调查
疑似中国背景的 ARMORY CASTLE 将 BeyondTrust Remote Support 零日漏洞用作初始入口
Mandiant 在事件响应中确认，其称为 ARMORY CASTLE（原 UNC5221）、并判断疑似与中国相关的组织，于 2026 年 8 月下旬把尚未公开的 CVE-2026-102764 用在 BeyondTrust Remote Support（原 Bomgar）上，并取得受影响设备的控制。BeyondTrust 于 10 月 8 日向云端与自托管客户发布补丁 BT26-05-RS，10 月 15 日与 Mandiant 一起公开，并称当时已知受影响客户为两家。CISA 于 10 月 16 日将该漏洞列入已知被利用漏洞目录，要求美国联邦机构在 10 月 19 日前完成处置。
跟你的关系远程支持设备仍是国家级间谍活动优先寻找的入口。如果你的机构自己托管 BeyondTrust Remote Support，并且在公开前后仍能从互联网访问，你处在报告描述的同一类暴露里。公开时已知受影响客户为两家，报告没有点名。
活动
利用从 2026 年 8 月 29 日开始。厂商于 9 月 28 日发现并遏制，10 月 8 日发布补丁。10 月 15 日是 Mandiant 与 BeyondTrust 的公开日，10 月 16 日是 CISA 列入目录的日期。
- 状态
- 已公开
- 行业
- 信息技术、政府与公共部门、专业服务
- 可信度
- 高
可信度标为高：已经打开的独立调查报告不止一份。
来源
Mandiant · 事件调查报告 · 最先提出
BeyondTrust · 事件调查报告 · 后来证实
CISA · 事件调查报告 · 后来证实