BeyondTrust corrige un zero-day explotado desde agosto en Remote Support

BeyondTrust informó el 16 de octubre de 2026 de la corrección de CVE-2026-102764, una vulnerabilidad crítica de bypass de autenticación en Remote Support (RS) que estaba siendo explotada como zero-day desde finales de agosto. El fallo permite a atacantes remotos sin privilegios realizar operaciones de archivos en dispositivos sin parchear y afecta a RS 26.2.3 y versiones anteriores.

La compañía aplicó el parche el 8 de octubre a los clientes de Remote Support y Privileged Remote Access SaaS. Las instalaciones autogestionadas deben actualizarse manualmente cuando las actualizaciones automáticas no estén activadas. Aunque BeyondTrust no ha identificado durante sus pruebas una vía de explotación en Privileged Remote Access, también ha publicado el parche para este producto porque comparte código afectado.

Según investigadores de Mandiant y Google Threat Intelligence Group, el actor de espionaje Armory Castle, anteriormente UNC5221, explotó el fallo para obtener acceso inicial y elevar privilegios hasta root mediante la activación de permisos Set User ID (SUID). Después desplegó el web shell Sawfly y el malware tunneler Bareclaw, eliminó registros y se desplazó lateralmente por las redes comprometidas usando credenciales de Administrator.

Mandiant advirtió de que cualquier dispositivo expuesto a Internet y ejecutando una versión vulnerable durante el periodo de explotación debe considerarse potencialmente comprometido hasta completar su revisión. Shadowserver contabiliza más de 1.400 instancias de BeyondTrust Remote Support expuestas en Internet, aunque no determina cuántas están protegidas o corresponden a honeypots.

Armory Castle también ha explotado anteriormente vulnerabilidades zero-day en dispositivos Citrix NetScaler e Ivanti Connect Secure. Mandiant considera posible que se produzcan nuevos intentos de explotación generalizada de CVE-2026-102764 tras su divulgación y la disponibilidad del parche.

Fuente: BleepingComputer.