CVE-2026-1731: критическая RCE в BeyondTrust и Privileged Remote Access

В конце января 2026 года была обнаружена критическая уязвимость в решениях BeyondTrust Remote Support и Privileged Remote Access, получившая идентификатор CVE-2026-1731. По оценке исследователей и органов кибербезопасности, уязвимость позволяет удалённым, неаутентифицированным злоумышленникам выполнять произвольные команды операционной системы и потенциально приводит к полному компромиссу систем и эксфильтрации данных.

Краткая суть

Уязвимость основана на проблеме в Bash-скрипте «thin-scc-wrapper», который обрабатывает параметр remoteVersion во время переговоров клиент—сервер через уязвимую конечную точку WebSocket /nw. Для эксплуатации не требуется аутентификация ввода пользователя — атакующему достаточно отправить корректный HTTP-заголовок X-Ns-Company, соответствующий конфигурации целевой системы.

«Уязвимость позволяет неаутентифицированным удалённым атакующим выполнять произвольные команды ОС»

Хронология открытия и развитие угрозы

• 31 января 2026 — уязвимость обнаружена исследователем Hacktron с помощью анализа на основе AI.
• Через четыре дня после раскрытия — появилось PoC-демо на GitHub.
• После публикации CISA внесла CVE-2026-1731 в каталог известных уязвимостей, что привлекло дополнительное внимание злоумышленников.
• Наблюдалась быстрая волна сканирования и попыток эксплуатации; сообщения специалистов указывают на интерес со стороны брокеров initial access на русскоязычных форумах.

Технические детали эксплуатации

Эксплуатация использует уязвимую логику арифметической оценки внутри затронутого Bash-скрипта. Атакующие формируют специально подготовленные сообщения по WebSocket в конечную точку /nw, манипулируя параметром remoteVersion и подменяя заголовок X-Ns-Company. Простота ошибки позволила быстро создавать эксплойты, в том числе с применением утилиты websocat для взаимодействия с уязвимым WebSocket.

В ранних эксплойтах злоумышленники запускали относительно безобидные команды типа nslookup, однако такие PoC легко адаптируются для:

• чтения конфиденциальных файлов;
• получения удалённых оболочек (reverse shells);
• установки вредоносных или удалённых инструментов мониторинга;
• эксфильтрации данных и дальнейшей латерализации по сети.

Наблюдаемые тактики и постэксплуатация

После начальной волны эксплуатации зафиксированы следующие техники злоумышленников:

• развёртывание инструментов удалённого мониторинга, например SimpleHelp, чтобы закрепиться в среде;
• использование PowerShell для перечисления объектов Active Directory и сбора учётных данных;
• массовое сканирование сетей для поиска других уязвимых экземпляров BeyondTrust;
• торговля доступом на специализированных форумах и рынках (initial access brokers).

Оценка риска

Из-за широкого распространения продуктов BeyondTrust и отсутствия требований к аутентификации CVE-2026-1731 получила высокий балл — CVSSv4 9.9. Учитываются серьёзные риски для конфиденциальности, целостности и доступности систем: эксплойт может привести к полному контролю над сервером и утечке критичных данных.

Индикаторы компрометации (IoC) и признаки атаки

• входящие или исходящие соединения к конечной точке WebSocket /nw с необычной нагрузкой;
• HTTP-заголовки X-Ns-Company с неожиданными или массовыми значениями;
• логи, фиксирующие запуск команд вроде nslookup, нестандартных PowerShell-скриптов или попыток чтения конфиденциальных файлов;
• неожиданная установка/активность SimpleHelp или других удалённых администрирующих инструментов;
• повышенная активность сканирования на портах и сервисах BeyondTrust.

Рекомендации по защите и реагированию

Организациям рекомендуется оперативно принимать меры по снижению риска. Приоритетные шаги:

1. Патчинг: немедленно установить патчи и обновления от BeyondTrust согласно официальным advisories.
2. Ограничение доступа: минимизировать доступ к сервисам BeyondTrust из внешних сетей; по возможности закрыть WebSocket-порт /nw за пределами доверенных сегментов.
3. Мониторинг и обнаружение: внедрить правила IDS/IPS и SIEM-корреляции для обнаружения подозрительных запросов к /nw, необычных X-Ns-Company заголовков и запуска команд на целевых хостах.
4. Контрмеры на уровне сети: использовать WAF/NGFW для фильтрации подозрительных payload-ов WebSocket; блокировать инструменты вроде websocat, когда это возможно.
5. Инвентаризация: оперативно выявить все инстансы BeyondTrust в инфраструктуре и приоритизировать их обновление.
6. Эпидемиологические меры: при подозрении на компрометацию провести поиск Indicators of Compromise, изолировать поражённые хосты, проанализировать целостность систем и сменить учётные данные/ключи.
7. Защита конечных точек: усилить EDR-детекцию, блокировать известные инструменты постэксплуатации, контролировать запуск PowerShell-скриптов.
8. Обучение и процедурная готовность: уведомить команды реагирования, подготовить playbook для инцидентов с BeyondTrust и регулярно тестировать процедуры.

Шире — влияние и вызовы для индустрии

Случай CVE-2026-1731 подчёркивает несколько ключевых трендов:

• рост роли инструментов на базе AI в обнаружении уязвимостей: они ускоряют идентификацию проблем, но также сокращают окно между раскрытием и эксплуатацией;
• опасность уязвимостей в решениях для привилегированного доступа — компрометация таких систем даёт злоумышленникам широкий вектор для дальнейшей латерализации;
• необходимость быстрого сотрудничества между вендорами, специалистами по безопасности и регуляторами (например, CISA) для информирования и смягчения последствий.

Вывод

CVE-2026-1731 — критическая уязвимость с высокой скоростью эксплуатации и серьёзными последствиями для организаций, использующих BeyondTrust Remote Support и Privileged Remote Access. Приоритетом должно стать немедленное применение патчей, ограничение доступа к уязвимым сервисам и усиленный мониторинг на предмет признаков компрометации. В условиях ускоряющегося развития инструментов на базе AI, время реакции и проактивная безопасность остаются решающими факторами в защите критичных инфраструктур.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.