قراصنة يستغلون بنشاط ثغرة أمنية بالغة الخطورة في برمجيات الدعم عن بُعد من بيوند تراست

أتاحت ثغرة أمنية بالغة الخطورة تؤثر في أجهزة إدارة المؤسسات لمشغلين غير مصرح لهم بالسيطرة عن بُعد على أنظمة الشركات واختراق بيئات داخلية حساسة. وتحمل الثغرة، المعرّفة برمز CVE-2026-102764، درجة خطورة تبلغ 9.3 من أصل 10 على مقياس نظام تقييم الثغرات المشترك، مما يشير إلى خطر تشغيلي حاد.

ونجح المهاجمون في توظيف الثغرة كسلاح بصفتها ثغرة يوم صفري غير معالجة، منفذين عمليات اختراق ناجحة للشبكات قبل أسابيع من الانتهاء من التحديثات الدفاعية.

ويكمن الخلل الهيكلي داخل نظام فرعي للمراسلة الداخلية يعمل ضمن أجهزة الدعم عن بُعد من بيوند تراست (BeyondTrust Remote Support). وبسبب غياب آليات التحقق المناسبة لحركة البيانات الواردة، تعالج واجهة المراسلة بيانات غير موثوقة دون التحقق من الهوية أو الصلاحيات. وتسمح هذه الثغرة لجهات خارجية غير مصادق عليها بإنشاء وصول إداري عن بُعد، مما يمنحها القدرة على التحكم مباشرة في منصة الأجهزة الأساسية.

أساليب التوظيف واختراق الشبكات

وبدأت مجموعة تهديد متطورة تُعرف باسم "أرموري كاسل" (Armory Castle) الاستغلال النشط للخلل البرمجي في 29 أغسطس 2026. ومن خلال توجيه مدخلات مصممة خصيصاً نحو أجهزة ضعيفة متصلة بالإنترنت، تجاوز المهاجمون الحواجز الدفاعية وزرعوا قذائف ويب مخصصة عبر الأجهزة المستهدفة. ووفرت هذه الأبواب الخلفية غير المصرح بها للمشغلين منصة تفاعلية للحفاظ على التحكم المستمر في الشبكة وتنفيذ خطوات اختراق ثانوية.

وعقب الوصول الأولي، ركز المهاجمون جهودهم على قواعد بيانات إدارة الأسرار الداخلية داخل البيئات المخترقة؛ إذ قامت المجموعة بصورة منهجية بجمع مفاتيح المصادقة المخزنة وكلمات المرور الإدارية، مما مكنها من التحرك جانبياً نحو قطاعات أوسع من شبكات المؤسسات.

وأظهرت الحملة بأكملها خبرة تقنية عالية، تضمنت أدوات مخصصة أُعدت لإنشاء أنفاق عبر خوادم وكيلة من نوع SOCKS5، والتي وجّهت حركة مرور الشبكة غير المشروعة عبر العقد المخترقة.

ولمنع اكتشافهم من قِبل مسؤولي أمن الشركات، اتخذ المهاجمون إجراءات متعمدة لإخفاء بصماتهم الرقمية؛ حيث قامت المجموعة بمسح سجلات أحداث نظام التشغيل بصورة منهجية وحذف سجلات التطبيقات، مما أعاق بشكل كبير التحقيقات الجنائية الرقمية بعد الحادث. ومكن هذا التدمير المنهجي لأدلة النظام الجهات المهددة من الحفاظ على موطئ قدم تشغيلي مستمر مع تقليل إمكانية رصد تحركاتها الجانبية.

تدابير التخفيف وتوجيهات تحصين المحيط الأمني

وتؤكد حملة الاستغلال هذه المخاطر الشديدة التي تواجه المؤسسات التي تنشر منصات الإدارة عن بُعد مباشرة على شبكة الإنترنت العامة؛ إذ غالباً ما تمتلك أنظمة إدارة الحافة رؤية شبكية واسعة وحقوق وصول مميزة، مما يحول الثغرات غير المعالجة إلى قنوات مباشرة للاختراق الكامل للمؤسسة.

وأكد خبراء الأمن أن إبقاء لوحات التحكم الإدارية متاحة للشبكات غير الموثوقة يزيد بشكل كبير من التعرض لعمليات المهاجمين المتقدمة.

وعالجت شركة بيوند تراست الخلل في مكون المراسلة عبر نشر تحديث برمجي رسمي في 9 أكتوبر 2026. ويُنصح مسؤولو الأمن بإعطاء الأولوية للنشر الفوري لهذا التحديث عبر جميع الأجهزة المتأثرة لإغلاق مسار الاستغلال. وبالإضافة إلى تحديث البرمجيات، يتعين على المؤسسات تقييد الوصول عبر الإنترنت إلى لوحات التحكم الإدارية عن بُعد فوراً، وإجراء تدقيق شامل لمؤشرات الاختراق لكشف وتفكيك أي موطئ قدم دائم للمهاجمين.