ثغرة يوم الصفر CVE-2026-102764 في BeyondTrust: أداة فرز التنبيهات أغلقت إنذارات الاختراق

ستة أسابيع من استغلال ثغرة يوم الصفر وتجاهل التنبيه الأمني

تعرّضت ثغرة حرجة في نظام BeyondTrust Remote Support للاستغلال النشط طوال أسابيع قبل الإعلان عنها رسمياً. فبحسب موقع Rescana، فإن CVE-2026-102764 هي ثغرة حرجة في BeyondTrust Remote Support، بتقييم 9.3 وفق معيار CVSS 4.0 من قِبل BeyondTrust (CNA) و9.8 وفق معيار CVSS 3.1 من قِبل NVD. ويفيد موقع Cybersecurity News بأن الثغرة استُغلت كثغرة يوم صفر في أواخر أغسطس 2026، قبل أن تكشف عنها BeyondTrust في 15 أكتوبر.

وعلى وجه التحديد، يذكر موقع GBHackers أن شركة BeyondTrust تقول إن الهجوم الأول وقع في 29 أغسطس 2026 وأصاب نسخة واحدة مستضافة لدى BeyondTrust وجهازاً واحداً مستضافاً ذاتياً، دون إعلان عدد العملاء المتأثرين. أما التفصيل الأبرز فهو أن التسلل لم يمر دون رصد من أدوات المراقبة؛ إذ يوضح GBHackers أن مستشعرات BeyondTrust أطلقت تنبيهاً بشأن تصعيد الصلاحيات، لكن أداة فرز خارجية أغلقت تلك التنبيهات باعتبارها إنذارات كاذبة.

وتشير التحقيقات إلى وقوف مجموعة تجسس متمرسة وراء العملية؛ فوفقاً لموقع Cybersecurity News، تربط شركة Mandiant التابعة لشركة Google هذا النشاط بمجموعة ARMORY CASTLE، وهي مجموعة يُشتبه بارتباطها بالصين وكانت تُتتبع سابقاً تحت اسم UNC5221. كما يورد GBHackers أن شركة Google تحذر من أن هذه المجموعة اعتادت الانتقال من الاستغلال الانتقائي لثغرات يوم الصفر إلى هجمات انتهازية أوسع نطاقاً بمجرد الكشف العلني عن الثغرات.

التمركز بصلاحية root وحذف السجلات ومواعيد التحديث الإلزامية

تكشف نتائج التحقيق الجنائي من Mandiant كيف ثبّت المهاجمون أقدامهم داخل الأنظمة المخترقة. ويذكر موقع Cybersecurity News أن المهاجمين صعّدوا صلاحياتهم إلى root عبر نسخ /bin/sh إلى /usr/bin/dbus-authd مع تفعيل خاصية SUID، ونشروا صدفة ويب SAWFLY وأداة تمرير BARECLAW SOCKS5 على منفذ TCP رقم 19800. ولإعاقة فرق التحقيق، وجدت Mandiant أيضاً أن المهاجمين حذفوا السجلات عبر النظام وخادم الويب والتطبيق لإخفاء آثارهم.

وبحسب التنبيه الصادر عن المركز الكندي للأمن السيبراني، فإن الإصدارات المتأثرة هي Remote Support 26.2.3 وما قبلها؛ ويحتاج العملاء الذين يستضيفون النظام ذاتياً إلى تطبيق التحديث BT26-05-RS، بينما جرى تحديث أنظمة عملاء السحابة SaaS اعتباراً من 9 أكتوبر 2026. ويشير موقع Rescana إلى أن وكالة CISA أضافت الثغرة إلى قائمة الثغرات المستغلة المعروفة (KEV) في 16 أكتوبر 2026 مع تحديد 19 أكتوبر كموعد نهائي للجهات الفيدرالية.

والأهم من ذلك أن تثبيت التحديث وحده لا يكفي؛ إذ ينقل موقع Cybersecurity News أن شركة Mandiant تحذر من أن التحديث يغلق الثغرة لكنه لا يزيل آثار الاختراق السابق، وتوصي بإعادة بناء النظام من نسخة نظيفة ومحدثة إذا تعذر الجزم بعدم وقوع اختراق.

