Błąd w BeyondTrust Remote Support i Privileged Remote Access pozwala bez logowania wykonywać polecenia na serwerze portalu zdalnej pomocy. Kod ataku jest publiczny, CISA potwierdza ransomware. Zaktualizuj i sprawdź ślady dziś.
Ten alert jest dla zarządu, CTO i CFO firm, które same lub przez dostawcę IT używają BeyondTrust Remote Support albo Privileged Remote Access. Werdykt: jeśli portal działa w wersji Remote Support 25.3.1 lub starszej albo Privileged Remote Access 24.3.4 lub starszej, zaktualizuj go dziś i sprawdź ślady włamania, bo luka pozwala przejąć portal bez logowania i jest używana w atakach ransomware.
Amerykańska agencja CISA 13 lutego 2026 roku dopisała podatność CVE-2026-1731 do katalogu KEV, czyli listy luk, co do których ma dowody wykorzystania w prawdziwych atakach. Błąd w narzędziach zdalnego wsparcia BeyondTrust pozwala osobie z internetu, bez konta i bez udziału pracownika, wykonywać polecenia systemu operacyjnego na serwerze portalu.
CISA dała agencjom federalnym tylko trzy dni na naprawę (do 16 lutego 2026 roku) i dopisała zalecenie, którego przy zwykłych wpisach nie ma: sprawdzić oznaki włamania na wszystkich produktach BeyondTrust dostępnych z internetu. Pole o użyciu w kampaniach ransomware ma wartość potwierdzającą.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-1731 |
Data dodania do CISA KEV | 2026-02-13 |
Termin naprawy wg CISA | 2026-02-16 (3 dni od wpisu) |
Produkt | BeyondTrust Remote Support (RS) i Privileged Remote Access (PRA) |
Wersje zagrożone | Remote Support do 25.3.1 włącznie; Privileged Remote Access do 24.3.4 włącznie (wg producenta, zakres potwierdzony w europejskiej bazie EUVD-2026-5559) |
Wersje bezpieczne | Remote Support 25.3.2 i nowsze; Privileged Remote Access 25.1 i nowsze (wg NVD). W PRA poprawka przyszła z nową linią wersji, a nie drobną aktualizacją |
Typ podatności | Wstrzyknięcie poleceń systemu operacyjnego (OS command injection); CWE-78 |
Ocena CVSS | BeyondTrust: 9.9 (CVSS 4.0, KRYTYCZNA). NVD: 9.8 (CVSS 3.1, KRYTYCZNA). Atak przez sieć, bez logowania, bez udziału użytkownika, pełny wpływ na dane |
Polecenia wykonują się z uprawnieniami konta, na którym działa sam serwis portalu, a nie pełnego administratora systemu. To zwykle wystarcza do odczytu plików aplikacji, jej konfiguracji i zapisanych danych.
Wyobraź sobie recepcjonistę, który dostaje od gości karteczki i przepisuje je do książki poleceń dla ochrony: „wpuść pana Kowalskiego”. Nie sprawdza, co jest na karteczce. Gość pisze więc: „wpuść pana Kowalskiego; otwórz też serwerownię”. Ochrona czyta dwa poprawnie zapisane polecenia i wykonuje oba.
Tak działała ta luka. Portal BeyondTrust wklejał wartość przysłaną z zewnątrz do polecenia dla systemu operacyjnego, a znak rozdzielający polecenia, na przykład średnik, pozwalał dopisać własne. A to nie jest zwykły program: narzędzie zdalnego wsparcia z definicji może wejść na komputery pracowników i serwery, a jego portal musi być dostępny z internetu, żeby pomagać osobom pracującym poza biurem.
