BeyondTrust Tambal Celah Zero-Day Kritis yang Dieksploitasi dalam Serangan Siber Sejak Agustus

BeyondTrust mengeluarkan peringatan resmi pada hari Kamis kepada para pelanggannya untuk segera menambal (patch) celah keamanan kritis pada solusi Remote Support (RS) miliknya. Kerentanan ini dilaporkan telah dieksploitasi secara aktif dalam rentetan serangan zero-day sejak akhir Agustus 2026 lalu.

Sebagai informasi, Remote Support merupakan solusi dukungan teknis kelas enterprise andalan BeyondTrust yang dirancang untuk membantu IT service desk, help desk, serta tim layanan pelanggan dalam menangani pemecahan masalah (troubleshooting) sistem dari jarak jauh.

Dilacak dengan kode identifikasi CVE-2026-102764, kerentanan authentication bypass yang tengah dieksploitasi secara aktif ini memungkinkan penyerang jarak jauh tanpa hak akses khusus (unprivileged remote attackers) untuk melakukan operasi berkas pada perangkat (appliance) yang belum ditambal. Celah ini berdampak langsung pada perangkat lunak Remote Support versi 26.2.3 atau yang lebih lawas.

Pihak BeyondTrust sebenarnya telah menerapkan perbaikan keamanan otomatis bagi seluruh pelanggan layanan berbasis cloud (SaaS) untuk produk Remote Support dan Privileged Remote Access (PRA) pada 8 Oktober 2026 lalu. Namun, bagi organisasi yang menjalankan instalasi mandiri (self-hosted), pembaruan harus segera dipasang secara manual apabila fitur pembaruan otomatis tidak diaktifkan.

Meskipun hasil pengujian internal BeyondTrust belum menemukan cara bagi penyerang untuk mengeksploitasi celah ini secara langsung pada produk Privileged Remote Access, komponen PRA diketahui berbagi basis kode yang sama dengan RS. Oleh karena itu, sebagai langkah pencegahan ekstra, perusahaan tetap merilis patch untuk PRA dan sangat menyarankan pelanggan self-hosted Privileged Remote Access untuk segera menerapkannya.

Serangan Kelompok Spionase Armory Castle dan Malware Baru

Kendati BeyondTrust hanya membagikan rincian teknis yang cukup terbatas terkait celah tersebut, perusahaan mengungkapkan bahwa zero-day ini telah disalahgunakan di dunia nyata (in the wild) oleh kelompok spionase siber yang diduga terafiliasi dengan Tiongkok. Kelompok ancaman ini dilacak oleh para peneliti keamanan Mandiant dan Google Threat Intelligence Group (GTIG) dengan nama “Armory Castle” (sebelumnya dikenal sebagai UNC5221), sementara firma keamanan CrowdStrike melacaknya sebagai “Warp Panda”.

Berdasarkan laporan tim peneliti Mandiant yang pertama kali mendeteksi serangan awal tersebut, peretas Armory Castle mengeksploitasi celah CVE-2026-102764 untuk mendapatkan akses masuk awal, lalu meningkatkan hak akses (privilege escalation) hingga ke level root pada perangkat yang terkompromi dengan cara mengaktifkan izin Set User ID (SUID).

Setelah berhasil menguasai sistem, pelaku menyebarkan dua malware baru bernama Sawfly (web shell) dan Bareclaw (tunneler), menghapus catatan log sistem guna menghindari deteksi, serta bergerak secara lateral (lateral movement) menembus jaringan internal korban. Pergerakan di dalam jaringan ini dilakukan menggunakan kredensial Administrator yang telah dicuri dengan cara membuka sesi jarak jauh (remote sessions) menuju sistem-sistem hilir (downstream systems).

Mandiant menjelaskan bahwa setelah kemantapan akses (foothold) terbentuk melalui web shell, pelaku menaikkan kendali dari akun layanan web ke kontrol tingkat root penuh atas host appliance tersebut. Kondisi ini memberikan mereka akses leluasa ke setiap kredensial yang disimpan atau dijembatani oleh perangkat BeyondTrust, sekaligus kemampuan untuk memodifikasi berkas sistem yang tetap bertahan meskipun perangkat telah di-reboot maupun diatur ulang konfigurasinya (configuration reset). Mengingat tingginya risiko persistensi ini, Mandiant menegaskan bahwa setiap appliance yang terhubung ke internet dan masih menjalankan versi rentan selama periode eksploitasi berlangsung harus dianggap telah terkompromi sampai pemeriksaan menyeluruh selesai dilakukan.

Saat ini, lembaga pemantau ancaman internet Shadowserver mencatat terdapat lebih dari 1.400 instance BeyondTrust Remote Support yang terekspos secara daring di seluruh dunia, meskipun belum ada rincian pasti mengenai berapa banyak di antaranya yang sudah diamankan atau merupakan honeypot.

Rekam Jejak Eksploitasi Edge Appliance dan Target Pemerintahan

Kelompok Armory Castle selama ini memang dikenal kerap mengincar celah zero-day pada perangkat tepi jaringan (network edge appliances) milik korporasi. Sejak Oktober 2023, kelompok ini tercatat telah mengeksploitasi berbagai perangkat populer seperti Citrix NetScaler (CVE-2023-4966) serta Ivanti Connect Secure (CVE-2023-46805, CVE-2024-21887, hingga CVE-2025-0282) untuk membobol jaringan perusahaan dan menyusupkan malware kustom. Bahkan pada Januari 2024 lalu, firma intelijen ancaman Volexity melaporkan bahwa UNC5221 telah menanamkan backdoor berupa webshell GiftedVisitor pada lebih dari 2.100 perangkat Ivanti.

Mandiant turut memperingatkan bahwa dalam kampanye-kampanye sebelumnya, Armory Castle sering kali langsung melancarkan eksploitasi massal dan oportunistik sesaat setelah celah keamanan yang awalnya mereka gunakan secara selektif diumumkan ke publik. Para peretas ini berpacu dengan waktu untuk menginfiltrasi organisasi target sebelum administrator sempat memasang patch, sehingga pola serangan serupa sangat mungkin terjadi pada celah CVE-2026-102764 ini.

Kemunculan CVE-2026-102764 menambah daftar panjang kerentanan produk BeyondTrust yang menjadi sasaran empuk peretas dalam beberapa tahun terakhir. Belum lama ini, penyerang juga mengeksploitasi celah Remote Code Execution (RCE) kritis lainnya (CVE-2026-1731) yang berdampak pada perangkat Remote Support dan Privileged Remote Access untuk membangun jalur komunikasi WebSocket dan menyebarkan ransomware.

Selain itu, kelompok peretas sokongan pemerintah Tiongkok lainnya, Silk Typhoon, sebelumnya juga diyakini telah mengeksploitasi dua celah zero-day (CVE-2024-12356 dan CVE-2024-12686) untuk membobol sistem BeyondTrust. Dalam insiden tersebut, pelaku memanfaatkan kunci API (API key) curian untuk mengompromikan 17 instance SaaS Remote Support, termasuk layanan yang digunakan oleh Departemen Keuangan Amerika Serikat (U.S. Treasury Department), Kantor Pengawasan Aset Luar Negeri (OFAC), serta Komite Investasi Asing di Amerika Serikat (CFIUS). Sebagai catatan, BeyondTrust saat ini menyediakan layanan keamanan identitas bagi lebih dari 20.000 pelanggan global, mencakup berbagai instansi pemerintah serta 75% perusahaan yang masuk dalam daftar Fortune 100.

Sumber: BeyondTrust Security Advisory