BeyondTrust, Remote Support (RS) ve Privileged Remote Access (PRA) yazılımlarında kritik iki güvenlik açığı bulunduğunu ve kullanıcıların acilen yama yapması gerektiğini duyurdu. CVE-2026-40138 ve CVE-2026-40139 olarak izlenen bu açıklar, saldırganların kimlik doğrulama mekanizmalarını atlayarak yetkisiz erişim elde etmesine olanak tanıyor. İlk açık, RS ve PRA'nın 25.3.2 ve önceki sürümlerini etkilerken, ikinci açık RS kimlik doğrulama taleplerinin hatalı işlenmesinden kaynaklanıyor. Her iki açık da belirli bir kimlik doğrulama yapılandırmasının etkin olmasını gerektiriyor.
BeyondTrust ayrıca, yamalanmamış RS ve PRA örneklerinde hizmet reddi veya kısıtlı kaynaklara erişime yol açabilecek iki yüksek önem dereceli güvenlik sorunu (CVE-2026-40140 ve CVE-2026-40141) için de güncelleme yayınladı. Şirket, en ciddi açıkların belirli yapılandırmalarda kimlik doğrulaması olmayan uzak saldırganların erişim kontrollerini atlayarak cihaza yetkisiz erişim sağlamasına izin verebileceğini belirtti. Ayrıca kimliği doğrulanmış bir kullanıcının ayrıcalıklarını yükseltmesine de olanak tanıyabilecek açıklar bulunuyor.
BeyondTrust, 21 Nisan 2026 itibarıyla tüm RS/PRA bulut müşterilerine yamanın uygulandığını açıkladı. Kendi kendine barındırma yapan müşterilerin, otomatik güncellemelere abone değilse, etkilenen sürüm için Nisan güvenlik toplu güncellemesini uygulaması veya RS 25.3.3 ve üzeri ya da PRA 25.3.3 ve üzeri sürümlere yükseltme yapması gerekiyor. İnternet güvenliği izleme grubu Shadowserver, çevrimiçi olarak yaklaşık 2.000 BeyondTrust RS ve PRA örneği tespit etti, ancak bunların ne kadarının tuzak sistem veya yamalı olduğu bilinmiyor.
BeyondTrust, bu açıkların yamadan önce saldırılarda kullanıldığına dair bilgi paylaşmazken, geçmişte şirketin uzaktan destek yazılımındaki diğer güvenlik açıklarının vahşi ortamda istismar edildiği biliniyor. Örneğin, CVE-2026-1731 olarak izlenen kritik bir ön kimlik doğrulama uzaktan kod yürütme açığı, WebSocket kanalları oluşturmak ve savunmasız sistemlere fidye yazılımı dağıtmak için kullanılmıştı. Ayrıca, Çin devlet destekli Silk Typhoon grubu, BeyondTrust'taki iki sıfırıncı gün açığını (CVE-2024-12356 ve CVE-2024-12686) kullanarak ABD Hazine Bakanlığı'nın da aralarında bulunduğu 17 Remote Support SaaS örneğine sızmıştı.
