中國國家支持的駭客組織 ARMORY CASTLE exploiting BeyondTrust Remote Support 零日漏洞 CVE-2026-102764，於 8 月 29 日起侵入雲端服務與自行部署設備，之後約七週未被完整發現。漏洞涉及內部訊息元件未驗證來源，攻擊者可無憑證上傳檔案；公司 10 月 8 日推出 BT26-05-RS，9 日完成 SaaS 自動修補，10 月 15 日公開漏洞。
Google Threat Intelligence Group 與 Mandiant 指出，攻擊者約 11 分鐘即可部署 SAWFLY 後門，藉 SUID 權限技巧取得 root，再以 bt-secrets 匯出密碼、API 金鑰及端點憑證，並植入可跨重啟還原權限的 zz-root-persist。事件公布時，至少有 1,400 台自行部署且可直接連上網際網路的設備暴露風險。
這起事件不只是企業遭到一般資料外洩，而是國家級駭客、精準漏洞獵取與企業權限基礎設施弱點彼此交疊。BeyondTrust Remote Support 原本扮演「保管所有高權限密鑰的中央樞紐」，這種集中管理降低了日常權限風險，卻也形成一旦遭突破便可橫向接管全企業的單點失敗。ARMORY CASTLE 正是利用軟體內部訊息元件缺乏來源驗證的缺陷，在短時間內從無權限上傳一路推進至 root。
攻防雙方的核心矛盾，是企業安全維運必須把憑證集中以降低管理成本，駭客卻只需找到一處能控制這個集中點的弱點。從中國國家駭客的戰略目標看，針對邊緣設備與特權存取管理工具具有高度報酬：同一入口可取得伺服器、網路設備、關鍵應用程式及政府系統的權限。其利益與權力邏輯並非傳統商業利益交換，而是情報蒐集、政府滲透與戰略前準備的擴張。
ARMORY CASTLE 先選擇高價值目標利用零日漏洞，待修補與技術細節公開後，再轉向大規模掃描，形成「先情報、後普及」的典型節奏。這類攻擊讓修補速度成為國際安全競爭的一部分，也凸顯企業對少數關鍵供應商的依賴，可能轉化為國家安全的結構性弱點。
戰略貿易流向與供應鏈依賴度
HS 8542資料來源：UN Comtrade 聯合國商品貿易統計庫 · 全球市場規模 $5,800 億美元 / 年
這類事件的未來演變，不能只看下一個零日漏洞是否出現，更應觀察企業能否從「集中式特權管理」轉向「可隔離、可驗證、可快速撤銷」的架構。從 Citix、Ivanti 到 BeyondTrust，邊緣設備零日攻擊已呈現近乎週期性的產業特徵；未來攻防焦點將從單一弱點轉向供應鏈身分與自動化復原能力。
領域延伸情報推薦 相關延伸研讀
依主題領域自動關聯之高參考價值外電情報
