CVE-2026-1731
BeyondTrust Remote Support (RS) and Privileged Remote Access (PRA) OS Command Injection Vulnerability
Beschreibung
CVE-2026-1731 ist eine kritische Pre-Authentication Remote Code Execution Schwachstelle in BeyondTrust Remote Support (RS) und aelteren Versionen von Privileged Remote Access (PRA). Ein nicht-authentifizierter Angreifer kann durch speziell praeparierte Anfragen Betriebssystembefehle im Kontext des Site-Benutzers ausfuehren. Die Schwachstelle erreicht einen CVSS v3.1-Score von 9.8 (CRITICAL) und stellt eine der gefaehrlichsten aktuell bekannten Schwachstellen dar.
Die CISA hat CVE-2026-1731 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 16. Februar 2026. Besonders alarmierend ist der Ransomware-Status Known, der bestaetigt, dass diese Schwachstelle bereits in Ransomware-Angriffen eingesetzt wird. Der EPSS-Score von 61.83 % (98. Perzentil) unterstreicht die extrem hohe Ausnutzungswahrscheinlichkeit und platziert CVE-2026-1731 unter den am aktivsten ausgenutzten Schwachstellen weltweit.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| beyondtrust | privileged remote access | < 25.1 |
| beyondtrust | remote support | < 25.3.2 |
Referenzen
- https://beyondtrustcorp.service-now.com/csm?id=csm_kb_article&sysparm_article=KB0023293(Permissions Required)
- https://www.beyondtrust.com/trust-center/security-advisories/bt26-02(Vendor Advisory)
- https://github.com/win3zz/CVE-2026-1731(Exploit, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-1731(US Government Resource)
- https://www.greynoise.io/blog/reconnaissance-beyondtrust-rce-cve-2026-1731(Third Party Advisory)
Schwachstellentyp
CWE-78: OS Command Injection
CVE-2026-1731 basiert auf CWE-78 (OS Command Injection), einer der kritischsten Schwachstellenklassen in der Softwaresicherheit. Bei dieser Schwachstellenart werden Benutzereingaben ohne ausreichende Validierung oder Bereinigung direkt in Betriebssystembefehle eingebettet. Ein Angreifer kann dadurch eigene Befehle einschleusen, die vom Betriebssystem mit den Rechten der Anwendung ausgefuehrt werden.
Im Fall von BeyondTrust RS und PRA ermoeglicht die Command Injection einem nicht-authentifizierten Angreifer die Ausfuehrung beliebiger OS-Befehle im Kontext des Site-Benutzers. Da Remote-Support-Loesungen typischerweise mit erhoehten Privilegien laufen, ist der potenzielle Schaden besonders gross. CWE-78 wird in den OWASP Top 10 und der CWE Top 25 als eine der gefaehrlichsten Schwachstellenklassen gefuehrt.
Auswirkungsanalyse
Die Auswirkungen von CVE-2026-1731 sind verheerend und betreffen alle Sicherheitsdimensionen maximal. Vertraulichkeit: Ein Angreifer kann ueber die OS Command Injection saemtliche Daten auslesen, die dem Site-Benutzer zugaenglich sind. Bei Remote-Support-Loesungen wie BeyondTrust RS umfasst dies typischerweise Sitzungsdaten, gespeicherte Zugangsdaten, Verbindungsprotokolle und potenziell vertrauliche Kundendaten aus Remote-Support-Sitzungen (C:H).
Integritaet: Die Faehigkeit, beliebige Betriebssystembefehle auszufuehren, ermoeglicht dem Angreifer die vollstaendige Manipulation des Systems. Dies umfasst das Aendern von Konfigurationen, das Installieren von Backdoors, das Modifizieren von Protokolldateien zur Verschleierung und das Einschleusen von Malware. Da BeyondTrust-Produkte als Fernzugriffswerkzeuge dienen, kann ein kompromittiertes System als Sprungbrett fuer Angriffe auf verbundene Endpunkte missbraucht werden (I:H).
