CVE-2026-40138 与 CVE-2026-40139：BeyondTrust 未经身份验证漏洞（CVSS 评分 9.2）

sec随谈
sec随谈

sec随谈

2026年7月7日 09:06
北京

在小说阅读器读本章

去阅读

BeyondTrust 披露了两个影响其 Remote Support 和 Privileged Remote Access 产品的严重预授权（pre-authentication）漏洞。该厂商是在内部使用 Opus 4.8 等 AI 模型时发现了这些严重缺陷。研究人员的这项工作与 Project Glasswing 项目无关。目前尚未发现有针对该漏洞的实际利用行为或公开的概念验证（PoC）代码。

摘要

BeyondTrust Remote Support 和 Privileged Remote Access 存在多个严重安全漏洞。其中最严重的漏洞允许未经身份验证的远程攻击者完全绕过访问控制。在特定配置下，处于网络位置优势的攻击者可获得对设备的未授权访问权限。

为何重要

系统管理员依赖 BeyondTrust 设备来管理高度敏感的环境。这些系统中的预授权漏洞对组织构成了巨大的安全风险。攻击者可以劫持具有更高权限的账户，从而侵入内部网络。一旦成功入侵，可能导致意外的数据访问或严重的服务中断。首席信息安全官（CISO）必须解决这些漏洞，以维护网络的完整性。

攻击原理

两个最严重的漏洞（CVE-2026-40138 和 CVE-2026-40139）的 CVSS v4 评分均为 9.2。两者均源于身份验证校验不当（CWE-287）。攻击者通过网络发送畸形的身份验证请求，系统对这些请求的处理存在错误，这一缺陷导致在没有正确凭据的情况下也能获得未授权访问。不过，利用该漏洞需要目标启用特定的身份验证配置。

此外，一个高危漏洞（CVE-2026-40140）源于客户端输入验证不足。该缺陷使未经身份验证的远程攻击者能够触发不受控的资源消耗（CWE-400）。因此，攻击者可导致大范围的拒绝服务（DoS），影响系统可用性。

最后，CVE-2026-40141 允许已通过身份验证的用户访问其原本无权访问的资源。这一高危漏洞源于数据查询逻辑中对特殊元素的不当过滤（CWE-943）。该漏洞的利用仅限于拥有特定权限的账户。

受影响版本

这些漏洞影响多个版本的 BeyondTrust 企业软件。BeyondTrust Remote Support 25.3.2 及更早版本均存在这些缺陷，Privileged Remote Access 25.3.2 及更早版本同样受到影响。

修复或缓解措施

该厂商已于 2026 年 4 月 21 日为所有云端客户自动应用了补丁。自托管（self-hosted）客户则必须立即采取手动措施。您应针对所使用的具体版本，应用 2026 年 4 月安全汇总补丁（Security Rollup）。或者，管理员也可以将实例升级到 25.3.3 或更高版本。

参考链接：

https://www.beyondtrust.com/trust-center/security-advisories/bt26-03