# CVE-2026-102764: BeyondTrust Remote Support ถูกกลุ่มจารกรรมใช้เป็น zero-day ตั้งแต่ ส.ค.

> CVE-2026-102764 ช่องโหว่ Critical ใน BeyondTrust Remote Support ถูก ARMORY CASTLE ใช้เป็น zero-day ตั้งแต่ 29 ส.ค. 2026 แพตช์ออกแล้ว CISA ให้แก้ภายใน 19 ต.ค.

- ประเภท: ข่าว · หมวด: Cybersecurity
- เผยแพร่: 2026-10-17T05:44:00.000Z · อัปเดต: 2026-10-17T05:44:00.000Z
- โดย: กองบรรณาธิการ THAI DATA, THAI DATA IT BUSINESS ENTERPRISE
- ที่มา: https://thaidata.co.th/security/beyondtrust-cve-2026-102764-remote-support-zero-day/

## สรุปประเด็นสำคัญ

- BeyondTrust ประกาศ **BT26-05** เมื่อ **15 ตุลาคม 2026** ยืนยันว่า **CVE-2026-102764** ใน Remote Support ทุกรุ่นถึง **26.2.3** เปิดทางให้ผู้โจมตีจัดการไฟล์บนอุปกรณ์ได้ คะแนน **CVSS v4.0 9.3** ส่วน NVD ให้ **CVSS 3.1 9.8**
- ช่องโหว่ถูกใช้เป็น zero-day ตั้งแต่ **29 สิงหาคม 2026** กับลูกค้า **2 ราย** (Remote Support แบบ SaaS 1 ราย และแบบติดตั้งเอง 1 ราย) Mandiant ระบุผู้โจมตีคือ **ARMORY CASTLE** (ชื่อเดิม UNC5221) กลุ่มจารกรรมที่ต้องสงสัยว่าเชื่อมโยงกับจีน
- แพตช์ออกเมื่อ **8 ตุลาคม** ลูกค้า SaaS ได้รับอัตโนมัติ ส่วนเครื่องที่ติดตั้งเองต้องลงแพตช์ BT26-05-RS (รุ่น 24.3.1–26.2.3) และรุ่นเก่ากว่า 24.3.1 ต้องอัปเกรดก่อน
- CISA เพิ่ม CVE-2026-102764 เข้า KEV เมื่อ **16 ตุลาคม** ให้หน่วยงานรัฐบาลกลางสหรัฐฯ แก้ภายใน **19 ตุลาคม 2026** และ Mandiant เตือนให้เตรียมรับการโจมตีวงกว้างหลังการเปิดเผย

BeyondTrust ประกาศแพตช์ช่องโหว่ CVE-2026-102764 ระดับ Critical ใน Remote Support เมื่อวันที่ 15 ตุลาคม 2026 พร้อมยืนยันว่ากลุ่มจารกรรมที่ Mandiant สงสัยว่าเชื่อมโยงกับจีนใช้ช่องโหว่นี้เป็น zero-day เจาะระบบลูกค้า 2 รายมาตั้งแต่ 29 สิงหาคม วันถัดมา CISA เพิ่มช่องโหว่เข้าแค็ตตาล็อก KEV และให้หน่วยงานรัฐบาลกลางสหรัฐฯ แก้ภายใน 19 ตุลาคม

Remote Support (ชื่อเดิม Bomgar) คือระบบที่ฝ่ายไอทีใช้รีโมตเข้าไปช่วยแก้ปัญหาเครื่องของผู้ใช้และลูกค้า อุปกรณ์จึงเก็บรหัสผ่านและสิทธิ์เข้าถึงเครื่องปลายทางจำนวนมาก Mandiant เตือนว่าเมื่อช่องโหว่ถูกเปิดเผยแล้ว กลุ่มนี้และผู้โจมตีรายอื่นมักไล่เจาะเครื่องที่ยังไม่แพตช์เป็นวงกว้าง องค์กรที่ติดตั้ง Remote Support เองจึงควรลงแพตช์ทันที