Verfuegbarkeit: Der Angreifer kann Dienste deaktivieren, Dateien loeschen oder das System vollstaendig lahmlegen. Der bestaetigt aktive Einsatz in Ransomware-Kampagnen zeigt, dass Angreifer diese Schwachstelle gezielt zur Verschluesselung und Erpressung nutzen. Der Ausfall einer Remote-Support-Infrastruktur kann den gesamten IT-Support eines Unternehmens zum Erliegen bringen (A:H). Besonders kritisch ist, dass weder Authentifizierung (PR:N) noch Benutzerinteraktion (UI:N) erforderlich sind, was eine vollstaendig automatisierte Ausnutzung ermoeglicht.
Exploit-Reifegrad
CVE-2026-1731 weist die hoechstmoegliche Exploit-Reife auf und stellt eine akute Bedrohung dar. Die CISA hat die Schwachstelle als aktiv ausgenutzt im KEV-Katalog gelistet, mit einer bereits abgelaufenen Behebungsfrist vom 16. Februar 2026. Der Ransomware-Status ist als Known klassifiziert, was die Verwendung in Ransomware-Angriffen bestaetigt.
Ein oeffentlich verfuegbarer Exploit existiert auf GitHub: CVE-2026-1731 Exploit. Die Verfuegbarkeit dieses Exploits in Kombination mit dem extrem hohen EPSS-Score von 61.83 % (98. Perzentil) bestaetigt die massive aktive Ausnutzung. Laut einer Analyse von GreyNoise werden aktive Reconnaissance-Aktivitaeten beobachtet, bei denen Angreifer gezielt nach verwundbaren BeyondTrust-Instanzen suchen. Die Kombination aus Pre-Authentication-Exploit, oeffentlich verfuegbarem Exploit-Code und bestaetigter Ransomware-Nutzung macht CVE-2026-1731 zu einer der gefaehrlichsten aktuell aktiven Schwachstellen.
Behebung
-
Sofortiges Patchen mit hoechster Prioritaet: Aktualisieren Sie BeyondTrust Remote Support umgehend auf Version 25.3.2 oder hoeher und Privileged Remote Access auf Version 25.1 oder hoeher. Angesichts der bestaetigten Ransomware-Nutzung und der abgelaufenen CISA-Frist duldet diese Massnahme keinen Aufschub. Konsultieren Sie das offizielle BeyondTrust Security Advisory BT26-02 fuer detaillierte Upgrade-Anweisungen.
-
Sofortige Netzwerkisolierung: Bis zum Abschluss des Patchings muessen betroffene BeyondTrust-Instanzen vom Internet isoliert werden. Blockieren Sie den externen Zugriff ueber Firewall-Regeln und beschraenken Sie den Zugang auf vertrauenswuerdige interne IP-Adressen. Da die Schwachstelle ohne Authentifizierung ausnutzbar ist, bietet jede internetexponierte Instanz eine direkte Angriffsflaeche.
-
Forensische Untersuchung durchfuehren: Aufgrund der bestaetigten aktiven Ausnutzung und Ransomware-Nutzung muessen alle BeyondTrust-Instanzen auf Kompromittierungsindikatoren untersucht werden. Pruefen Sie Zugriffsprotkolle auf verdaechtige Anfragen, suchen Sie nach unbekannten Prozessen, Backdoors und unautorisierten Aenderungen. Beziehen Sie die Erkenntnisse aus der GreyNoise-Analyse in Ihre Untersuchung ein.
-
Incident-Response-Plan aktivieren: Wenn Anzeichen einer Kompromittierung gefunden werden, aktivieren Sie umgehend Ihren Incident-Response-Plan. Isolieren Sie betroffene Systeme, sichern Sie forensische Beweise und informieren Sie alle potenziell betroffenen Parteien. Pruefen Sie insbesondere, ob ueber die kompromittierte Remote-Support-Loesung auf Kundensysteme zugegriffen wurde.
-
Langfristige Haertung: Nach dem Patching implementieren Sie zusaetzliche Sicherheitsmassnahmen wie Multi-Faktor-Authentifizierung fuer den Zugriff auf BeyondTrust-Systeme, restriktive Netzwerksegmentierung und kontinuierliches Monitoring. Ueberpruefen Sie, ob Ihre Vulnerability-Management-Prozesse kritische Patches zeitnah identifizieren und priorisieren.
