Swiss KMU Cyber-Alert: BeyondTrust Remote Support – Zero-Day wird aktiv ausgenutzt
BeyondTrust Remote Support, früher als Bomgar bekannt, wird von IT-Teams und IT-Dienstleistern für Fernwartung eingesetzt.
Eine kritische Zero-Day-Schwachstelle wurde bereits gegen selbst gehostete Appliances ausgenutzt. BeyondTrust hat SaaS-Instanzen bis 9. Oktober 2026 gepatcht; selbst gehostete Systeme benötigen eine ausdrückliche Kontrolle.
Falls Ihr Unternehmen oder Ihr IT-Dienstleister BeyondTrust Remote Support selbst betreibt, sollte jetzt geprüft werden, ob der Patch BT26-05-RS installiert ist und ob das System seit Ende August 2026 aus dem Internet erreichbar war.
Was ist passiert?
BeyondTrust veröffentlichte am 15. Oktober 2026 die Schwachstelle CVE-2026-102764 in Remote Support. Ein entfernter Angreifer kann ohne Anmeldung Dateioperationen auf einer verwundbaren Appliance ausführen.
BeyondTrust und Mandiant bestätigen, dass ein mutmasslich staatlich unterstützter Akteur die Lücke bereits am 29. August 2026 als Zero-Day gegen eine gehostete und eine selbst betriebene Remote-Support-Instanz ausnutzte. Nach der Kompromittierung wurden unter anderem administrative Kontrolle, Persistenz, Zugriff auf gespeicherte oder vermittelte Zugangsdaten und Fernzugriffe auf nachgelagerte Systeme beobachtet.
Könnte mein Unternehmen betroffen sein?
Betroffen sind selbst gehostete BeyondTrust Remote Support Appliances in allen Versionen bis einschliesslich 26.2.3. Das Produkt kann direkt im Unternehmen oder durch einen externen IT-Dienstleister betrieben werden.
Remote Support SaaS: BeyondTrust hat alle SaaS-Instanzen bis 9. Oktober 2026 gepatcht; für die Appliance ist keine weitere Kundenmassnahme erforderlich.
Self-hosted 24.3.1 bis 26.2.3: Der Patch BT26-05-RS muss installiert oder seine automatische Installation bestätigt werden.
Self-hosted älter als 24.3.1: Zuerst auf eine unterstützte Version aktualisieren und danach BT26-05-RS anwenden.
BeyondTrust Privileged Remote Access teilt betroffenen Code. BeyondTrust hat dort keine Ausnutzbarkeit bestätigt, empfiehlt für selbst gehostete Systeme aber vorsorglich ebenfalls den Patch.
Was sollten Sie jetzt tun?
Beauftragen Sie Ihren IT-Dienstleister heute mit einer kurzen Bestands- und Patchprüfung. Entscheidend ist zuerst die Frage, ob BeyondTrust Remote Support beziehungsweise Bomgar als SaaS oder selbst gehostet eingesetzt wird.
Bei selbst gehosteten Appliances den Patchstatus für BT26-05-RS und die eingesetzte Version dokumentieren.
Prüfen, ob die Appliance seit dem 29. August 2026 auf einer verwundbaren Version aus dem Internet erreichbar war.
Bei früherer Internet-Exposition externe Syslog-, Firewall-, Reverse-Proxy- und WAF-Protokolle sichern und eine Kompromittierungsprüfung durchführen.
Bei Verdachtsmomenten das weitere Vorgehen mit BeyondTrust Support beziehungsweise einem Incident-Response-Spezialisten koordinieren; Zugangsdaten erst nach Patch oder sauberem Neuaufbau rotieren.
Wie dringend ist es?
Dringlichkeit: sehr hoch für selbst gehostete, internetseitig erreichbare Remote-Support-Appliances.
Es handelt sich um eine bestätigte Zero-Day-Ausnutzung ohne erforderliche Anmeldung. SaaS-Kunden sind für die Appliance bereits gepatcht; bei selbst gehosteten Installationen ist eine aktive Kontrolle nötig, weil die Verfügbarkeit automatischer Updates nicht überall gleich ist und ein Patch eine frühere Kompromittierung nicht rückgängig macht.
Informationen für Ihren IT-Dienstleister
CVE: CVE-2026-102764; CVSS v4.0: 9.3; CWE-290.
Betroffen: BeyondTrust Remote Support bis und mit 26.2.3.
Fix: BT26-05-RS für Versionen 24.3.1 bis 26.2.3; ältere Versionen zuerst aktualisieren.
Angriffsweg: Netzwerk, geringe Komplexität, keine Rechte und keine Benutzerinteraktion erforderlich.
Wirkung: Dateioperationen beziehungsweise beliebiger Datei-Upload auf der Appliance; laut Mandiant kann dies zu Kontrolle des Hosts und Zugriff auf gespeicherte oder vermittelte Zugangsdaten führen.
Bei möglicher Exposition die Mandiant-Indikatoren und Erkennungshinweise prüfen. Da Angreifer lokale Logs löschten, sind ausserhalb der Appliance gespeicherte Protokolle besonders wichtig.
