BeyondTrust Remote Support 认证绕过已在野利用，CISA 把它拉进 KEV

10 月 16 日，CISA 发了一条罕见的直白公告：BeyondTrust Remote Support（原 Bomgar）存在认证绕过漏洞 CVE-2026-102764，影响 26.2.3 及更早版本，且已被在野利用，当天即被加入 KEV 目录。

为什么这条比一般 CVE 更急

Remote Support 是「远程支持接入设备」—— 它天生站在信任边界上：外部要能连进来，内部又要能发起特权会话。一个免认证的绕过，等于把这道门直接拆了：攻击者不需要账号，就能拿到「合法的远程支持会话」这个身份，再借它做持久化、提权、横向。

CISA 的描述是一条完整攻击链：先用它拿到初始访问，然后建立持久化、提升权限、横向移动。这不是「理论可利用」，是已经发生的入侵。

补丁与版本路径

• 修复补丁是 BT26-05-RS，见 BeyondTrust 安全公告 BT26-05
• 支持版本从 24.3.1 起可以直接打补丁；低于 24.3.1 的必须先升级再打
• 用 BeyondTrust 托管（SaaS） 的部署已经修复，不需要自己动手

这里最容易出事的是「我们版本太老，先放着」—— 老版本恰恰是补丁打不上的那一批。

除了打补丁，还要做的事

CISA 的建议可以拆成「缩面」和「取证」两组：

缩面：限制设备的外部可达面，只开放真正需要的服务；管理界面只允许可信网络访问。Remote Support 这类设备常见的问题是「为了运维方便，管理口对全网开放」。

取证（针对已经暴露过的设备）：隔离可疑设备；虚拟设备做快照、物理设备做取证镜像；立刻把设备 syslog 与会话事件转发到 SIEM；补上 WAF、反向代理、边界防火墙在暴露窗口内的日志。

自查线索

CISA 给了几条很具体的狩猎方向，值得直接抄进排查清单：

• 无法识别的特权或管理会话
• 无法识别的脚本文件
• 日志或日志转发出现意外缺口（这条最容易被忽略 —— 攻击者常先关日志）
• 未授权的账号、权限或会话策略变更

一句判断

这类「边界设备上的免认证绕过」是这两年最稳定的一条入侵路径：不需要钓鱼、不需要凭据，只要设备在公网可达。处置节奏应该是小时级而不是天级 —— 打补丁、缩暴露面，然后假设已被探测过，去做取证。

数据来源：CISA 公告《CISA Urges Patching Critical Vulnerability in BeyondTrust Remote Support》（2026-10-16）与 BeyondTrust 安全公告 BT26-05。