Mục lụcChạm để xem nhanh các phần＋
- Remote Support 26.2.3 trở xuống bị ảnh hưởng; CVSS 4.0 là 9,3, mức nghiêm trọng.
- Mandiant xác nhận bằng chứng khai thác từ cuối tháng 8; thông tin được công bố ngày 15/10.
- Máy tự vận hành cần BT26-05-RS; bản dưới 24.3.1 phải nâng cấp trước khi áp dụng vá.
Cảnh báo ngày 16/10 dành cho hệ thống hỗ trợ từ xa
Trung tâm An ninh mạng Canada ngày 16/10/2026 phát cảnh báo về CVE-2026-102764 trong BeyondTrust Remote Support. Lỗi có thể cho người ở xa, chưa đăng nhập, thao tác tệp trái phép trên thiết bị mà không cần người dùng bấm gì. BeyondTrust xếp mức nghiêm trọng, điểm CVSS 4.0 là 9,3. CVSS là thang đánh giá mức nghiêm trọng kỹ thuật, không phải xác suất một doanh nghiệp đã bị tấn công. Doanh nghiệp dùng bản tự vận hành cần kiểm tra bản vá ngay.
BeyondTrust công bố lỗi ngày 15/10. Mandiant cho biết đã tìm thấy bằng chứng khai thác từ cuối tháng 8 trong một cuộc ứng cứu sự cố. Diễn biến mới là công bố kỹ thuật và cảnh báo ứng phó trong tuần này; ngày đăng bài 18/10 không phải ngày cuộc tấn công đầu tiên xảy ra.
Bản nào cần xử lý và bản vá nằm ở đâu
Advisory BT26-05 của hãng liệt kê Remote Support 26.2.3 trở xuống bị ảnh hưởng. Bản sửa mang tên BT26-05-RS áp dụng cho dải 24.3.1–26.2.3. Với hệ thống cũ hơn 24.3.1, quản trị viên phải nâng lên phiên bản được hỗ trợ trước khi áp dụng bản vá. Chỉ ghi nhận số phiên bản chính sẽ chưa đủ xác nhận đã khắc phục.
BeyondTrust cho biết khách hàng Remote Support SaaS đã được vá từ 9/10. SaaS là dịch vụ do nhà cung cấp vận hành; máy tự cài đặt tại doanh nghiệp có trách nhiệm cập nhật khác. Hãng yêu cầu vá thủ công nếu máy tự vận hành không đăng ký cập nhật tự động. Không nên lấy thông báo khách hàng đám mây đã an toàn để đóng yêu cầu của một máy tự quản lý.
Vì sao hệ thống hỗ trợ từ xa cần được ưu tiên
Remote Support giúp đội IT chạm tới máy của người dùng để xử lý sự cố. Friday Works nhận định một điểm yếu tại cửa ngõ này cần được ưu tiên vì phạm vi quyền được trao có thể rộng hơn một ứng dụng nội bộ thông thường. Doanh nghiệp cần xác định thiết bị nào đang mở ra Internet, ai quản trị và những tài khoản nào được hệ thống sử dụng.
Mandiant mô tả hoạt động duy trì truy cập và xóa dấu vết sau khai thác. Đây là bằng chứng từ sự cố được điều tra, không phải kết luận mọi khách hàng BeyondTrust đều bị xâm nhập. Bản tin không cung cấp câu lệnh khai thác; việc đánh giá tại doanh nghiệp nên dựa vào thông tin tài sản, nhật ký và hướng dẫn hỗ trợ chính thức.
Vá phần mềm và điều tra dấu vết là hai đầu việc
Friday Works khuyến nghị tách yêu cầu xử lý thành hai phần có người chịu trách nhiệm: chặn lỗ hổng bằng bản vá và rà khả năng đã bị sử dụng trước đó. Sau cập nhật, lưu bằng chứng BT26-05-RS được cài thành công, kiểm tra dịch vụ hỗ trợ hoạt động và đối chiếu lịch sử truy cập với những phiên đã được phê duyệt.
Nếu phát hiện tệp bất thường, tài khoản lạ hoặc khoảng trống nhật ký đáng ngờ, cần giữ bằng chứng và liên hệ đầu mối ứng cứu cùng hỗ trợ hãng. Không xóa tệp hay cài lại vội trước khi thu thập dữ liệu cần thiết. Bản vá giúp ngăn lối vào đã biết; bản vá không tự loại bỏ mọi thay đổi mà kẻ xâm nhập có thể đã để lại.
Danh sách hành động cho người phụ trách vận hành
Việc cần làm gồm phân loại SaaS hay tự vận hành; ghi phiên bản và trạng thái cập nhật từng máy; đối chiếu BT26-05-RS; nâng cấp máy quá cũ; áp dụng bản vá; rồi kiểm tra phiên hỗ trợ hợp lệ và lưu kết quả. Với đơn vị thuê ngoài, yêu cầu xác nhận ghi rõ thiết bị, bản vá và thời điểm hoàn tất, thay vì một câu trả lời chung rằng đã cập nhật.
Các bước trên là khuyến nghị vận hành của Friday Works, không phải kết quả kiểm thử trên hạ tầng khách hàng. Nguồn hãng ngày 15/10 và cảnh báo Canada ngày 16/10 được dẫn cuối bài để người đọc theo dõi thay đổi tiếp theo. Nếu kiểm kê không có Remote Support, doanh nghiệp không nên gán cảnh báo này cho một sản phẩm khác chỉ vì cùng thương hiệu BeyondTrust.
Nguồn tham khảo
Tài liệu đã dùng để biên soạn
Ưu tiên tài liệu chính thức và nguồn kỹ thuật gốc. Truy cập để kiểm tra chi tiết hoặc theo dõi cập nhật mới nhất.
- BT26-05 — published and updated 15 October 2026BeyondTrust ↗︎
- AL26-025 — published 16 October 2026Canadian Centre for Cyber Security ↗︎
- ARMORY CASTLE Exploits BeyondTrust — 15 October 2026Mandiant / Google Threat Intelligence Group ↗︎
- BeyondTrust Corporation; resized proportionally, centered with neutral margins; no crop or invented interfaceBeyondTrust Corporation ↗︎
- BeyondTrust Press & Media brand assets; editorial identification of the vendor; trademark ownership retainedBeyondTrust Corporation ↗︎