Counting BeyondTrust Remote Support appliances before patching CVE-2026-102764

在修补 CVE-2026-102764 之前清点 BeyondTrust Remote Support 设备。只有当你明确哪些机器适用时，修补说明才有用。CVE-2026-102764 是一种通过欺骗实现的身份验证绕过漏洞，CVSS 3.1 评分为 9.8，并于 2026 年 10 月 16 日被加入 CISA KEV 目录，影响 26.2.3 及之前版本的 BeyondTrust Remote Support。远程支持设备通常数量较少，运营团队对其非常熟悉，但对其他人来说却是隐形的。外部视角有助于发现那些未被记录的设备。

What the fingerprint data shows

指纹数据揭示了什么。2026 年 10 月 17 日针对 ZoomEye 运行的四项查询对同一产品系列给出了不同的结果。app="Bomgar" 返回了 2,184 个部署实例。Bomgar 是 Remote Support 的前身，应用程序指纹仍保留此名称。title="BeyondTrust" 返回了 962 个部署实例，其页面标题提到了该供应商，这是一个更广泛的集合，可能包含其他 BeyondTrust 产品。product="BeyondTrust" 返回了 1 个结果。app="BeyondTrust Remote Support" 返回 0，vul.cve="CVE-2026-102764" 也返回 0。vul.cve 的零结果是预料之中的。供应商和 CVE 指纹识别通常滞后于披露时间几天或几周，因此空结果仅说明索引尚未更新，并不能说明有多少设备处于暴露状态。2,184 和 962 之间的差异也需要谨慎对待：应用指纹是针对该产品更窄、更明确的信号，而标题匹配可能会抓取到登录页面、文档门户或带有供应商名称的其他无关设备。用于应用查询的搜索是可复现的：https://www.zoomeye.ai/searchResult?q=YXBwPSJCb21nYXIi

Why appliance inventory is harder than server inventory

为什么设备清点比服务器清点更难。远程支持平台由需要它们的团队安装。分支机构的支持台、实验室或被收购的业务部门可能会运行一台设备多年，而它却从未出现在中央配置数据库中。随后，该设备会在 443 端口响应，对于缺乏产品指纹的漏洞扫描器来说，它看起来就像任何其他 Web 服务。外部指纹识别不能替代资产管理。它提供了一个独立的列表，用于与你维护的列表进行核对。当两个列表不一致时，差距所在就是关键点。外部列表中存在但内部没有所有者的主机，要么是已退役但仍在运行，要么是未受管理且仍在运行，这两种情况都需要采取相同的后续步骤。

Turning counts into decisions

将统计结果转化为决策。将每个外部匹配项视为需要本地验证的声明，而不是最终结论。检查版本字符串，然后确认其是否低于或高于 26.2.3。早于 24.3.1 的设备已超出可修补的支持分支，因此直接行动应是升级而非修补，这通常需要维护窗口和回滚计划。根据谁能访问这些设备对剩余项进行分类。发布到互联网上的设备与仅能从管理 VLAN 访问的设备面临的风险不同，即使它们运行相同的版本。CISA 针对此 CVE 的指导意见指向同一方向，要求运营商限制对支持用户服务的外部访问，并将管理界面保留在受信任的网络上。当修补窗口还有几天时，减少暴露可以争取时间。

Limits of the evidence

证据的局限性。上述统计描述的是匹配产品指纹的部署情况。它们不能证明版本存在漏洞，不能证明已被利用，也无法说明那些隐藏在身份验证提示后或位于爬虫无法到达的网络中的主机。内部扫描看到的是一个不同且通常更大的群体。利用外部数据来质疑内部数据，然后依靠经过身份验证的资产清单来做出修补决策。

Next steps

后续步骤。根据外部指纹数据核对你的设备列表，确认每个自托管实例的版本，并在支持的情况下应用 BT26-05-RS。优先升级旧版本，因为它们无法安装补丁。记录每个实例确认修补的日期。当下一个 KEV 条目以三天为期限到来时，这些记录就是将手忙脚乱转化为有序清单的关键。