ماذا يعني هذا لفرق إدارة الأنظمة ومزودي الخدمات في الجزائر

رغم أن التقارير المذكورة لا تحدد ضحايا حسب الدول، فإن أجهزة وبرامج الدعم عن بُعد تُستخدم على نطاق واسع من طرف فرق الدعم الفني ومزودي خدمات تقنية المعلومات في الجزائر وشمال أفريقيا لإدارة الخوادم والأجهزة عن بُعد. وبما أن مجموعة ARMORY CASTLE اعتادت التحول إلى الهجمات الانتهازية الواسعة فور إعلان الثغرات، فإن الأنظمة المستضافة ذاتياً تواجه خطراً فورياً. وتبرز هنا ثلاث خطوات عملية مباشرة.

1. تطبيق التحديث BT26-05-RS فوراً — وإعادة بناء الجهاز إذا تعذر نفي الاختراق

يجب على أي مؤسسة تشغّل نظام BeyondTrust Remote Support باستضافة ذاتية في الإصدار 26.2.3 أو ما قبله تثبيت التحديث BT26-05-RS دون تأخير. غير أنه نظراً لقيام المهاجمين بزرع نسخة root مع تفعيل SUID في المسار /usr/bin/dbus-authd ونشر صدفة SAWFLY وأداة BARECLAW SOCKS5 على منفذ TCP رقم 19800 مع حذف سجلات النظام وخادم الويب والتطبيق، توصي Mandiant بإعادة بناء النظام من صورة نظيفة ومحدثة كلما تعذر استبعاد وقوع تسلل سابق.

2. منع أدوات الفرز الآلي من إغلاق تنبيهات تصعيد الصلاحيات تلقائياً

رصدت مستشعرات BeyondTrust عملية تصعيد الصلاحيات بالفعل، لكن أداة فرز خارجية أغلقت تلك التنبيهات باعتبارها إنذارات كاذبة، مما سمح باستمرار النشاط الذي بدأ في 29 أغسطس 2026 حتى شهر أكتوبر. لذا يتعين على فرق الأمن التي تستعين بأدوات فرز آلية أو خدمات مراقبة خارجية منع الإغلاق التلقائي لأي تنبيه يتعلق بتصعيد صلاحيات root على أجهزة الإدارة عن بُعد.

3. إرسال سجلات أجهزة الإدارة فوراً إلى خادم تجميع خارجي غير قابل للمسح

اكتشفت Mandiant حذف السجلات عبر النظام وخادم الويب والتطبيق على الأجهزة المخترقة. فإذا ظلت السجلات محفوظة محلياً فقط على الجهاز نفسه، يستطيع المهاجم الذي يمتلك صلاحية root مسح أدلة دخوله، مما يجعل إعادة البناء الكامل الخيار الآمن الوحيد.

الدرس البنيوي

تقع منصات الدعم عن بُعد في قمة هرم الثقة الإدارية؛ فاختراق جهاز واحد يمنح المهاجم جسراً مباشراً إلى كافة الخوادم والحواسيب التي يديرها. وتُظهر واقعة CVE-2026-102764 أن كفاءة مستشعرات الرصد مرهونة بطبقة الفرز التي تليها؛ فعندما تغلق أداة فرز خارجية تنبيهاً حقيقياً لتصعيد الصلاحيات باعتباره إنذاراً كاذباً، تتساوى البيئة المراقبة مع البيئة غير المراقبة تماماً.

وبالنسبة لفرق الأمن السيبراني في المؤسسات الجزائرية، يجمع الدرس بين الإجراء الفوري على إصدارات Remote Support 26.2.3 وما قبلها وبين قاعدة حوكمة أوسع: يجب أن يراجع محلل بشري — لا قاعدة إسكات آلية — كل تنبيه يتعلق بتصعيد الصلاحيات على أنظمة الإدارة الحساسة.

الأسئلة الشائعة

المصادر والقراءات الإضافية

• BeyondTrust zero-day exploited by China-linked ARMORY CASTLE group — Cybersecurity News
• BeyondTrust zero-day alerts were closed as false positives by third-party triage tool — GBHackers
• Google warns ARMORY CASTLE may expand BeyondTrust zero-day attacks — GBHackers
• AL26-025: Critical vulnerability impacting BeyondTrust Remote Support (CVE-2026-102764) — Canadian Centre for Cyber Security
• BeyondTrust Remote Support CVE-2026-102764 added to CISA KEV — Rescana