💡 Wstrzyknięcie poleceń (command injection) to błąd, w którym program przekazuje do systemu operacyjnego tekst od użytkownika bez sprawdzenia, więc napastnik może dopisać własne polecenie. Privileged Remote Access to narzędzie do sesji administracyjnych na serwerach. CVSS 3.1 i 4.0 to dwa wydania tej samej skali oceny luk, stąd dwie nieco różne liczby. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik prosi o pomoc techniczną | Klika link, technik widzi jego ekran | Tak samo, nic się nie zmienia |
Obca osoba wysyła żądanie do portalu | Portal wymaga logowania technika | Portal wykonuje polecenia napastnika bez logowania |
Konfiguracja i dane portalu | Dostępne tylko administratorom | Do odczytu przez napastnika |
Sesje zdalne do komputerów i serwerów | Tylko zaufani technicy | Droga do maszyn obsługiwanych przez portal |
Dostawca IT obsługujący wiele firm | Jeden portal dla wielu klientów | Jedno włamanie może dotknąć wszystkich klientów |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej luki. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Portal jest z założenia dostępny z internetu, atak nie wymaga konta, a w NVD podlinkowany jest publiczny kod wykorzystujący lukę oraz analiza firmy GreyNoise o rozpoznaniu prowadzonym przez napastników.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Skanowanie internetu w poszukiwaniu portali BeyondTrust RS i PRA | Lista celów |
2. Wykonanie poleceń | T+kilka minut | Spreparowane żądanie z dopisanym poleceniem systemowym | Polecenia wykonane z uprawnieniami serwisu portalu |
3. Kradzież danych portalu | T+kilkanaście minut | Odczyt konfiguracji, danych i poświadczeń zapisanych w aplikacji | Wiedza o obsługiwanych maszynach i kontach |
4. Utrwalenie | T+godziny | Tworzenie kont, zaplanowanych zadań, tylnych furtek | Dostęp po restarcie i po późniejszej aktualizacji |
5. Rozprzestrzenienie | T+dni | Sesje na komputery i serwery obsługiwane przez portal | Dostęp do sieci firmy lub wielu klientów dostawcy |
6. Szantaż | T+dni do tygodni | Kradzież danych, wyłączenie kopii, szyfrowanie | Przestój i żądanie okupu |
Mogę Ci jakoś pomóc?
Narzędzie zdalnej pomocy stoi na najwyższym szczeblu zaufania w firmie: może wejść na każdy obsługiwany komputer. Luka łączy trzy najgorsze cechy: brak wymogu logowania, publiczny kod ataku i potwierdzone użycie w ransomware.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zaszyfrowane komputery i serwery, zatrzymana praca działów | Dni od wejścia | 50 tys. do 400 tys. PLN (przestój, odtworzenie) |
Bezpieczeństwo danych | Wyniesienie dokumentacji, danych klientów i poświadczeń administracyjnych | Godziny do dni | 30 tys. do 200 tys. PLN (analiza powłamaniowa, wymiana haseł) |
Finansowy | Żądanie okupu, kary umowne za niedotrzymane terminy, zewnętrzni specjaliści | Tygodnie | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Powiadamianie klientów o możliwym wycieku ich dokumentacji | Tygodnie do miesięcy | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Zgłoszenie naruszenia do UODO w ciągu 72 godzin; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; spory z dostawcą IT | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z niezałatanym portalem BeyondTrust RS/PRA
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: ryzyko jest krytyczne, bo portal jest z założenia w internecie, atak nie wymaga logowania, kod ataku jest publiczny, a CISA potwierdza użycie w ransomware; firma z Remote Support 25.3.2 lub PRA 25.1 i nowszymi jest poza zasięgiem tej luki, ale nadal powinna sprawdzić ślady z okresu sprzed aktualizacji.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy firma lub dostawca IT używa BeyondTrust RS lub PRA i w jakiej wersji | Dziś | CTO / dostawca IT |
2 | 🔴 NATYCHMIAST | Zaktualizować Remote Support do 25.3.2 lub nowszej, Privileged Remote Access do 25.1 lub nowszej | Dziś | Administrator / dostawca IT |
3 | 🔴 NATYCHMIAST | Jeśli aktualizacja dziś jest niemożliwa, odciąć portal od internetu lub wstrzymać jego używanie | Dziś | Administrator |
4 | 🟠 PILNIE | Sprawdzić oznaki włamania: logi dostępu do portalu, nowe konta w narzędziu, zaplanowane zadania na serwerze, nieznane sesje zdalne od lutego 2026 | Do 3 dni | Zespół bezpieczeństwa |
5 | 🟠 PILNIE | Wymienić hasła i poświadczenia przechowywane w narzędziu lub używane przez techników | Do 3 dni | Administrator |