## CVE-2026-102764 คือช่องโหว่อะไร

ประกาศ BT26-05 ของ BeyondTrust ระบุว่าช่องโหว่อยู่ในส่วนรับส่งข้อความภายในของ Remote Support ซึ่งไม่ตรวจที่มาของข้อความที่รับเข้ามาให้ดีพอ ในบางเงื่อนไขผู้โจมตีจึงสั่งจัดการไฟล์บนอุปกรณ์ได้ จัดอยู่ในกลุ่ม CWE-290 (การข้ามการยืนยันตัวตนด้วยการปลอมแปลง) ส่วนรายงานของ Mandiant อธิบายว่าผู้โจมตีที่ไม่ต้องล็อกอินใช้ช่องโหว่นี้อัปโหลดไฟล์ใดก็ได้ขึ้นเครื่อง ซึ่งนำไปสู่การคุมเครื่องระดับระบบปฏิบัติการและเข้าถึงรหัสผ่านทุกชุดที่อุปกรณ์เก็บหรือส่งต่อ

| ประเด็น | รายละเอียดของ CVE-2026-102764 |
| --- | --- |
| ประกาศของผู้ผลิต | BT26-05 ออกวันที่ 15 ตุลาคม 2026 |
| ผลิตภัณฑ์ที่ได้รับผลกระทบ | BeyondTrust Remote Support ทุกรุ่นถึง 26.2.3 |
| คะแนน | CVSS v4.0 9.3 (BeyondTrust), CVSS 3.1 9.8 (NVD) |
| วิธีแก้สำหรับเครื่องที่ติดตั้งเอง | แพตช์ BT26-05-RS สำหรับรุ่น 24.3.1 ถึง 26.2.3 รุ่นเก่ากว่านั้นต้องอัปเกรดก่อน |
| ลูกค้า SaaS | BeyondTrust ลงแพตช์ให้ครบแล้ว ณ 9 ตุลาคม 2026 |
| CISA KEV | เพิ่มเมื่อ 16 ตุลาคม 2026 กำหนดแก้ภายใน 19 ตุลาคม 2026 และต้องตรวจหลักฐาน (forensic triage) ตาม BOD 26-04 |

BeyondTrust ยังไม่เปิดเผยรายละเอียดทางเทคนิคของ CVE-2026-102764 เพราะเครื่องที่ลูกค้าติดตั้งเองจำนวนมากยังลงแพตช์ไม่เสร็จ บริษัทระบุด้วยว่าผลิตภัณฑ์ Privileged Remote Access (PRA) ใช้โค้ดส่วนเดียวกัน แม้การทดสอบภายในจะยังไม่พบวิธีโจมตี PRA ได้ แต่ก็ออกแพตช์ให้ PRA ด้วยและแนะนำให้ลูกค้า PRA ที่ติดตั้งเองลงแพตช์ทันที

## ลำดับเหตุการณ์ของ CVE-2026-102764 ก่อนถึงวันเปิดเผย

บล็อกของ BeyondTrust ซึ่งอัปเดตล่าสุดวันที่ 16 ตุลาคม เล่าลำดับเหตุการณ์ไว้ดังนี้

| วันที่ (ปี 2026) | เกิดอะไรขึ้น |
| --- | --- |
| 29 สิงหาคม | ผู้โจมตีใช้ zero-day เจาะ Remote Support ที่ BeyondTrust ดูแลให้ 1 ราย และเครื่องที่ลูกค้าติดตั้งเอง 1 เครื่อง |
| 27 กันยายน | การโจมตีอุปกรณ์ของผู้ผลิตความปลอดภัยอีกรายเป็นข่าว BeyondTrust จึงเริ่มล่าหาร่องรอยแบบเดียวกัน |
| 28 กันยายน | ทีม Cyber Defense พบร่องรอยในระบบ SaaS ของลูกค้ารายนั้นและกักระบบได้ภายใน 27 นาทีหลังตรวจพบ |
| 30 กันยายน | Mandiant ส่งผลการสืบสวนเครื่องของลูกค้าที่ติดตั้งเอง ซึ่งตรงกับสิ่งที่ BeyondTrust พบ |
| 8 ตุลาคม | ออกแพตช์ BT26-05 ลูกค้า SaaS ทั้ง Remote Support และ PRA ได้รับแพตช์อัตโนมัติ |
| 15 ตุลาคม | เปิดเผย CVE ประกาศ BT26-05 และรายงานของ Mandiant พร้อมกัน |

![ลำดับเหตุการณ์ในบล็อกของ BeyondTrust ตั้งแต่การเจาะครั้งแรก 29 สิงหาคม จนถึงวันเปิดเผยช่องโหว่ 15 ตุลาคม 2026](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/beyondtrust-cve-2026-102764-remote-support-zero-day/beyondtrust-bt26-05-timeline.webp?v=0523834d) _(ภาพ: BeyondTrust (ภาพหน้าจอ))_

