Een ernstig beveiligingslek in BeyondTrust Remote Support wordt al actief misbruikt. Het Nationaal Cyber Security Centrum (NCSC) geeft de kwetsbaarheid een hoge prioriteit. Organisaties die het systeem op een eigen server beheren, moeten daarom niet alleen bijwerken, maar ook controleren of aanvallers al binnen zijn geweest.
Wat is er aan de hand?
De kwetsbaarheid heeft het nummer CVE-2026-102764 en een ernstscore van 9,3 op 10. Een aanvaller hoeft volgens de officiële waarschuwing niet eerst in te loggen. Door het lek kan die aanvaller bestanden plaatsen of aanpassen op het getroffen systeem. Dat kan uiteindelijk leiden tot uitvoering van opdrachten met hoge rechten.
De fout zit in BeyondTrust Remote Support, software waarmee helpdesks en beheerders op afstand ondersteuning geven. Juist daardoor kan een geslaagde aanval gevoelig zijn: zo’n systeem heeft vaak toegang tot meerdere computers en kan tijdens ondersteuningssessies inloggegevens gebruiken.
Wie moet nu handelen?
De waarschuwing is bedoeld voor organisaties en beheerders die BeyondTrust Remote Support zelf hosten. Versies tot en met 26.2.3 zijn getroffen. Voor ondersteunde versies van 24.3.1 tot en met 26.2.3 is noodoplossing BT26-05-RS beschikbaar. Wie een oudere versie gebruikt, moet volgens BeyondTrust eerst naar een ondersteunde versie overstappen.
Klanten die de clouddienst van BeyondTrust gebruiken, hoeven de noodoplossing niet zelf te installeren. BeyondTrust zegt dat die omgevingen uiterlijk op 9 oktober zijn bijgewerkt. Gewone thuisgebruikers hoeven niets te doen, tenzij zij beroepsmatig verantwoordelijk zijn voor zo’n installatie.
Waarom alleen bijwerken niet genoeg is
Dit is geen theoretisch lek. BeyondTrust meldt dat een aan China gekoppelde aanvaller de kwetsbaarheid als onbekend lek heeft gebruikt tegen één gehoste en één zelfbeheerde omgeving. Het bedrijf zag de aanvallen op 29 augustus en bracht op 8 oktober een oplossing uit.
Omdat misbruik al vóór de openbare waarschuwing plaatsvond, adviseert het NCSC om naast het installeren van de oplossing ook onderzoek te doen naar mogelijke compromittering. Dat betekent: niet alleen kijken of de nieuwe versie draait, maar ook nagaan wat er vóór het bijwerken is gebeurd.
Praktische controlelijst voor beheerders
- Controleer de versie. Is Remote Support 26.2.3 of ouder, volg dan onmiddellijk het officiële hersteladvies.
- Installeer BT26-05-RS. Oudere, niet ondersteunde versies moeten eerst worden opgewaardeerd.
- Bewaar logbestanden buiten het apparaat. Zo blijven sporen beschikbaar als het systeem later moet worden onderzocht.
- Controleer beheer- en ondersteuningssessies. Let vooral op onverwachte sessies, nieuwe bestanden, wijzigingen en opdrachten met hoge rechten.
- Roteer inloggegevens bij aanwijzingen voor misbruik. BeyondTrust adviseert dan alle gegevens te vervangen die het systeem heeft opgeslagen of tijdens sessies heeft ingevoerd.
- Behandel het systeem als mogelijk toegangspunt. Onderzoek ook verbonden systemen wanneer daar aanleiding voor is.
Wat is nog niet bevestigd?
Er is op dit moment geen openbaar bevestigd Nederlands incident dat aan dit lek is gekoppeld. Ook betekent een kwetsbare versie niet automatisch dat een organisatie is binnengedrongen. De twee beschreven aanvallen en de koppeling aan een China-gerelateerde actor komen uit het onderzoek van BeyondTrust; Feitvast kan die details niet onafhankelijk verifiëren.
De juiste conclusie is daarom niet dat iedere installatie is gehackt. Wel is duidelijk dat wachten onverstandig is: het lek is aantoonbaar gebruikt en de leverancier en het NCSC geven een concreet hersteladvies.
Waarom dit voor Nederland telt
Remote-ondersteuningssoftware kan een aantrekkelijke ingang zijn omdat ze juist is ontworpen om computers op afstand te beheren. Een getroffen installatie kan daardoor meer gevolgen hebben dan een los lek op één werkplek. Voor Nederlandse organisaties is de praktische vraag dan ook eenvoudig: beheren wij BeyondTrust Remote Support zelf, welke versie draait er en hebben wij onderzocht wat er vóór het bijwerken is gebeurd?
Bronnen
Onderzoekscheck
Zo weten we dit
Bekijk de methode, beperkingen en oorspronkelijke bron achter dit verhaal.
Volledige onderzoekscheck 2 onderdelen
Belangrijkste beperking
De beschreven aanvallen en de koppeling aan een China-gerelateerde actor komen uit het onderzoek van BeyondTrust en zijn niet onafhankelijk door Feitvast geverifieerd.
Wat dit niet bewijst
Een kwetsbare versie bewijst niet dat een organisatie is binnengedrongen. Er is geen openbaar bevestigd Nederlands incident en gewone thuisgebruikers hoeven niets te doen.
Nederlandse context
Wat betekent dit voor Nederland?
De NCSC-waarschuwing geldt direct voor Nederlandse organisaties die BeyondTrust Remote Support zelf beheren. Zij moeten patchen en onderzoek doen naar mogelijke compromittering.
Transparantie
Updates en correcties
Bij dit artikel zijn geen inhoudelijke correcties of wetenschappelijke updates geregistreerd.
Zie je een fout of ontbreekt er context? Bekijk hoe we corrigeren.
