آسیب‌پذیری BeyondTrust برای استقرار وب‌شل، درب‌پشتی و سرقت داده مورد سوءاستفاده قرار گرفت

یک آسیب‌پذیری بحرانی در محصولات BeyondTrust با شناسه CVE-2026-1731 (امتیاز CVSS: 9.9) به‌طور فعال مورد بهره‌برداری قرار گرفته است. بر اساس گزارش واحد تحقیقاتی Unit 42 شرکت Palo Alto Networks، مهاجمان از این نقص امنیتی برای طیف گسترده‌ای از اقدامات مخرب از جمله استقرار بدافزارهایی نظیر VShell و Spark RAT، استقرار پوسته‌های وب (web shell)، حرکت جانبی (lateral movement) و سرقت داده‌ها بهره برده‌اند. این آسیب‌پذیری که ناشی از نقص در پاک‌سازی ورودی (sanitization failure) است، به مهاجمان امکان می‌دهد دستورات دلخواه سیستم‌عامل را از طریق اسکریپت «thin-scc-wrapper» و رابط WebSocket اجرا کنند. این حملات بخش‌های خدمات مالی، حقوقی، فناوری، آموزش عالی، خرده‌فروشی و بهداشت در کشورهای آمریکا، فرانسه، آلمان، استرالیا و کانادا را هدف قرار داده است.

آژانس امنیت سایبری و زیرساخت آمریکا (CISA) تأیید کرده که این آسیب‌پذیری در کمپین‌های باج‌افزاری (ransomware) نیز مورد سوءاستفاده قرار گرفته و فهرست آسیب‌پذیری‌های شناخته‌شده بهره‌برداری‌شده (KEV) خود را به‌روزرسانی کرده است. شرکت BeyondTrust اعلام کرد که اولین تلاش‌های بهره‌برداری از این نقص در ۳۱ ژانویه ۲۰۲۶ شناسایی شده، یعنی حدود یک هفته پیش از افشای عمومی آن در ۶ فوریه ۲۰۲۶. این شرکت تصریح کرد که فعالیت‌های مخرب مشاهده‌شده محدود به محیط‌های خودمیزبان (self-hosted) متصل به اینترنت بوده که وصله امنیتی پیش از ۹ فوریه ۲۰۲۶ روی آن‌ها اعمال نشده بود. با توجه به اینکه آسیب‌پذیری مشابه CVE-2024-12356 پیش‌تر توسط گروه‌های تهدید وابسته به چین مانند Silk Typhoon مورد بهره‌برداری قرار گرفته، محققان هشدار داده‌اند که CVE-2026-1731 نیز می‌تواند هدف بازیگران تهدید پیشرفته (sophisticated threat actors) باشد.