ณ วันที่อัปเดตบล็อก BeyondTrust ระบุว่ารู้เพียงลูกค้า 2 รายนี้ที่ได้รับผลกระทบ และไม่พบความเคลื่อนไหวของผู้โจมตีอีกหลังเดือนสิงหาคม บริษัทยอมรับด้วยว่าเซนเซอร์ของตนแจ้งเตือนทันทีตอนผู้โจมตียกระดับสิทธิ์ แต่เครื่องมือคัดกรองอัตโนมัติในแพลตฟอร์มตรวจจับของผู้ให้บริการภายนอกปิดการแจ้งเตือนนั้นว่าเป็น false positive สิ่งที่พบผู้โจมตีจริงคือการล่าภัย (threat hunting) ที่ทีมทำเองตามข่าวกรองภัยคุกคาม

## ใครอยู่เบื้องหลังการโจมตีด้วย CVE-2026-102764

Google Threat Intelligence Group (GTIG) และ Mandiant ระบุว่าผู้โจมตีคือ ARMORY CASTLE ซึ่งเดิมติดตามในชื่อ UNC5221 ส่วน CrowdStrike เรียกกลุ่มเดียวกันว่า WARP PANDA กลุ่มนี้เคลื่อนไหวมาตั้งแต่อย่างน้อยเดือนตุลาคม 2023 และเคยใช้ zero-day ในอุปกรณ์ขอบเครือข่ายอย่าง Citrix NetScaler (CVE-2023-4966) และ Ivanti Connect Secure (CVE-2023-46805, CVE-2024-21887 และ CVE-2025-0282) เป้าหมายที่มีการบันทึกไว้ได้แก่สำนักงานกฎหมาย ผู้ให้บริการ SaaS บริษัทรับจ้างทำงานเอกสาร (BPO) บริษัทเทคโนโลยี และหน่วยงานรัฐ

![แผนภาพของ GTIG แสดงขั้นตอนการโจมตีของ ARMORY CASTLE บน BeyondTrust Remote Support 8 ขั้น ตั้งแต่ใช้ CVE-2026-102764 จนถึงติดตั้ง BARECLAW](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/beyondtrust-cve-2026-102764-remote-support-zero-day/armory-castle-beyondtrust-attack-sequence.webp?v=128a110d) _(ภาพ: Google Threat Intelligence Group / Mandiant)_

BeyondTrust ระบุว่าผู้โจมตีเชื่อมต่อผ่าน VPN เชิงพาณิชย์และเราเตอร์บ้านหรือสำนักงานขนาดเล็กที่ถูกยึด และเปลี่ยนโครงสร้างพื้นฐานกับเครื่องมือทุกครั้งที่เปลี่ยนเหยื่อ ค่าบ่งชี้จากเหยื่อรายหนึ่งจึงมักใช้กับรายถัดไปไม่ได้ การระบุตัวผู้โจมตีจึงอาศัยพฤติกรรมเป็นหลัก

## ARMORY CASTLE ทำอะไรหลังเจาะ CVE-2026-102764 ได้

จากการสืบสวนของ Mandiant หลังเจาะ CVE-2026-102764 ได้ ผู้โจมตีทำงานเป็นขั้นตอนดังนี้

1. **วาง webshell** ราว 11 นาทีหลังส่งคำขอแรก ไฟล์ SAWFLY (mangoapi.php) ปรากฏในโฟลเดอร์เว็บ ทำหน้าที่รับคำสั่งที่เข้ารหัสด้วย RC4 และตอบ 404 กับคำขอที่ไม่มีพารามิเตอร์ลับเพื่อหลบเครื่องสแกน
2. **ยกระดับเป็น root** คัดลอก /bin/sh ไปเป็น /usr/bin/dbus-authd แล้วตั้งสิทธิ์ SUID ให้รันด้วยสิทธิ์ root
3. **ดึงรหัสผ่านจากคลังของอุปกรณ์** ใช้เครื่องมือ bt-secrets ของ BeyondTrust เองพยายามดึงคลังรหัสผ่าน แล้วลบ log ของเครื่องมือนั้น
4. **ฝังตัวให้รอดการรีบูต** วางสคริปต์ zz-root-persist ในโฟลเดอร์ที่รันตอนเปิดเครื่อง เพื่อเพิ่มสิทธิ์ sudo แบบไม่ต้องใส่รหัสผ่านลงในแม่แบบคอนฟิก ซึ่งจะไม่หายแม้รีเซ็ตการตั้งค่า
5. **ลบร่องรอย** ลบ log ของระบบ เว็บเซิร์ฟเวอร์ และแอปพลิเคชันซ้ำหลายครั้ง
6. **ใช้บัญชีผู้ดูแลเข้าระบบปลายทาง** ล็อกอินหน้าเว็บผู้ดูแลด้วยบัญชี Administrator ที่ได้มา เปลี่ยนสิทธิ์ Jump Item และ Team ของบัญชีจาก No Access เป็น Administrator แล้วเปิดเซสชันรีโมตเข้าเครื่องภายในเพื่อดาวน์โหลดเอกสาร เช่น รายการซอฟต์แวร์ขององค์กร
7. **เปิดอุโมงค์เข้าเครือข่าย** ติดตั้ง BARECLAW ซึ่งเป็น SOCKS5 proxy ผ่าน WebSocket และแก้ไฟล์ haproxy.conf ให้เรียกเครื่องมือนี้จากอินเทอร์เน็ตได้ผ่าน path ที่ตั้งขึ้นเอง

