Krytyczna luka w BeyondTrust: obejście logowania w RS i PRA

Dostawca oprogramowania BeyondTrust opublikował biuletyn bezpieczeństwa BT26-03, który opisuje cztery nowe luki w produktach Remote Support (RS) i Privileged Remote Access (PRA) ¹. Dwie z nich oznaczono jako krytyczne ². Najpoważniejsza, śledzona jako CVE-2026-40138, pozwala atakującemu na całkowite obejście mechanizmów logowania i uzyskanie dostępu do wewnętrznej infrastruktury firmy, w tym do kont z wysokimi uprawnieniami ^{3 4}.

Problem dotyczy popularnych w polskich przedsiębiorstwach systemów do zdalnego wsparcia i zarządzania dostępem uprzywilejowanym. Błąd istnieje w podsystemie uwierzytelniania i może być wykorzystany przez atakującego znajdującego się w tej samej sieci co podatne urządzenie ^{5 3}. Analiza wskazuje, że podatność nie jest trywialna do wykorzystania i wymaga aktywacji specyficznej, niestandardowej konfiguracji uwierzytelniania ⁶.

TL;DR

• Produkt: BeyondTrust Remote Support (RS) oraz Privileged Remote Access (PRA).
• Podatność: CVE-2026-40138, błąd typu pre-authentication bypass ⁷.
• Wektor: Atakujący w sieci lokalnej może wysłać specjalnie spreparowane dane uwierzytelniające, które nie są poprawnie walidowane przez system ⁸.
• Skutek: Obejście logowania, uzyskanie nieautoryzowanego dostępu do urządzenia, potencjalna eskalacja uprawnień i przejęcie kontroli ⁹.
• Zagrożone wersje: Wszystkie wersje RS i PRA równe lub niższe niż 25.3.2 ¹⁰.
• Kogo dotyczy: Firmy i instytucje w Polsce korzystające z wersji on-premise (self-hosted) oprogramowania BeyondTrust.
• Pierwszy ruch: Natychmiastowa weryfikacja używanej wersji i wdrożenie aktualizacji do wersji 25.3.3 lub nowszej ¹¹.

Wektor ataku

Luka CVE-2026-40138 to błąd klasy pre-authentication, co oznacza, że słabość można wykorzystać jeszcze przed jakimkolwiek procesem weryfikacji tożsamości użytkownika ¹². Problem leży w podsystemie odpowiedzialnym za uwierzytelnianie w produktach Remote Support i Privileged Remote Access ¹³.

Źródła wskazują, że w specyficznych warunkach konfiguracyjnych urządzenie może nieprawidłowo walidować dane przesyłane podczas próby logowania ⁸. Operator zagrożeń, który ma już dostęp do sieci wewnętrznej firmy — na przykład w wyniku wcześniejszej kompromitacji stacji roboczej lub poprzez fizyczny dostęp do biura — może wykorzystać tę słabość. Wysyłając odpowiednio spreparowane żądanie, jest w stanie oszukać system i uzyskać dostęp bez podawania prawidłowych danych logowania ³.

Skutkiem udanego ataku może być nieautoryzowany dostęp do panelu urządzenia BeyondTrust. W najgorszym scenariuszu może to oznaczać przejęcie konta z uprawnieniami administracyjnymi ⁴. Daje to atakującemu kontrolę nad kluczowym elementem infrastruktury bezpieczeństwa, który zarządza dostępem do serwerów, baz danych i innych krytycznych zasobów. Dla polskich firm, zwłaszcza tych podlegających regulacjom takim jak dyrektywa NIS2, kompromitacja systemu PAM/PIM jest incydentem o najwyższym priorytecie.

Wskaźniki kompromitacji

Na ten moment nie opublikowano publicznie technicznych wskaźników kompromitacji (IoC — Indicators of Compromise, takich jak hashe plików, adresy IP czy domeny serwerów C2). Głównym wskaźnikiem ryzyka jest posiadanie podatnej wersji oprogramowania w infrastrukturze.

Administratorzy powinni skupić się na identyfikacji urządzeń z oprogramowaniem w wersji podatnej na atak:

BeyondTrust Remote Support (RS) <= 25.3.2
BeyondTrust Privileged Remote Access (PRA) <= 25.3.2

¹⁰

Kluczowe jest również przejrzenie logów systemowych urządzeń BeyondTrust pod kątem nietypowych, zakończonych sukcesem prób logowania z nieznanych adresów IP w sieci wewnętrznej. Szczególną uwagę należy zwrócić na logowania do kont o wysokich uprawnieniach, które nie korelują z aktywnością administratorów. ## Co zrobić w 24-48h

Rekomendowane podejście zakłada natychmiastowe działania weryfikacyjne i naprawcze. Poniższe kroki nie zastępują pełnej analizy incydentu, ale stanowią pierwszą linię obrony.

1. Identyfikacja zasobów. Zespół IT musi pilnie zidentyfikować wszystkie instancje BeyondTrust RS i PRA w firmowej infrastrukturze. Dotyczy to zarówno środowisk produkcyjnych, jak i testowych czy deweloperskich.

2. Weryfikacja wersji i ścieżki aktualizacji. Należy sprawdzić wersję każdej zidentyfikowanej instancji.

   • Klienci chmurowi: BeyondTrust poinformował, że wszystkie instancje w chmurze zostały zaktualizowane centralnie w dniu 21 kwietnia 2026 roku ¹⁴. Teoretycznie, ryzyko jest tu zminimalizowane, ale weryfikacja nie zaszkodzi.
   • Klienci on-premise (self-hosted): To grupa najwyższego ryzyka. Konieczna jest natychmiastowa aktualizacja do wersji 25.3.3 lub nowszej ¹¹. Alternatywnie, dla starszych, ale wciąż wspieranych gałęzi, należy zainstalować pakiet poprawek bezpieczeństwa z kwietnia 2026 ¹¹.

3. Analiza konfiguracji. Podatność jest aktywna tylko przy „specyficznej konfiguracji uwierzytelniania” ⁶. Biuletyn nie precyzuje, o którą dokładnie chodzi. Należy zweryfikować, czy w systemie nie są aktywne niestandardowe lub przestarzałe metody integracji z zewnętrznymi dostawcami tożsamości. 4. Przegląd logów. Niezależnie od aktualizacji, należy przeprowadzić przegląd logów dostępowych z ostatnich tygodni. Poszukiwać należy udanych logowań z nietypowych segmentów sieci lub o nietypowych porach, zwłaszcza na konta uprzywilejowane. W przypadku znalezienia anomalii, należy traktować system jako potencjalnie skompromitowany i rozpocząć procedurę reagowania na incydent.

4. Komunikacja z CERT Polska. W przypadku podejrzenia kompromitacji, polskie podmioty zobowiązane w ramach ustawy o krajowym systemie cyberbezpieczeństwa powinny zgłosić incydent do właściwego zespołu CSIRT (dla większości firm będzie to CERT Polska).

Źródła

Zobacz też

• CVE-2026-39998: Luka w Apache APISIX pozwala na fałszowanie tożsamości
• Krytyczna luka RCE w 9Router (CVE-2026-59800)
• Krytyczna luka SQL Injection w GeekyBot (CVE-2026-57679)
• Krytyczna luka w Cap-go: obejście OTP i przejęcie konta