Technische Details
CVE-2026-1731 betrifft BeyondTrust Remote Support (RS) vor Version 25.3.2 und aeltere Versionen von Privileged Remote Access (PRA) vor Version 25.1. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H zeigt den kritischsten Angriffsvektor: Netzwerkzugriff (AV:N), geringe Komplexitaet (AC:L), keine Authentifizierung erforderlich (PR:N) und keine Benutzerinteraktion noetig (UI:N).
Die Schwachstelle liegt in der Pre-Authentication-Verarbeitung von Anfragen an die BeyondTrust-Webanwendung. Speziell praeparierte Anfragen koennen die Eingabevalidierung umgehen und werden direkt an Betriebssystemfunktionen weitergeleitet, die Befehle ausfuehren. Da die Injection vor der Authentifizierungspruefung stattfindet, benoetigt ein Angreifer keinerlei Zugangsdaten.
Die ausgefuehrten Befehle laufen im Kontext des Site-Benutzers, also des Benutzerkontos, unter dem die BeyondTrust-Anwendung betrieben wird. In typischen Installationen verfuegt dieser Benutzer ueber erhebliche Systemprivilegien, da Remote-Support-Loesungen Zugriff auf zahlreiche Systemressourcen benoetigen.
Betroffene Produkte sind BeyondTrust Remote Support (RS) in Versionen vor 25.3.2 und BeyondTrust Privileged Remote Access (PRA) in Versionen vor 25.1. Beide Produkte werden haeufig in Unternehmensumgebungen eingesetzt, um IT-Support und privilegierte Fernzugriffe zu ermoeglichen. Die breite Verbreitung in sicherheitskritischen Umgebungen vergroessert den potenziellen Schaden erheblich.
Häufig gestellte Fragen
Warum ist CVE-2026-1731 besonders gefaehrlich?
CVE-2026-1731 vereint mehrere Risikofaktoren: ein CVSS-Score von 9.8, Pre-Authentication-Ausnutzung ohne jegliche Zugangsdaten, bestaetigte Ransomware-Nutzung, ein oeffentlich verfuegbarer Exploit und ein EPSS-Score von ueber 61 %. Diese Kombination macht die Schwachstelle zu einer der gefaehrlichsten aktuell bekannten Bedrohungen.
Ist mein System betroffen, wenn es nicht aus dem Internet erreichbar ist?
Das Risiko ist deutlich reduziert, wenn die BeyondTrust-Instanz nicht aus dem Internet erreichbar ist. Allerdings kann ein interner Angreifer oder ein bereits kompromittiertes System im Netzwerk die Schwachstelle weiterhin ausnutzen. Ein Update ist daher unabhaengig von der Netzwerkexposition dringend empfohlen.
Welche Versionen muessen aktualisiert werden?
BeyondTrust Remote Support (RS) muss auf Version 25.3.2 oder hoeher und Privileged Remote Access (PRA) auf Version 25.1 oder hoeher aktualisiert werden. Details finden Sie im offiziellen BeyondTrust Security Advisory BT26-02.
Wird CVE-2026-1731 in Ransomware-Angriffen eingesetzt?
Ja, die CISA bestaetigt den Ransomware-Status als Known. Die Schwachstelle wird aktiv in Ransomware-Kampagnen genutzt, was die Dringlichkeit des Patchings zusaetzlich erhoeht. Angreifer nutzen den Pre-Authentication-RCE-Zugang, um Ransomware auf betroffenen Systemen und verbundenen Netzwerken zu verteilen.
Was sollte ich tun, wenn ich eine Kompromittierung vermute?
Isolieren Sie das betroffene System sofort vom Netzwerk, sichern Sie forensische Beweise und aktivieren Sie Ihren Incident-Response-Plan. Pruefen Sie insbesondere, ob ueber die BeyondTrust-Loesung auf Kundensysteme oder andere interne Systeme zugegriffen wurde, da Remote-Support-Tools als Pivot-Punkt fuer laterale Bewegung missbraucht werden koennen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.