hintergrund — US-Sicherheitsdatenbank bewertet kritische Sicherheitslücke mit 9,8/10 Punkten. Angreifer nutzten sie zur Installation einer Webshell und erlangten Root-Rechte auf dem Server

Die US-Schwachstellendatenbank NVD bewertet die Lücke mit 9,8 von 10 Punkten.^[2] Über sie luden die Angreifer eine Webshell hoch, ein kleines PHP-Programm, über das sie Befehle auf dem Server ausführten. Anschließend kopierten sie die Kommandozeile des Systems (Shell) und statteten die Kopie mit Root-Rechten aus, also vollen Administratorrechten. Ein Startskript sorgte dafür, dass diese Rechte einen Neustart und das Zurücksetzen der Konfiguration überstanden. Protokolle löschten sie immer wieder.^[1]

Mandiant beobachtete, wie die Angreifer versuchten, die im Gerät hinterlegten Passwörter und Schlüssel auszulesen. Mit einem übernommenen Administratorkonto meldeten sie sich an und gaben ihm volle Rechte auf alle hinterlegten Zielrechner. Über gewöhnliche Fernwartungssitzungen luden sie interne Dokumente wie Software-Inventarlisten herunter und leiteten Datenverkehr über einen eigenen Proxy-Dienst ins Firmennetz.^[1]

Warum trifft es immer wieder die Fernwartung?

Auf einem Fernwartungsserver liegen die Zugangsdaten für jeden Rechner, den er verwaltet. Mit Root-Rechten hatten die Angreifer laut Mandiant Zugriff auf alle Zugangsdaten, die das Gerät speicherte oder weiterreichte.^[1]

Ende 2024 drangen staatlich gesteuerte chinesische Angreifer nach Angaben des US-Finanzministeriums mit einem gestohlenen Schlüssel von BeyondTrust in dessen Fernwartung ein. Mandiant ordnete ARMORY CASTLE unter dem alten Namen UNC5221 bereits Angriffe auf Ivantis VPN-Gateways zu. Nach der Veröffentlichung einer Lücke folgte bei dieser Gruppe laut Mandiant oft eine Welle breit gestreuter Angriffe.^[1] Geräte am Übergang zum Internet stehen regelmäßig im Visier, zuletzt traf es Palo-Alto-Firewalls mit einer Lücke, die Angreifern volle Administratorrechte verschafft.

Ein Fernwartungsserver ist der Generalschlüssel zum Firmennetz. Nach dem Patch beginnt erst die Suche nach Nachschlüsseln.
Markus Seyfferth, Chefredakteur Dr. Web

Die BeyondTrust-Lücke in Zahlen

Vom ersten Angriff bis zur Meldepflicht in Deutschland

9,8 von 10

Punkten vergibt die US-Schwachstellendatenbank NVD für CVE-2026-102764

Ende August

nutzte ARMORY CASTLE die Lücke laut Mandiant bereits, gemeldet wurde sie am 15. Oktober

4 Einträge

zu BeyondTrust Remote Support stehen seit Dezember 2024 im CISA-Katalog ausgenutzter Lücken

3 Tage

hatten US-Bundesbehörden für Patch und forensische Prüfung, Frist 19. Oktober

24 Stunden

nach Kenntnis eines erheblichen Vorfalls ist in Deutschland die frühe Erstmeldung fällig (§ 32 BSIG)

Was müssen Unternehmen in Deutschland jetzt tun?

Nach dem BSI-Gesetz zeigen wichtige und besonders wichtige Einrichtungen einen erheblichen Sicherheitsvorfall binnen 24 Stunden in einer frühen Erstmeldung an. Nach 72 Stunden folgt eine erste Bewertung, einen Monat später die Abschlussmeldung.^[6] Ob ein gekaperter Fernwartungsserver diese Schwelle erreicht, klärt erst die Untersuchung. Am selben Tag nahm die CISA auch eine ausgenutzte Fortinet-Lücke in FortiOS, FortiProxy, FortiPAM und FortiSwitchManager auf. Angreifer mit Administratorrechten können damit beliebige Dateien schreiben oder löschen, einen Patch gibt es seit April.^[5]

Für Betreiber selbst gehosteter BeyondTrust-Server gilt:

Server bis Version 26.2.3 bekommen den Patch BT26-05-RS, Versionen vor 24.3.1 brauchen vorher ein Upgrade.^[4]
Jedes Gerät, das seit Ende August aus dem Internet erreichbar war, wird auf fremde Dateien, neue Startskripte und gelöschte Protokolle untersucht.
Alle im Gerät hinterlegten Passwörter und Schlüssel werden ausgetauscht, auch die für die Zielrechner.
Administratorkonten und ihre Rechte auf Zielrechner werden mit dem Stand vor August verglichen.