文章总结： BeyondTrust发布更新修复远程支持(RS)和特权远程访问(PRA)产品中的四个安全漏洞，其中两个预身份验证绕过漏洞(CVE-2026-40138和CVE-2026-40139)CVSS评分9.2，可导致未授权攻击者完全控制设备。漏洞由内部发现并借助AI工具。建议用户立即升级至RS/PRA25.3.3及以上版本。 综合评分： 85 文章分类： 漏洞分析,安全建设,解决方案

BeyondTrust 修复了远程支持和 PRA 中的关键身份验证绕过漏洞

原创

网络安全9527 网络安全9527

安全圈的那点事儿

2026年7月7日 19:02 北京

在小说阅读器读本章

去阅读

BeyondTrust 发布了更新，以解决影响远程支持 (RS) 和特权远程访问 (PRA) 产品的两个严重安全漏洞。如果这些漏洞被成功利用，未经身份验证的攻击者可能会控制易受攻击的设备。

漏洞列表如下：

• CVE-2026-40138（CVSS 评分：9.2）- BeyondTrust Remote Support 和 Privileged Remote Access 的身份验证子系统中存在预身份验证漏洞，该漏洞源于身份验证数据的验证不当，可能允许位于网络中的攻击者绕过访问控制并获得对设备的未经授权的访问权限，包括具有提升权限的账户。
• CVE-2026-40139（CVSS 评分：9.2）- BeyondTrust Remote Support 的身份验证子系统中存在预身份验证漏洞，该漏洞源于身份验证请求处理不当，可能允许未经身份验证的远程攻击者绕过访问控制并获得对设备的未经授权的访问权限，包括具有提升权限的账户。
• CVE-2026-40140（CVSS 评分：8.7）- 网络通信子系统中的预身份验证漏洞，源于对客户端提供的输入验证不足，可能允许未经身份验证的远程攻击者触发拒绝服务情况，从而影响设备可用性。
• CVE-2026-40141（CVSS 评分：8.5）- BeyondTrust Remote Support and Privileged Remote Access 的 Web 应用程序组件中存在漏洞，该漏洞源于对用户提供的输入验证不足，可能允许权限有限的已认证攻击者访问超出其授权范围的非预期资源或数据。

值得注意的是，CVE-2026-40138 和 CVE-2026-40139 的成功利用取决于是否启用了特定的身份验证配置。而 CVE-2026-40141 的利用（如果发生）仅限于具有特定权限的账户。

BeyondTrust 表示，所有这些漏洞都是在持续的安全评估过程中内部发现的，并借助了公开可用的 AI 模型（如 Anthropic Claude Opus 4.8）及其专有的研究工具。

声明称：“最严重的漏洞可能允许未经身份验证的远程攻击者绕过访问控制，并在特定配置下获得对设备的未经授权的访问权限。其他漏洞可能导致服务中断、意外数据访问，以及在某些特定配置下，已认证用户获得更高的访问权限，从而影响系统完整性。”

这些问题已在以下版本中得到解决——

• 远程支持 RS 25.3.2 或更低版本（已在 RS 25.3.3 及更高版本中修复）
• 特权远程访问 PRA 25.3.2 或更低版本（已在 PRA 25.3.3 及更高版本中修复）

BeyondTrust并未提及目前已被利用的漏洞。然而，RS和PRA产品中的安全漏洞（CVE-2024-12356和CVE-2026-1731）过去曾多次被利用来部署Web Shell和后门，因此用户必须尽快应用修复程序。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：安全圈的那点事儿 网络安全9527 网络安全9527《BeyondTrust 修复了远程支持和 PRA 中的关键身份验证绕过漏洞》