Mandiant เผยแพร่ค่า SHA-256 ของ SAWFLY และ BARECLAW พร้อมกฎ YARA ไว้ในรายงานสำหรับทีมที่ต้องการล่าหาร่องรอย

## ทำไมเรื่องนี้สำคัญ

ระบบรีโมตซัพพอร์ตเก็บทั้งรหัสผ่านสิทธิ์สูงและแผนที่ว่าใครเชื่อมต่อเครื่องไหน การยึดอุปกรณ์ได้เพียงเครื่องเดียวจึงเปิดทางไปถึงเครื่องปลายทางจำนวนมาก CVE-2026-102764 เป็นอีกกรณีในชุดของช่องโหว่อุปกรณ์ขอบเครือข่ายที่ถูกใช้ก่อนมีแพตช์ ต่อจาก [Ivanti Connect Secure zero-day ที่ CISA เร่งให้แพตช์เมื่อ 13–14 ตุลาคม](/security/ivanti-connect-secure-zero-day-pan-os-cisco-email-gateway/) และ[ช่องโหว่ Citrix NetScaler ที่ถูกโจมตีจริงต่อเนื่อง](/security/citrix-netscaler-cve-2026-88779-cisa-kev/)

GTIG ประเมินว่า ARMORY CASTLE ใช้ zero-day กับเป้าหมายที่เลือกไว้ก่อน แล้วเปลี่ยนเป็นการไล่เจาะทุกเครื่องที่ยังไม่แพตช์หลังช่องโหว่เป็นข่าว เหมือนที่เกิดขึ้นในปี 2024 หลังการเปิดเผยช่องโหว่ Ivanti BeyondTrust ยังประเมินว่ากลุ่มนี้อาจใช้ AI ช่วยพัฒนาชุดการโจมตี แม้จะยังไม่มีหลักฐานทางนิติวิทยาศาสตร์ยืนยัน

![ไทม์ไลน์สรุปของ CVE-2026-102764 ตั้งแต่ถูกใช้เป็น zero-day 29 สิงหาคม จนถึงกำหนดแก้ของ CISA 19 ตุลาคม 2026](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/beyondtrust-cve-2026-102764-remote-support-zero-day/cve-2026-102764-key-dates.webp?v=167e6aa6) _(ภาพ: THAI DATA (ข้อมูล: BeyondTrust, CISA))_

## สิ่งที่องค์กรไทยควรทำ

- **ตรวจว่ามี BeyondTrust Remote Support หรือ PRA ที่ติดตั้งเองหรือไม่** รวมถึงระบบที่ผู้ให้บริการภายนอก (MSP) หรือบริษัท outsource ใช้รีโมตเข้าเครื่องขององค์กร แล้วลงแพตช์ BT26-05 ทันที รุ่นที่เก่ากว่า 24.3.1 ต้องอัปเกรดก่อน
- **ถือว่าเครื่องที่เปิดออกอินเทอร์เน็ตช่วงที่มีช่องโหว่อาจถูกเจาะแล้ว** Mandiant แนะนำให้เก็บ snapshot และ log ไว้ก่อนแก้ไข และติดตั้งใหม่จากอิมเมจที่สะอาดแทนการล้างเครื่อง เพราะการฝังตัวระดับระบบรอดการรีบูตได้
- **หมุนเวียนรหัสผ่านหลังลงแพตช์แล้วเท่านั้น** ไล่ตั้งแต่บัญชีผู้ดูแลหน้า /appliance และ /login, API secret, บัญชีที่ใช้เชื่อมระบบยืนยันตัวตน ไปจนถึงรหัสผ่านทุกชุดในคลังของอุปกรณ์ ถ้าเปลี่ยนก่อนแพตช์ ผู้โจมตีที่ยังคุมเครื่องอยู่จะได้รหัสใหม่ไปด้วย
- **จำกัดหน้า /login และ /appliance ให้เข้าได้จากเครือข่ายที่เชื่อถือเท่านั้น** ส่ง syslog ออกไปเก็บที่ SIEM แบบเกือบเรียลไทม์ แล้วล่าหาการเปลี่ยนสิทธิ์ Jump Item เป็น Administrator ไฟล์ .php แปลกปลอม และช่วงที่ log ขาดหาย
- **อย่าให้ระบบคัดกรองอัตโนมัติปิดการแจ้งเตือนระดับร้ายแรงเอง** บทเรียนของ BeyondTrust คือการแจ้งเตือนที่ถูกปิดว่าเป็น false positive ควรยังอยู่ในขอบเขตการล่าภัย ติดตามข่าวช่องโหว่อื่น ๆ ได้ที่[หมวด Security](/security/)

