BeyondTrust heeft een kritieke kwetsbaarheid verholpen in Remote Support, de software waarmee IT-afdelingen en helpdesks op afstand meekijken en meewerken op apparatuur van medewerkers of klanten. Het NCSC meldt de patch in advisory NCSC-2026-0437 van 16 oktober 2026 en kent de fout zijn zwaarste risicoclassificatie toe: zowel de kans op misbruik als de mogelijke schade beoordeelt de dienst als hoog.
De kwetsbaarheid, geregistreerd als CVE-2026-102764, heeft een CVSS-score van 9.3 en betreft onvoldoende validatie van de herkomst van berichten binnen interne componenten van het product. Een aanvaller heeft geen inloggegevens nodig en kan de fout op afstand misbruiken om bestanden op een kwetsbare appliance te plaatsen of te wijzigen, wat in de praktijk een weg biedt naar volledige overname van het systeem. BeyondTrust bevestigt dat de kwetsbaarheid al als zero-day is misbruikt, dus nog voordat er een patch beschikbaar was. Onderzoekers van Mandiant, dat de aanvallen analyseerde, melden dat het misbruik al sinds eind augustus liep, ruim voordat er een patch kwam. Alle Remote Support-versies tot en met 26.2.3 zijn getroffen.
BeyondTrust heeft patch BT26-05-RS uitgebracht voor Remote Support 24.3.1 tot en met 26.2.3. Wie een oudere self-hosted installatie draait, moet eerst naar een ondersteunde versie upgraden voordat die patch te installeren is. Het NCSC adviseert om de update met spoed door te voeren en kwetsbare systemen te onderzoeken op aanwijzingen voor eerdere compromittering.
Dit is niet de eerste keer dat Remote Support in het nieuws komt vanwege een actief misbruikte kwetsbaarheid. Begin dit jaar, in februari 2026, moest het Amerikaanse cyberagentschap CISA federale instanties binnen enkele dagen laten patchen tegen CVE-2026-1731, een ongeauthenticeerde command injection-fout die al sinds eind januari actief werd misbruikt en later zelfs werd ingezet bij ransomware-aanvallen. CVE-2026-102764 zit in een ander onderdeel, de validatie van berichtherkomst in plaats van command injection, en is dus een volledig losstaande fout. Het patroon is echter opvallend gelijk: opnieuw een ongeauthenticeerde kwetsbaarheid in dit product die al als zero-day werd misbruikt voordat er een patch was.
Voor IT-helpdesks, MSP’s en interne supportteams die Remote Support gebruiken, is dit een kwetsbaarheid om nog dezelfde dag te verhelpen, niet in de eerstvolgende onderhoudsronde. Gebruikt u de SaaS-variant, controleer dan of BeyondTrust die al automatisch heeft bijgewerkt, zoals bij eerdere incidenten in dit product gebruikelijk was. Draait u een self-hosted installatie, installeer dan de BT26-05-RS-patch; zit u nog op een oudere, niet langer ondersteunde versie, werk dan eerst bij naar een ondersteunde release voordat de patch zich laat toepassen. Omdat BeyondTrust bevestigt dat de fout al actief werd misbruikt, is dit een goed moment om logs en beheerdersaccounts na te lopen op sporen van eerdere compromittering, zeker bij appliances die rechtstreeks vanaf het internet bereikbaar zijn.
Bron: NCSC-NL Advisories, BleepingComputer
Wat betekent dit voor jouw bedrijf?
Gebruikt u Remote Support om op afstand bij apparatuur van medewerkers of klanten te komen? Installeer patch BT26-05-RS nog dezelfde dag, controleer bij een SaaS-omgeving of BeyondTrust al automatisch heeft bijgewerkt, en loop logs en beheerdersaccounts na op sporen van eerdere compromittering.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.