Rapid7 опубликовала технический разбор уязвимости BeyondTrust Remote Support — системы удалённой техподдержки. Исследователи показали, как через общедоступный вход для обращения в поддержку записать файл на сервер и запустить его код. Пароль и принятие обращения специалистом не требовались.

Причина — несовпадение проверок внутри системы. Один компонент пересылал сообщения от внешнего клиента, а другой доверял указанному в них адресу отправителя. Подставив специальный идентификатор внутреннего компонента, исследователи получили доступ к служебной передаче файлов. Затем загрузили PHP-файл в каталог сайта и вызвали его через веб-сервер: внешний посетитель фактически воспользовался доверием между внутренними службами.

Цепочку проверили на Remote Support 24.1.2 с включённым общедоступным запуском сеансов и встроенным чатом. Код выполнялся с правами системного пользователя сайта, не администратора root; другие сборки этим опытом не проверены. Воспроизведение уже оформлено в модуль Metasploit. Приведённые в отчёте журналы относятся к лабораторным испытаниям 28–29 октября, а не к новым обнаруженным жертвам.

Сама уязвимость CVE-2026-102764 раскрыта производителем 15 октября. BeyondTrust ранее подтвердила два взлома 29 августа; новый разбор объясняет техническую цепочку входа. По данным компании, облачные установки исправлены к 9 октября. Для собственных серверов предусмотрен патч BT26-05-RS к версиям 24.3.1–26.2.3; более старые сначала требуют обновления. Выпуск патча сам по себе не подтверждает очистку уже взломанного сервера.