Kerentanan kritis eksekusi kode jarak jauh pra-autentikasi pada peralatan Dukungan Jarak Jauh BeyondTrust dan Akses Jarak Jauh Istimewa kini dieksploitasi dalam serangan setelah PoC dipublikasikan secara online.
Dilacak sebagai CVE-2026-1731 dan diberi skor CVSS mendekati maksimum sebesar 9,9, kelemahan ini memengaruhi Dukungan Jarak Jauh BeyondTrust versi 25.3.1 dan yang lebih lama serta Akses Jarak Jauh Istimewa versi 24.3.4 dan yang lebih lama.
Melampaui Kepercayaan mengungkapkan kerentanannya pada tanggal 6 Februari, memperingatkan bahwa penyerang yang tidak diautentikasi dapat mengeksploitasinya dengan mengirimkan permintaan klien yang dibuat khusus.
“Dukungan Jarak Jauh BeyondTrust dan versi Akses Jarak Jauh Istimewa yang lebih lama mengandung kerentanan eksekusi kode jarak jauh pra-autentikasi kritis yang mungkin dipicu melalui permintaan klien yang dibuat khusus,” jelas BeyondTrust.
“Eksploitasi yang berhasil dapat memungkinkan penyerang jarak jauh yang tidak diautentikasi untuk menjalankan perintah sistem operasi dalam konteks pengguna situs. Eksploitasi yang berhasil tidak memerlukan otentikasi atau interaksi pengguna dan dapat menyebabkan kompromi sistem, termasuk akses tidak sah, eksfiltrasi data, dan gangguan layanan.”
BeyondTrust secara otomatis melakukan patch pada semua instans SaaS Dukungan Jarak Jauh dan Akses Jarak Jauh Istimewa pada tanggal 2 Februari 2026, namun pelanggan lokal harus menginstal patch secara manual.
CVE-2026-1731 kini dieksploitasi di alam liar
peretasan menemukan kerentanannya dan secara bertanggung jawab mengungkapkannya kepada BeyondTrust pada tanggal 31 Januari.
Hacktron mengatakan sekitar 11.000 server BeyondTrust Remote Support diekspos secara online, dengan sekitar 8.500 penerapan di lokasi.
Ryan Dewhurst, kepala intelijen ancaman di watchTowr, kini melaporkan bahwa penyerang telah mulai secara aktif mengeksploitasi kerentanan tersebut, memperingatkan bahwa jika perangkat tidak ditambal, perangkat tersebut dianggap telah disusupi.
“Semalam kami mengamati eksploitasi pertama BeyondTrust di seluruh sensor global kami,” Dewhurst memposting di X.
“Penyerang menyalahgunakan get_portal_info untuk mengekstrak nilai x-ns-company sebelum membuat saluran WebSocket.”
Eksploitasi ini terjadi sehari setelah eksploitasi bukti konsep dipublikasikan di GitHub yang menargetkan hal yang sama /get_portal_info titik akhir.
Serangan tersebut menargetkan portal BeyondTrust yang terbuka untuk mengambil ‘X-Ns-Company‘ pengenal, yang kemudian digunakan untuk membuat soket web ke perangkat yang ditargetkan. Hal ini memungkinkan penyerang untuk menjalankan perintah pada sistem yang rentan.
Organisasi yang menggunakan Dukungan Jarak Jauh BeyondTrust yang dihosting sendiri atau peralatan Akses Jarak Jauh Istimewa harus segera menerapkan patch yang tersedia atau meningkatkan ke versi terbaru.
BleepingComputer menghubungi BeyondTrust dan Dewhurst untuk menanyakan apakah mereka memiliki rincian tentang aktivitas pasca-eksploitasi dan akan memperbarui cerita ini jika kami menerima tanggapan.
Masa depan infrastruktur TI telah tiba
Infrastruktur TI modern bergerak lebih cepat dibandingkan dengan alur kerja manual.
Dalam panduan Tines baru ini, pelajari bagaimana tim Anda dapat mengurangi penundaan manual yang tersembunyi, meningkatkan keandalan melalui respons otomatis, dan membangun serta menskalakan alur kerja cerdas di atas alat yang sudah Anda gunakan.
