遠端支援工具 BeyondTrust 免驗證漏洞遭利用：CISA 發緊急提醒，自架版要立刻修補

一句話看懂：企業 IT 常用的遠端支援工具 BeyondTrust Remote Support 有一個不用帳密就能繞過驗證的漏洞，美國 CISA 確認駭客正在利用並發出緊急提醒，自架設備要立刻修補。

先用白話講：遠端支援工具為什麼重要？

公司電腦出問題時，IT 人員常會說「我遠端連過去幫你看」。遠端支援工具就是那條「連過去」的專線，IT 透過它可以看到你的畫面、操作你的電腦。

所以它有點像大樓管理員手上的萬能鑰匙：平常拿來幫住戶開門修水管，但如果鑰匙被壞人複製，就能進到任何一戶。這次 BeyondTrust Remote Support（前身是 Bomgar）的漏洞，就是讓人可以不用正確的鑰匙，直接騙過門口的檢查。

發生什麼事

• 10 月 15 日：BeyondTrust 公布 CVE-2026-102764，CVSS 4.0 分數 9.3（重大）
• 10 月 16 日：CISA 發布緊急修補提醒，並列入「已知遭利用漏洞」（KEV）清單

依官方 CVE 紀錄與 CISA 公告：

• 原因：內部訊息元件沒有好好驗證訊息的來源，在特定條件下，攻擊者可以對設備進行檔案操作
• 條件：網路可連、不需要帳號權限、不需要使用者互動
• 範圍：Remote Support 26.2.3 以前（含）的版本
• 已遭利用：CISA 觀察到攻擊者用它取得初始存取、建立持久化、提升權限，並在內網橫向移動
• SaaS 版：BeyondTrust 代管的雲端版已完成修補

自架設備該怎麼處理？

懷疑被入侵時的處理步驟

CISA 這次給了很完整的事件處理建議：

1. 隔離：把可疑或確認遭入侵的設備隔離
2. 保全證據：虛擬設備做快照、實體設備做映像；立刻把設備的系統紀錄與工作階段事件轉送到 SIEM，並收集曝險期間的 WAF、反向代理、防火牆紀錄
3. 調查：找不明的特權工作階段、陌生腳本檔、紀錄中斷、帳號權限或政策被改動的痕跡
4. 重建：從已知乾淨的狀態重建，再套用修補
5. 換帳密：設備存過或代填過的所有憑證都要更換
6. 撤銷工作階段：結束所有進行中的支援連線
7. 檢查多因素驗證：看特權帳號有沒有被新增可疑的 MFA 裝置

我的看法

遠端支援、遠端桌面、VPN 這類「讓外面的人連進來」的工具，一直是攻擊者最愛的目標，因為一旦得手，等於直接站在公司網路裡面。這次的漏洞不需要帳密，對外開放的自架設備風險非常高。

對中小企業來說，最實際的提醒有兩個：第一，確認你的 IT 外包商用的是什麼遠端工具、是雲端版還是自架版，自架的話誰負責更新；第二，CISA 特別強調要更換設備存過的所有帳密，因為遠端支援工具常存著連進客戶電腦用的管理員密碼，只修補不換密碼，等於門修好了、鑰匙還在別人手上。

名詞小辭典

• 驗證繞過（Authentication Bypass）：不用正確帳密，就騙過系統的身分檢查。
• 橫向移動（Lateral Movement）：攻擊者進到內網一台電腦後，再往其他電腦擴散。
• SIEM：集中收集、分析各種系統紀錄的資安監控平台。
• CISA KEV：美國 CISA 維護的「已知遭利用漏洞」清單，被列入代表已經有人實際拿來攻擊。

資料來源

• CISA：CISA Urges Patching Critical Vulnerability in BeyondTrust Remote Support（2026-10-16）
• CVE 紀錄：CVE-2026-102764（CNA：BeyondTrust）