## คำถามที่พบบ่อย

### CVE-2026-102764 คืออะไร?

CVE-2026-102764 คือช่องโหว่ระดับ Critical ในส่วนรับส่งข้อความภายในของ BeyondTrust Remote Support ที่ไม่ตรวจที่มาของข้อความให้ดีพอ ผู้โจมตีจากระยะไกลจึงจัดการไฟล์บนอุปกรณ์ได้ BeyondTrust ให้คะแนน CVSS v4.0 9.3 และประกาศแพตช์ BT26-05 เมื่อ 15 ตุลาคม 2026

### BeyondTrust Remote Support รุ่นใดได้รับผลกระทบจาก CVE-2026-102764 และต้องแก้อย่างไร?

CVE-2026-102764 กระทบ Remote Support ทุกรุ่นถึง 26.2.3 เครื่องที่ติดตั้งเองรุ่น 24.3.1 ถึง 26.2.3 ต้องลงแพตช์ BT26-05-RS ผ่านหน้า /appliance หากไม่ได้เปิดอัปเดตอัตโนมัติ ส่วนรุ่นเก่ากว่า 24.3.1 ต้องอัปเกรดเป็นรุ่นที่ยังรองรับก่อนแล้วจึงลงแพตช์

### ใครใช้ CVE-2026-102764 โจมตี?

Mandiant และ Google Threat Intelligence Group ระบุว่าผู้ใช้ CVE-2026-102764 เป็น zero-day คือ ARMORY CASTLE (ชื่อเดิม UNC5221) กลุ่มจารกรรมที่ต้องสงสัยว่าเชื่อมโยงกับจีน ซึ่งเคยใช้ zero-day ใน Ivanti Connect Secure และ Citrix NetScaler มาก่อน

### ลูกค้า BeyondTrust แบบ SaaS ต้องทำอะไรเกี่ยวกับ CVE-2026-102764 หรือไม่?

BeyondTrust ลงแพตช์ CVE-2026-102764 ให้ลูกค้า Remote Support แบบ SaaS ครบแล้ว ณ 9 ตุลาคม 2026 ลูกค้าไม่ต้องลงแพตช์เอง แต่ Mandiant แนะนำให้ยังทำขั้นตอนหมุนเวียนรหัสผ่านและตรวจการตั้งค่าในหน้า /login เพราะการปิดช่องโหว่ไม่ได้แก้ผลจากการถูกเข้าถึงก่อนหน้า

### ถ้าเคยเปิด Remote Support ออกอินเทอร์เน็ตขณะยังมีช่องโหว่ CVE-2026-102764 ควรทำอย่างไร?

Mandiant แนะนำให้ถือว่าเครื่องนั้นอาจถูกเจาะแล้วจนกว่าจะตรวจเสร็จ เก็บ snapshot และ log ไว้ก่อนแก้ไข ติดตั้งใหม่จากอิมเมจที่สะอาดและแพตช์ครบแทนการล้างเครื่อง แล้วจึงหมุนเวียนรหัสผ่านทุกชุดที่อุปกรณ์เก็บหรือส่งต่อหลังลงแพตช์แล้ว


## แหล่งอ้างอิง

- [BT26-05 Security Advisory](https://www.beyondtrust.com/trust-center/security-advisories/bt26-05) — BeyondTrust
- [ARMORY CASTLE and BT26-05: What Security Teams Need to Know](https://www.beyondtrust.com/blog/entry/bt26-05) — BeyondTrust
- [ARMORY CASTLE Exploits BeyondTrust](https://cloud.google.com/blog/topics/threat-intelligence/armory-castle-exploits-beyondtrust) — Google Threat Intelligence Group / Mandiant
- [CVE-2026-102764 Detail](https://nvd.nist.gov/vuln/detail/CVE-2026-102764) — NIST National Vulnerability Database
- [Known Exploited Vulnerabilities Catalog: CVE-2026-102764](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-102764) — CISA