BeyondTrust phát hành bản vá lỗ hổng bypass xác thực nghiêm trọng cho Remote Support và PRA
"BeyondTrust released fixes for multiple critical vulnerabilities in Remote Support and Privileged Remote Access, including two pre-authentication authentication bypass flaws (CVE-2026-40138 and CVE-2026-40139) that could let unauthenticated attackers gain unauthorized access, including elevated accounts. Additional issues include a denial-of-service flaw (CVE-2026-40140) and an authorization bypass/data exposure flaw (CVE-2026-40141); the affected products are fixed in RS/PRA 25.3.3 and later, with no reported in-the-wild exploitation."
Tác động cao do bypass xác thực tiền xác thực có thể dẫn tới chiếm quyền truy cập trái phép; đồng thời có từ chối dịch vụ và bypass ủy quyền/tiết lộ dữ liệu trong các tình huống khác nhau.
Nguy cơ gián đoạn dịch vụ và suy giảm kiểm soát truy cập từ xa; việc chậm áp dụng bản vá có thể làm tăng khả năng xảy ra sự cố ảnh hưởng vận hành và tuân thủ.
BeyondTrust đã phát hành bản cập nhật để khắc phục nhiều lỗ hổng bảo mật nghiêm trọng ảnh hưởng đến Remote Support (RS) và Privileged Remote Access (PRA). Nếu bị khai thác thành công, các lỗ hổng này có thể cho phép kẻ tấn công truy cập trái phép vào thiết bị mục tiêu.
Đáng chú ý là hai lỗi bypass xác thực tiền xác thực: CVE-2026-40138 và CVE-2026-40139 (cùng CVSS 9.2). Theo thông tin công bố, các lỗi này liên quan đến cơ chế xác thực—có thể cho phép kẻ tấn công bỏ qua kiểm soát truy cập và chiếm quyền truy cập, bao gồm cả tài khoản có đặc quyền, trong những cấu hình nhất định.
Ngoài ra còn có CVE-2026-40140 ( CVSS 8.7 ) gây từ chối dịch vụ do kiểm tra đầu vào phía máy khách không đầy đủ, và CVE-2026-40141 ( CVSS 8.5 ) cho phép bypass ủy quyền/tiết lộ dữ liệu trong thành phần web, có thể dẫn tới truy cập tài nguyên hoặc dữ liệu ngoài phạm vi được phép.
Bản vá áp dụng cho RS 25.3.3 trở lên và PRA 25.3.3 trở lên (từ RS/PRA 25.3.2 hoặc thấp hơn). BeyondTrust nêu chưa có báo cáo khai thác “in-the-wild”, nhưng khuyến nghị triển khai cập nhật nhanh để giảm rủi ro. Việc khai thác CVE-2026-40138/40139 phụ thuộc vào cấu hình xác thực; CVE-2026-40141 bị giới hạn theo quyền của tài khoản đăng nhập.