BeyondTrust 修复多个严重的认证绕过漏洞
Ravie Lakshmanan
Ravie Lakshmanan
代码卫士
2026年7月7日 17:22
北京
在小说阅读器读本章
去阅读
聚焦源代码安全，网罗国内外最新资讯！
编译：代码卫士
BeyondTrust发布更新，修复了影响 Remote Support（RS）和 Privileged Remote Access（PRA）产品的两个严重安全漏洞（CVE-2026-40138和CVE-2026-40139）。若成功利用，未认证的攻击者可控制易受攻击的设备。
BeyondTrust 修复的漏洞列表如下：
CVE-2026-40138（CVSS 评分：9.2）——BeyondTrust Remote Support 和 Privileged Remote Access 的认证子系统中的预认证漏洞，根源在于对认证数据的验证不当，可能导致网络位置攻击者绕过访问控制，未授权访问设备，包括具有高权限的账户。
CVE-2026-40139（CVSS 评分：9.2）——BeyondTrust Remote Support 的认证子系统中的预认证漏洞，根源在于对认证请求的处理不当，可导致未认证远程攻击者绕过访问控制，未授权访问设备，包括具有高权限的账户。
CVE-2026-40140（CVSS 评分：8.7）——网络通信子系统中的预认证漏洞，源于对客户端提供输入的验证不足，可导致未认证的远程攻击者触发拒绝服务条件，影响设备可用性。
CVE-2026-40141（CVSS 评分：8.5）——BeyondTrust Remote Support 和 Privileged Remote Access 的 Web 应用组件的漏洞，源于对用户提供输入的验证不足，可能导致具有有限权限的已认证攻击者访问其授权范围之外的意外资源或数据。
值得注意的是，CVE-2026-40138 和 CVE-2026-40139 的成功利用取决于是否启用了特定的认证配置。而 CVE-2026-40141的利用，仅局限于具有特定权限的账户。
BeyondTrust 表示，所有漏洞均通过内部持续安全评估发现，并借助了公开可用的人工智能模型（如 Anthropic Claude Opus 4.8）以及自身专有的研究工具。
该公司称：“最严重的漏洞可导致未认证的远程攻击者在特定配置下绕过访问控制，未授权访问设备。其它漏洞可能导致服务中断、非预期的数据访问，以及在特定配置下，已认证用户获得可能影响系统完整性的提权。”
这些漏洞已在以下版本中得到修复：
- Remote Support RS 25.3.2 及更低版本（已在 RS 25.3.3 及以上版本修复）
- Privileged Remote Access PRA 25.3.2 及更低版本（已在 PRA 25.3.3 及以上版本修复）
BeyondTrust 公司未提及这些漏洞是否已被在野利用。然而，RS 和 PRA 产品过往的安全漏洞（CVE-2024-12356 和 CVE-2026-1731）曾多次被用于部署 Web shell 和后门，因此用户必须尽快应用修复程序。
开源卫士试用地址：https://oss.qianxin.com/#/login
代码卫士试用地址：https://sast.qianxin.com/#/login
推荐阅读
OpenBSD 修复已存在27年的 PPP 协议栈认证绕过漏洞
PAN-OS GlobalProtect 认证绕过漏洞已遭活跃利用
原文链接
https://thehackernews.com/2026/07/beyondtrust-patches-critical-auth.html
题图：Pixabay License
本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。
觉得不错，就点个 “在看” 或 \"赞” 吧~
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论