Scanner passivo de vulnerabilidades para CVE-2026-1731 — BeyondTrust RS/PRA RCE pré-autenticação (CVSS 9.9). Apenas para uso educacional e defensivo.
╔═══════════════════════════════════════════════════════════════╗
║ ║
║ CVE-2026-1731 ║
║ BeyondTrust RS/PRA Passive Vulnerability Scanner ║
║ ║
╠═══════════════════════════════════════════════════════════════╣
║ PASSIVE SCANNER — EDUCATIONAL & AUTHORIZED USE ONLY ║
║ ║
║ Performs passive fingerprinting via standard HTTP GET. ║
║ No exploit payloads sent. No WebSocket connections. ║
║ Only use against systems you own or are authorized to test. ║
║ ║
║ Methods: BRDF version extraction, /check_health, ║
║ static asset sizing, /get_mech_list API, ║
║ HTML analysis, copyright year, /nw probe ║
║ ║
║ Author: NetGuard 24/7 LLC ║
║ Web: https://netguard24-7.com ║
╚═══════════════════════════════════════════════════════════════╝
Um scanner de vulnerabilidades passivo para CVE-2026-1731 — uma vulnerabilidade crítica (CVSS 9.9) de Execução Remota de Código pré-autenticação no BeyondTrust Remote Support (RS) e Privileged Remote Access (PRA).
Esta ferramenta identifica instâncias BeyondTrust vulneráveis usando apenas requisições HTTP GET padrão. Nenhum payload de exploit é enviado. Nenhuma conexão WebSocket é estabelecida. Nenhuma autenticação é tentada.
Atualização: 16/02/2026
A aplicação do hotfix, BT26-02-RS ou BT26-02-PRA, fará com que instâncias BeyondTrust detectadas abaixo de RS (v21.3 - 25.3.1) ou PRA (v22.1 - 24.X) apareçam como vulneráveis, pois o hotfix não resulta em incrementos de versão. Portanto, instâncias corrigidas com o hotfix (BT26-02-RS ou BT26-02-PRA) aparecerão como vulneráveis. Uma vez que a versão base seja atualizada, a instância aparecerá como não vulnerável". Segundo o fornecedor, a correção oficial é abordada em Remote Support 25.3.2 e superiores | Privileged Remote Access 25.1 e superiores
Autor: NetGuard 24/7 LLC
Esta ferramenta é fornecida apenas para fins EDUCACIONAIS e DEFENSIVOS AUTORIZADOS.
Você pode SOMENTE usar esta ferramenta contra sistemas que você possui ou para os quais possui autorização escrita explícita para testar. A varredura não autorizada de sistemas que você não possui pode violar leis aplicáveis, incluindo o Computer Fraud and Abuse Act (CFAA) e estatutos similares em outras jurisdições.
Os autores não assumem nenhuma responsabilidade pelo uso indevido desta ferramenta. Ao usar este software, você concorda em usá-lo de forma responsável e em conformidade com todas as leis e regulamentos aplicáveis.
| Campo | Detalhe |
|---|---|
| CVE | CVE-2026-1731 |
| CVSS | 9.9 (Crítico) |
| Aviso | BT26-02 |
| Tipo | Execução Remota de Código pré-autenticação |
| Vetor | Endpoint WebSocket /nw — Injeção de avaliação aritmética Bash |
| Afetados | RS ≤ 25.3.1, PRA ≤ 24.3.4 |
| Corrigidos | RS 25.3.2+, PRA 25.1.1+ |
| Exploração | Ativa na natureza desde 12 de fevereiro de 2026 |
CVE-2026-1731 é uma variante de CVE-2024-12356 (a vulnerabilidade usada por APT chinês para violar o Tesouro dos EUA). Ambas visam o mesmo endpoint WebSocket /nw e o script Bash subjacente thin-scc-wrapper. O patch BT24-10 para CVE-2024-12356 adicionou uma verificação de sanidade numérica, mas falhou em impedir a avaliação aritmética Bash do parâmetro remoteVersion — que é o que CVE-2026-1731 explora.
Este scanner usa 8 métodos passivos de fingerprinting — validados contra instâncias BeyondTrust reais — para determinar a versão do produto e o status de vulnerabilidade sem enviar nenhum tráfego de exploit.
| # | Método | Endpoint | O Que Extrai | Confiança |
|---|---|---|---|---|
| 1 | Extração de Versão BRDF | GET /get_rdf?comp=sdcust&locale_code=en-us | Versão exata do produto a partir do cabeçalho binário (ex.: 24.1.4) | EXATA |
| 2 | Resposta /check_health | GET /check_health | "Health Check: Succeeded" = pré-25.x / "Status: Primary" = 25.x+ | ALTA |
| 3 | Dimensionamento de Ativos Estáticos | HEAD /js/login.js | Tamanho do arquivo: ~36K-39K = pré-25.x / ~12K = 25.x+ | ALTA |
| 4 | API /get_mech_list | GET /get_mech_list?version=3 | Nome da empresa + campo thin_rep_enabled (somente 25.x+) | ALTA |
| 5 | Estrutura HTML | GET /login | XHTML 1.1 + BOMGAR = pré-25.x / HTML5 = 25.x+ | MÉDIA |
| 6 | Ano de Direitos Autorais | Rodapé GET /login | 2002-2024 = pré-25.x / 2002-2025 = 25.x | MÉDIA |
| 7 | Informações do Portal | GET /get_portal_info | Valor X-Ns-Company (indicador de reconhecimento de atacante) | — |
| 8 | Sonda WebSocket | GET /nw (somente HTTP) | Confirma a acessibilidade da superfície de ataque | — |
Método 1 (BRDF) é a mesma técnica usada pelo Metasploit e pelo plugin Nessus 213456. Quando o BRDF retorna uma versão exata, a confiança é EXATA. Algumas instâncias 25.x removem a versão do BRDF — nesses casos, os métodos 2-6 são pontuados e corroborados para inferir a faixa de versão.
/nwgit clone https://github.com/YOUR_USERNAME/cve-2026-1731-scanner.git
cd cve-2026-1731-scanner
chmod +x cve_2026_1731_scanner.py
python3 cve_2026_1731_scanner.py -t support.example.com -v
# Crie uma lista de alvos (um host por linha)
cat > targets.txt << 'EOF'
support.example.com
pra.example.com
192.168.1.50
10.0.0.100:8443
remote-support.beyondtrustcloud.com
EOF
# Execute a varredura
python3 cve_2026_1731_scanner.py -f targets.txt --threads 20 -o results.csv --json results.json -v
usage: cve_2026_1731_scanner.py [-h] (-t TARGET | -f FILE) [-o OUTPUT]
[--json JSON_OUTPUT] [--threads THREADS] [-v]
options:
-t, --target TARGET Single target hostname or IP
-f, --file FILE File containing targets (one per line)
-o, --output OUTPUT Export results to CSV file
--json JSON_OUTPUT Export results to JSON file
--threads THREADS Concurrent threads (default: 10)
-v, --verbose Verbose per-target output
O arquivo de alvos aceita entrada flexível — uma entrada por linha:
# Comments are supported (lines starting with #)
192.168.1.1
10.0.0.5
support.example.com
support.example.com:8443
https://support.example.com
http://support.example.com # auto-upgraded to HTTPS
support.example.com/login # paths are stripped automatically