6 | 🟠 PILNIE | Sprawdzić, czy kopie zapasowe są odseparowane od sieci dostępnej przez portal | Do 7 dni | Administrator |
7 | 🟡 WAŻNIE | Zapisać w umowie z dostawcą IT termin instalacji krytycznych poprawek i obowiązek informowania o incydentach | Do 30 dni | CFO / CTO |
Producent wydał wersje z poprawką dla obu produktów. CISA dopuszcza trzy drogi: aktualizację, sprawdzenie śladów oraz zaprzestanie używania produktu, jeśli poprawki nie da się zastosować. Efektywność to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie portalu lub zaprzestanie używania produktu (dopuszczone przez CISA) | Wysoka: usuwa drogę ataku | Łatwa, ale brak zdalnego wsparcia |
Dostęp do portalu tylko z zaufanych adresów lub przez VPN | Średnia do wysokiej: zawęża grono napastników | Średnia: utrudnia pomoc osobom spoza biura |
Codzienny przegląd logów portalu i listy kont | Niska jako ochrona, kluczowa do wykrycia włamania | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Portal zdalnej pomocy | Wykonuje polecenia obcych bez logowania | Wersja z poprawką |
Wiedza o włamaniu | Brak | Przejrzane logi, konta i zadania |
Poświadczenia techników | Mogły wyciec | Wymienione |
Umowa z dostawcą IT | Bez terminów na poprawki | Jasny termin i obowiązek informowania |
Zgodność z terminem CISA | Zaległość od 16 lutego 2026 | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA) |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | TAK (CISA KEV: Known), bez wskazania konkretnej rodziny ransomware |
Ocena CVSS | 9.9 KRYTYCZNA wg BeyondTrust (CVSS 4.0); 9.8 KRYTYCZNA wg NVD (CVSS 3.1) |
PoC dostępny publicznie? | TAK, NVD podlinkowuje publiczne repozytorium z kodem wykorzystującym lukę |
Liczba atakowanych firm | Brak publicznych informacji |
Prognoza EPSS | 0,88586 (ok. 89%) na 23 sierpnia 2026, percentyl 0,99769; w ostatnim miesiącu stabilnie 0,87 do 0,89 |
Termin CISA był siedmiokrotnie krótszy niż standardowe 21 dni. Wszystkie sygnały wskazują w tę samą stronę:
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2026-1731
CVSS 4.0 (BeyondTrust) 9.9/10 ████████████████████ KRYTYCZNA
CVSS 3.1 (NVD) 9.8/10 ████████████████████ KRYTYCZNA
EPSS (próba w 30 dni) ~89% ██████████████████░░ BARDZO WYSOKA
Publiczny kod ataku TAK ████████████████████ dostępny
Ransomware (CISA) Known ████████████████████ używana 2026-02-06 Publikacja CVE-2026-1731 w NVD, biuletyn BeyondTrust BT26-02
2026-02-13 CISA dodaje lukę do katalogu KEV, ransomware: Known
2026-02-16 Termin naprawy wg CISA dla agencji federalnych (3 dni)
2026-08-23 EPSS 0,88586, percentyl 0,99769
... ponad 7 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn producenta: beyondtrust.com/trust-center/security-advisories/bt26-02 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-1731 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zapytać dostawcę IT na piśmie, jakiego narzędzia zdalnej pomocy używa i w jakiej wersji | CTO | DZISIAJ |
2 | Potwierdzić wersję Remote Support 25.3.2+ lub PRA 25.1+ | CTO | DZISIAJ |
3 | Zatwierdzić aktualizację lub czasowe wyłączenie portalu | CTO | DZISIAJ |
4 | Zlecić sprawdzenie śladów włamania od lutego 2026 | CTO | DO JUTRA |
5 | Zlecić wymianę poświadczeń techników i kont w narzędziu | CTO | DO JUTRA |
6 | Zarezerwować budżet na analizę powłamaniową, jeśli przegląd coś wykaże | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia i umowy z dostawcą IT | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy my lub nasz dostawca IT używamy BeyondTrust Remote Support lub Privileged Remote Access? | TAK / NIE | 🔴 |
2 | Jaka jest wersja portalu? | [wersja] | 🔴 |
3 | Kiedy portal został zaktualizowany do wersji z poprawką? | [data] | 🔴 |
4 | Czy przejrzano logi, konta i zaplanowane zadania pod kątem śladów włamania? | TAK / NIE, [data] | 🟠 |
5 | Czy od lutego 2026 były sesje zdalne, których nikt z pomocy technicznej nie rozpoznaje? | TAK / NIE | 🟠 |
6 | Ilu klientów lub lokalizacji obsługuje ten sam portal? | [liczba] | 🟠 |
7 | Czy kopie zapasowe są poza zasięgiem sesji zdalnych? | TAK / NIE | 🟡 |
CVE-2026-1731 w BeyondTrust Remote Support i Privileged Remote Access pozwala każdemu z internetu wykonywać polecenia na serwerze portalu zdalnej pomocy. Kod ataku jest publiczny, CISA potwierdza użycie w ransomware, a termin naprawy minął 16 lutego 2026, więc aktualizacja i sprawdzenie śladów włamania to zadania na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.