Een Chinese spionagegroep misbruikte een zero-day in BeyondTrust Remote Support om honderden supportomgevingen over te nemen — net in een week waarin ook Ivanti, Palo Alto en Cisco met actief misbruikte kwetsbaarheden in hun edge-apparaten kampten.
Listen to the episode →Op 29 augustus 2026 brak een nog onbekende aanvaller in op één enkele BeyondTrust Remote Support-appliance. Niemand merkte het. Pas op 27 september, toen een aanval op de edge-apparaten van een andere leverancier publiek werd, begon BeyondTrust zelf te zoeken naar soortgelijke sporen in zijn eigen software. Die zoektocht leidde terug naar augustus, naar een kwetsbaarheid die inmiddels CVE-2026-102764 heet, en naar een dader die onderzoekers van Google Mandiant kennen als Armory Castle — beter bekend onder de oudere naam UNC5221. Vorige week werd de zaak publiek, kreeg de kwetsbaarheid een patch, en belandde ze meteen op de kritieke lijst van CISA. Het is precies het soort verhaal waar een cybersecurity-consultant niet rustig van slaapt: een vertrouwd stukje IT-infrastructuur, in duizenden organisaties tegelijk blootgesteld aan het internet, dat wekenlang onopgemerkt openstond voor een geduldige, technisch zeer bekwame statelijke actor.
En BeyondTrust stond die week niet alleen. Binnen een paar dagen tijd kwamen ook Ivanti Connect Secure, Palo Alto Networks PAN-OS en Cisco Secure Email Gateway in het nieuws met actief misbruikte kwetsbaarheden. Vier grote leveranciers van randapparatuur, vier zero-days of vers misbruikte lekken, allemaal binnen een week. Dat is geen toeval meer, het is een patroon.
BeyondTrust Remote Support — vroeger bekend als Bomgar — is software waarmee IT-helpdesks op afstand kunnen inloggen op pc's en servers van klanten en medewerkers. Precies om die reden staat de appliance vaak met een poot op het open internet: supportmedewerkers moeten er immers vanaf overal bij kunnen. Dat maakt het tot een aantrekkelijk doelwit, en Armory Castle wist dat.
Volgens het tijdslijnoverzicht dat BeyondTrust zelf publiceerde, exploiteerde de groep de kwetsbaarheid eerst selectief: één zelf-gehoste appliance, op 29 augustus, bij een nog niet geïdentificeerd slachtoffer. Dat is typisch voor hoe deze actor werkt. Pas toen op 27 september een aanval op edge-apparaten van een andere leverancier aan het licht kwam, besloot BeyondTrust zelf op onderzoek te gaan — en vond het de sporen van de eigen, nog ongepatchte zero-day. Mandiant werd ingeschakeld, bevestigde de bevindingen, en op 15 en 16 oktober volgden gelijktijdig de patch (BT26-05-RS), een gedetailleerd incidentrapport van BeyondTrust en Mandiant, en een waarschuwing van CISA die de kwetsbaarheid meteen aan de Known Exploited Vulnerabilities-catalogus toevoegde.
Getroffen zijn zelf-gehoste Remote Support-versies van 24.3.1 tot en met 26.2.3; wie een oudere versie draait, moet eerst upgraden voordat de patch kan worden toegepast. Klanten van de SaaS-variant van Remote Support waren al sinds 9 oktober automatisch beschermd.
De kern van het lek is, enigszins ironisch voor een supporttool, een communicatieprobleem. BeyondTrust omschrijft het zelf als een interne messaging-component die de oorsprong van binnenkomende berichten niet goed controleerde — "improper origin validation", in het jargon. Onder de juiste omstandigheden kon een aanvaller daardoor bestandsoperaties uitvoeren op de appliance zelf. CISA classificeert de fout formeel als een "authentication bypass by spoofing": in de praktijk kon een aanvaller zich voordoen als een vertrouwd intern onderdeel en zo de appliance manipuleren zonder zich ooit echt te moeten aanmelden.
Wat daarna gebeurde, is waar het verhaal voor een technisch publiek pas echt interessant wordt. Volgens Mandiant gebruikte Armory Castle de eerste toegang om een lichtgewicht PHP-webshell te plaatsen, intern SAWFLY genoemd, die interactieve toegang en versleutelde tweerichtings-C2-communicatie mogelijk maakte. Vanaf daar werkte de groep zich stap voor stap naar volledige controle:
Het resultaat: niet zomaar toegang tot één server, maar een uitvalsbasis met root-rechten, gestolen credentials en een verborgen tunnel naar binnen — precies de ingrediënten die nodig zijn om van één gecompromitteerde helpdesktool door te steken naar alles wat die tool ooit beheerde.
Mandiant-onderzoekers Jayson Frost, Bryce Greathouse, Brian Meyer, John Palmisano, Rajesh Rajeshirke, Steve Rasch en John Wolfram schrijven dat de aanvallers "een diepgaand begrip van de interne werking van BeyondTrust-appliances" toonden, zichtbaar in hun gebruik van die proprietary CLI-tools en configuratiesjablonen. Hun advies is navenant hard:
"Elke appliance die tijdens het exploitatievenster vanaf het internet bereikbaar was op een kwetsbare versie, moet als mogelijk gecompromitteerd worden behandeld tot ze is onderzocht."
