先說結論：管理 BeyondTrust Remote Support 遠端支援設備的團隊，現在應先確認部署型態、設備完整版本及 BT26-05 修補是否真正安裝，再檢查設備在今年八月底以來是否出現異常管理活動。美國 CISA 於二○二六年十月十六日把 CVE-2026-102764 納入已知遭利用漏洞目錄；Google 威脅情報與 Mandiant 的事件調查則記錄了八月底利用此問題的案例。這表示風險已有實際依據，卻不表示每一台設備都遭入侵。本文在台北時間十月十七日重新查核兩個不同機構的原始資料，重點放在補丁、證據保存和後續權限檢查。
背景與前因：Remote Support 是企業用來協助遠端使用者、連接受支援端點的系統，設備往往位在使用者、維運人員與內部環境之間。這種位置使其不只是一台普通網站主機；若管理入口或設備本身失去可信性，攻擊者可能接觸支援會話、設備保存或代管的登入資料，以及可由支援工具抵達的系統。Mandiant 的研究指出，BeyondTrust 在十月十五日公開 CVE-2026-102764，並提供修補；其調查在八月底的入侵事件中找到先於公開日期的利用證據。CISA 次日收錄此漏洞，為排定防護優先順序提供另一個獨立訊號。
原因與前置條件：CISA 將此編號描述為可透過冒用身分繞過驗證的問題，遠端攻擊者可能因此在設備上執行檔案操作。Mandiant 的研究進一步指出，成功利用可讓攻擊者上傳任意檔案；因此不宜把它淡化成只會造成登入畫面異常，也不能把它直接說成所有安裝環境都會自動外洩資料。公開研究表明攻擊不要求先取得一般管理員權限，實際可否接觸到有弱點的設備仍與部署、對外可達性和修補狀態有關。本文只解釋防守判斷所需的條件，不提供重現請求、可利用路徑或惡意程式的操作細節。
影響範圍：Mandiant 說明，Remote Support 受影響範圍涵蓋截至 26.2.3 的受支援版本；自架設備若在 24.3.1 至 26.2.3 之間，應確認適用的 BT26-05-RS 修補已透過設備管理介面裝妥；更舊版本須先升級到可安裝修補的支援版本。不要只看到供應商公布修補就推定本地設備已完成變更，也不要把單一版號拿去套用所有部署。由 BeyondTrust 代管的 Remote Support 服務，研究資料記載原廠已在十月九日前為租戶套用修補；代管客戶仍應依自身權限與活動紀錄檢查可疑跡象，而不是把『已修補』等同『過去沒有暴露』。
Mandiant 所描述的是具體調查，不是對全世界設備的普查。研究團隊把八月底的入侵活動歸於其追蹤的 ARMORY CASTLE 威脅群組，並觀察到攻擊者在取得設備立足點後，提升權限、維持持續存取、嘗試取得代管的登入資料，還清除部分本機記錄。這些是研究者從受調查環境還原的行為；不能僅憑相同產品或同一漏洞，就推論某家讀者的設備也遭同一群組入侵。威脅歸因是研究團隊基於所見證據的分析，處置時應先辨識本地事件與範圍，不宜把群組名稱當作已經完成鑑識的結論。
兩個來源提供的證據層次不同。CISA 的已知遭利用目錄確認這個漏洞具有實際利用依據，列出二○二六年十月十六日新增日期，並要求依供應商指示處理及進行鑑識分流；它沒有公開每一家受影響公司的資產清單。Mandiant 提供個案中的攻擊後行為及修補、偵測建議，但個案紀錄不代表所有攻擊者都採用相同步驟。目錄中的十月十九日處置期限屬美國聯邦政策脈絡，不是台灣所有民間組織的法定期限。對本地團隊而言，合理結論是提高修補與調查優先順序，同時維持對受害規模及歸因的證據界線。
你可以怎麼做：先盤點所有 Remote Support 自架、虛擬或代管實例，記下負責人、對外入口、完整版本、更新來源和最近一次成功變更時間。對自架設備，依原廠修補公告確認該版本能否直接套用 BT26-05-RS；不能直接安裝者，先規劃升級，完成後再比對設備實際回報的修補狀態。若設備開放給不必要的網路來源，應同步縮小管理入口可達範圍、限制設備對外連線並保留必要服務。網路限縮能減少接觸機會，但無法修復弱點；單看下載的更新檔、工單完成註記或掃描器版本推測，也不能代替設備上的實際驗證。
若設備在修補前可由外網接觸，或近期出現陌生管理登入、角色權限變更、非預期支援會話、檔案傳輸與記錄中斷，應由授權事件應變人員保存時間線並核對。Mandiant 強調攻擊者曾刪除設備上的部分本機記錄，因此應優先保留已轉送到設備之外的系統日誌、網路邊界、反向代理與身份管理紀錄；不要因設備本機看不到異常，就宣告沒有入侵。現有記錄不足時，須把『尚未確認』如實標記，而不是把沒有警報當成安全證明。需要隔離疑似失陷設備時，先安排證據保全與支援服務中斷的協調，避免匆忙重啟使可用線索消失。
如果調查發現可信的入侵跡象，更新軟體只解決可再次進入的漏洞，不能清除既存的權限變更或持續存取。應依事件應變流程審查管理帳號、支援會話、政策與授權角色，查明是否有人曾利用設備接觸內部端點；對可能由設備保存或代管的帳號與金鑰，應在設備已修補、隔離或重建之後，按照相依順序輪替，避免新密鑰又落入尚未處理的設備。對已確認失去可信性的環境，應評估由乾淨且已修補的映像重建，並審慎驗證復原設定。這些措施需要依個案證據與業務影響調整，不能僅因出現在目錄上就對所有設備宣稱必須重建。
目前可確認的是：CISA 已把 CVE-2026-102764 列為已知遭利用，Mandiant 的第一手調查記錄了八月底的一起利用活動、後續設備控制與防護建議。尚不能從公開資料得知任一讀者的實際版本、外部暴露時間、是否遭到攻擊、被接觸的帳號或端點數量。為了讓後續決策可驗證，維運團隊應保留版本與修補回讀、管理介面限制、異常事件核對、證據保存與密鑰輪替的紀錄；若原廠更新公告或新調查改變受影響範圍，再以新的資料修正處置。這比直接把『有漏洞』說成『已被入侵』，或把『已安裝補丁』說成『事件結束』，更能保護使用者與設備。
官方來源：
- ARMORY CASTLE Exploits BeyondTrust（Google Threat Intelligence Group 與 Mandiant）
- Known Exploited Vulnerabilities Catalog, CVE-2026-102764（美國網路安全暨基礎設施安全局 CISA）
這篇觀察對你有幫助嗎？
支持 Darknoted 持續維護隔離研究環境、資料查核與內容更新。
了解如何支持本站更新紀錄
：完成公開內容與 metadata 更新。