就在绝大多数企业把远程支持软件当成“救火队员”放心使用的时候，一颗已经埋了数周的“定时炸弹”被悄然引爆了。安全厂商Mandiant披露，攻击者早在8月下旬就开始利用BeyondTrust Remote Support的一个零日漏洞对企业设备下手，而厂商直到10月才对外公布漏洞编号并发布修复补丁。整整六周多的时间里，入侵者拥有的是和合法管理员几乎一模一样的身份，自由穿梭在企业的内网边缘。
这个被编为CVE-2026-102764的漏洞，影响BeyondTrust Remote Support 26.2.3及更早版本。根据厂商自己的说明，问题出在一个内部消息组件上——它本该核验每一条消息的来源，却在关键时刻“开了小差”，放任未经身份验证的远程攻击者直接对设备执行文件操作。Mandiant的调查进一步还原了这条入侵链的可怕之处：文件操作只是敲门砖，顺着这个入口一路深入，攻击者完全可以拿下主机的全部控制权。
这已经不是某个软件bug那么简单，而是一场教科书级别的边缘设备攻防战。
攻击时间线还原：27分钟止损背后，是一场早已结束的渗透
把时间线拉长来看，整个过程充满了张力。8月29日，攻击者同时对一个托管的远程支持实例和一个自托管设备发起利用；到了9月28日，BeyondTrust的威胁狩猎团队在处理另一起针对其他安全产品的攻击报告时，才在一个托管实例上嗅到了异常活动的气息。发现问题后，团队用了27分钟便控制住局面——这个响应速度放在行业里堪称亮眼，但讽刺的是，此时攻击者已经在暗处盘踞了整整一个月。
BeyondTrust于10月8日发布补丁，Mandiant确认所有远程支持SaaS租户在10月9日全部完成更新。但真正的隐患落在了自托管客户头上：他们必须立刻检查自己的设备是否正在运行易受攻击的版本，并手动应用相关更新。Mandiant还额外提醒，运行24.3.1之前版本的客户，需要先升级到受支持的版本，再打补丁。
值得注意的是，这并非偶发事件，而是持续演进的边缘设备狩猎战的一部分。数据显示，仅2025年上半年新披露的安全漏洞数量就超过21500个，同比增长18%，漏洞从披露到被利用的平均时间被压缩到仅5天左右，国家级攻击者、商业监控厂商和精英勒索团伙几乎在同步“围猎”企业软件。
ARMORY CASTLE的渗透手法：从上传文件到撕开口子
Mandiant将这场活动归因于ARMORY CASTLE——一个疑似与中国有关联的间谍组织，此前以UNC5221的编号被追踪；CrowdStrike则把同一活动集群命名为WARP PANDA。这个组织的“战绩单”上写满了边缘设备和远程访问产品的名字，此前网络安全媒体就曾报道过它针对Ivanti Connect Secure设备的活动，以及在Ivanti VPN设备上植入Web Shell的行为。换句话说，BeyondTrust只是它清单上的最新一个猎物。
整个攻击链条环环相扣，几乎不给防御方留下反应窗口。
入侵的第一步，是利用该漏洞上传文件，并在设备上安装一个名为SAWFLY的PHP Web Shell。Web Shell本质上是植入受感染Web服务器的小型程序，攻击者只需向它发送命令，就能远程驱动服务器做任何事情。
拿到立足点后，攻击者开始提权。Mandiant发现，他们通过复制一个shell程序，将其所有者改为root，再启用允许以所有者权限运行的特殊权限位，轻松把账号从低权限服务账户抬升到设备的最高控制级别。为了让这种访问在系统重启甚至配置重置后依然存活，攻击者还动了启动脚本的手脚——修改系统模板，直接授予服务账户免密码的管理员级访问权限。
凭证是他们真正的目标。远程支持类产品天然会存储或中转大量特权凭证，一旦设备失守，暴露的就不只是这台设备上的账号，而是整个企业网络的信任链。攻击者还部署了名为BARECLAW的工具，通过受感染设备搭建网络隧道，并修改反向代理配置，把选定的内部流量悄悄引入这条隐蔽通道。更隐蔽的一步发生在权限层面：他们使用管理员凭据，提高了账户的“跳转项目”和“团队”权限——这两项控制决定了账号能触达哪些计算机和用户组。权限一改，攻击者便能以近乎合法的身份远程连接内部系统，还顺手利用文件传输功能搜集了文档和软件清单。
最后，是专业的“扫尾”工作。系统日志、Web日志、应用日志连同工具痕迹被一并抹除，防御方在设备上几乎找不到任何完整记录。
为什么边缘设备成了国家级攻击者的最爱？
这场攻击的逻辑并不复杂，却精准命中了现代企业架构最脆弱的一环。边缘设备和远程访问产品常年暴露在公网与企业内网之间，既是企业对外的“门面”，也是对内的“跳板”。攻陷一台远程支持设备，等于同时握住了敏感账号、内部主机和业务数据三把钥匙。
不过回看整条攻击链，防御方并非没有翻盘的机会。零日攻击的完整生命周期里，从漏洞被发现、武器化，到在真实攻击中被利用，中间存在一个时间差；谁能在这段窗口期里通过日志审计、异常流量监测和威胁狩猎提前嗅到不对劲，谁就能把损失控制在萌芽阶段。远程支持设备平时握着大量特权凭证，自然也该获得与核心服务器同等级别的监控待遇，而不是被当成“边缘工具”疏于看管。
补丁只是止血，真正的救赎在于排查与重建
企业现在最该警惕的，是一种危险的错觉：打了补丁，就等于万事大吉。补丁只能封住已知的入侵点，却无法证明设备从未被入侵过。Mandiant的建议非常直白——凡是运行过易受攻击版本、又暴露在公网上的设备，在彻查之前一律应当作潜在受影响设备对待。
自托管组织应尽快应用BT26-05-RS更新。BeyondTrust还出于预防考虑，给特权远程访问产品也发布了补丁，因为它与远程支持共享代码，虽然测试期间尚未发现针对PRA的利用方式。宁可信其有，毕竟共享代码意味着共享风险。
如果排查后确认或无法排除入侵，正确的姿势是保存证据、隔离设备，然后用干净的、已打过补丁的镜像重建——而不是简单删掉几个可疑文件了事。重建完成后，还要轮换设备存储或处理过的所有凭据，并顺藤摸瓜调查一切曾通过这台设备访问过的系统。
日常排查时，安全团队应重点盯几处异常：独立日志平台、防火墙、反向代理和Web应用防火墙的记录中是否出现日志转发的空白或断档；有没有不熟悉的管理员会话；是否存在意外的账号或权限变更；文件传输是否出现异常；设备上是否冒出未知脚本。这些信号单独看或许不起眼，串起来往往就是入侵者的指纹。
写在最后
安全行业的残酷之处在于，攻击者只需要赢一次，防御者却必须每次都赢。这次BeyondTrust零日漏洞事件再次给所有企业敲响警钟：远程支持和远程访问设备不再是“后勤角色”，它们是直面公网的前线阵地，理当享受与面向互联网的核心服务器同等的紧急修补强度和监控密度。快速打补丁、日志离线留存、严格的凭证轮换——这三件事如果能在事件曝光后的第一时间落地，即便攻击者先行一步，企业也依然握有把损失压到最低的主动权。