Armory Castle is geen nieuwkomer. De groep, actief sinds oktober 2023, heeft een trackrecord van zero-day-misbruik in juist dit soort randapparatuur: Citrix NetScaler (CVE-2023-4966) en meerdere keren Ivanti Connect Secure (CVE-2023-46805, CVE-2024-21887, CVE-2025-0282). Mandiant meldde eerder dat de groep in 2025 een Ivanti-patch die als "laag risico" was beoordeeld, zelf analyseerde en ombouwde tot een werkende exploit tegen ongepatchte appliances — een teken van ongewoon volwassen reverse-engineering-capaciteit. BeyondTrust zelf vermoedt dat de groep "een werkend model bijhoudt van de producten die ze viseren, in een AI-context die ze doorlopend gebruikt om exploitketens te ontwikkelen." Bevestigd is dat niet, maar het past bij het patroon: eerst selectief en onopvallend bij hooggewaardeerde doelen, en zodra de kwetsbaarheid publiek wordt, breed en opportunistisch tegen alles wat nog ongepatcht is.
En die bredere golf tekende zich meteen af. Dezelfde week waarschuwde CISA ook voor een actief misbruikte zero-day in Ivanti Connect Secure (CVE-2026-104935, authenticatie-bypass met code-executie), die eveneens aan de KEV-catalogus werd toegevoegd. Palo Alto Networks patchte een kwetsbaarheid in het beheerinterface van PAN-OS (CVE-2026-0322, CVSS 8.6) na "zeer beperkte" exploitatie vanaf een handvol in de VS gelokaliseerde IP-adressen. En Cisco waarschuwde voor actief misbruik van een kritieke fout in Secure Email Gateway (CVE-2026-76519, CVSS 9,8) waarmee een niet-geauthenticeerde aanvaller via een geprepareerde bijlage willekeurige bestanden kon schrijven en met root-rechten code kon uitvoeren. CISA voegde beide laatste kwetsbaarheden toe aan de KEV-catalogus met een deadline voor federale instanties van 17 oktober — vandaag.
Vier leveranciers, vier randapparaten die per definitie vanaf het internet bereikbaar moeten zijn om hun werk te doen, vier keer actief misbruik binnen dezelfde week. Dat edge-apparaten een favoriet doelwit zijn, is op zich geen nieuws; dat het zich zo dicht opeenstapelt, wel.
Voor wie zelf een BeyondTrust Remote Support-appliance zelf-hostend draait, is de volgorde van prioriteiten helder: patchen naar BT26-05-RS (eventueel na een tussenstap als de versie ouder is dan 24.3.1), en vervolgens — niet optioneel — forensisch onderzoek doen naar elke appliance die tussen 29 augustus en de patchdatum vanaf het internet bereikbaar was. CISA is daar expliciet over: elke credential die de appliance ooit opsloeg of doorgaf, moet worden geroteerd, alle actieve supportsessies moeten worden ingetrokken, en nieuwe MFA-registraties op bevoorrechte accounts moeten worden herbekeken. Voor wie de SaaS-variant gebruikt, is het risico beperkter, maar niet nul: wie via die appliance ooit beheerderswachtwoorden heeft laten lopen, doet er goed aan die sowieso te roteren.
Breder genomen is dit precies het scenario dat NIS2 en DORA voor ogen hadden bij hun strengere eisen rond toeleveringsketen- en derdenrisico. Een supporttool die door de IT-afdeling wordt beheerd, en die toegang heeft tot talloze downstream-systemen via een "Jump Item"-lijst, is in de praktijk een single point of failure voor de hele organisatie. Wie onder NIS2 valt, moet zich afvragen of een incident als dit tijdig zou worden opgemerkt, en of het meldingsplichtig zou zijn — gezien de aard van de toegang die hier op het spel staat, waarschijnlijk wel.
Hoeveel organisaties daadwerkelijk zijn getroffen, is niet bekend. BeyondTrust en Mandiant bevestigen één geval met zekerheid — de appliance van augustus — en spreken verder in voorwaardelijke termen over wie nog meer risico liep. Het label "AI-ondersteunde exploitontwikkeling" dat BeyondTrust aan de groep toeschrijft, is een werkhypothese, niet een bevestigd feit; het verdient gezonde scepsis tot er harder bewijs ligt. En of de vier incidenten van deze week — BeyondTrust, Ivanti, Palo Alto, Cisco — werkelijk met elkaar samenhangen of toevallig samenvielen, laat geen van de bronnen zich hard over uit. Het zou allebei kunnen: een toevallige clustering van onafhankelijke ontdekkingen, of een teken dat de aandacht van aanvallers structureel naar randapparatuur is verschoven omdat die nu eenmaal zelden even snel wordt gepatcht als een desktop-besturingssysteem.
Mandiant waarschuwt zelf dat Armory Castle, zodra een kwetsbaarheid breed bekend is, doorgaans overschakelt naar opportunistische massa-exploitatie van alles wat nog niet is gepatcht. Dat is het scenario om de komende weken op te volgen: een golf van bredere, minder gerichte aanvallen op nog ongepatchte BeyondTrust-appliances wereldwijd. Daarnaast is het de moeite waard te zien of CISA, Mandiant of BeyondTrust nog aanvullende indicators of compromise publiceren, en of andere leveranciers van vergelijkbare remote-support- of beheersoftware — denk aan concurrenten in dezelfde categorie — soortgelijke klachten beginnen te melden. Als dit inderdaad een structurele verschuiving is naar randapparatuur als favoriet doelwit, dan is deze week niet het einde van het verhaal, maar het begin.