Уязвимость BeyondTrust используется для создания веб-оболочек, бэкдоров и утечки данных.

[admin]

Было замечено, что злоумышленники используют недавно обнаруженную критическую уязвимость безопасности, затрагивающую продукты BeyondTrust Remote Support (RS) и Privileged Remote Access (PRA), для проведения широкого спектра вредоносных действий, включая развертывание VShell и


Уязвимость, зарегистрированная как CVE-2026-1731 (оценка CVSS: 9,9), позволяет злоумышленникам выполнять команды операционной системы в контексте пользователя сайта.


В отчете, опубликованном в четверг, подразделение 42 компании Palo Alto Networks сообщило об обнаружении уязвимости в системе безопасности, активно используемой в реальных условиях для сетевой разведки, развертывания веб-оболочек, управления и контроля (C2), установки бэкдоров и инструментов удаленного управления, горизонтального перемещения и кражи данных.


Кампания была направлена на секторы финансовых услуг, юридических услуг, высоких технологий, высшего образования, оптовой и розничной торговли, а также здравоохранения в США, Франции, Германии, Австралии и Канаде.

Компания, занимающаяся кибербезопасностью, описала уязвимость как сбой в процессе проверки подлинности, позволяющий злоумышленнику использовать уязвимый скрипт "thin-scc-wrapper", доступный через интерфейс WebSocket, для внедрения и выполнения произвольных команд оболочки в контексте пользователя сайта.


«Хотя эта учетная запись отличается от учетной записи root, ее компрометация фактически предоставляет злоумышленнику контроль над конфигурацией устройства, управляемыми сессиями и сетевым трафиком», — заявил исследователь безопасности Джастин Мур.




В настоящее время масштабы атак, использующих эту уязвимость, варьируются от разведки до развертывания бэкдоров.

• Использование пользовательского скрипта на Python для получения доступа к административной учетной записи.
• Установка нескольких веб-оболочек в разных каталогах, включая PHP-бэкдор, способный выполнять необработанный PHP-код или произвольный PHP-код без записи новых файлов на диск, а также bash-дроппер, создающий постоянную веб-оболочку.
• Развертывание вредоносного ПО, такого как VShell и Spark RAT .
• Использование методов внеполосного тестирования безопасности приложений (OAST) для проверки успешного выполнения кода и идентификации систем, скомпрометированных с помощью анализа отпечатков пальцев.
• Выполнение команд для подготовки, сжатия и извлечения конфиденциальных данных, включая файлы конфигурации, внутренние системные базы данных и полный дамп PostgreSQL, на внешний сервер.

«Взаимосвязь между CVE-2026-1731 и CVE-2024-12356 указывает на локализованную, повторяющуюся проблему с проверкой входных данных в различных путях выполнения», — заявили в подразделении 42.

"Недостаточная проверка CVE-2024-12356 была вызвана использованием стороннего программного обеспечения (postgres), в то время как проблема недостаточной проверки CVE-2026-1731 возникла в BeyondTrust Remote Support (RS) и более старых версиях кода BeyondTrust Privileged Remote Access (PRA)."


Поскольку уязвимость CVE-2024-12356 используется злоумышленниками, связанными с Китаем, такими как Silk Typhoon , компания, занимающаяся кибербезопасностью, отметила, что CVE-2026-1731 также может стать целью для изощренных злоумышленников.


Эта информация появилась после того, как Агентство по кибербезопасности и защите инфраструктуры США (CISA) обновило запись в своем каталоге известных эксплуатируемых уязвимостей (KEV) для CVE-2026-1731, подтвердив, что эта ошибка использовалась в кампаниях по распространению программ-вымогателей.


В обновленной версии своего уведомления компания BeyondTrust заявила, что попытки эксплуатации уязвимости были впервые обнаружены 31 января 2026 года после того, как на одном из устройств удаленной поддержки была зафиксирована «аномальная активность», по меньшей мере за неделю до того, как об этом стало известно публично 6 февраля 2026 года.


компания «Компания BeyondTrust осведомлена о наличии и оказывает поддержку ограниченному числу клиентов, использующих собственные серверы, в реагировании на активные попытки эксплуатации ранее выявленной критической уязвимости (CVE-2026-1731) в своих решениях для удаленной поддержки и привилегированного удаленного доступа», — заявила .


«Наблюдаемая активность, связанная с эксплуатацией уязвимостей, ограничивалась средами с собственным хостингом, доступными из интернета, где обновление не было установлено до 9 февраля 2026 года».