La falla CVE-2026-102764 de BeyondTrust Remote Support, explotada como zero-day y añadida al catálogo KEV de CISA

BeyondTrust ha publicado una corrección para CVE-2026-102764, una vulnerabilidad crítica en su producto Remote Support, antes conocido como Bomgar, que afecta a las versiones 26.2.3 y anteriores. La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA) añadió la falla a su catálogo de vulnerabilidades explotadas conocidas (KEV) el 16 de octubre y publicó orientaciones en las que insta a las organizaciones que operan equipos autoalojados a actuar de inmediato. Según Mandiant, un presunto actor de espionaje vinculado a China explotó el fallo como zero-day a finales de agosto, mucho antes de su divulgación pública.

BeyondTrust divulgó el problema el 15 de octubre, según Mandiant. The Hacker News, que informó de una puntuación CVSS de 9,3, citó al fabricante, según el cual componentes internos de Remote Support no comprobaban correctamente el origen de los mensajes entrantes, lo que en determinadas condiciones podría permitir operaciones con archivos en el equipo. CISA describe la falla como una omisión de autenticación, mientras que Mandiant afirmó que un atacante remoto no autenticado puede usarla para manipular archivos, obteniendo potencialmente el control del host y el acceso a todas las credenciales que el dispositivo almacena o intermedia. La corrección es el parche BT26-05-RS, del aviso BT26-05. Según Mandiant, BeyondTrust lo aplicó a todos los inquilinos SaaS el 9 de octubre, por lo que los clientes alojados no necesitan actualizar ningún equipo, aunque siguen siendo necesarias revisiones de credenciales y configuración. Los sistemas autoalojados con la versión 24.3.1 o posterior deben instalar el parche, o confirmar su instalación mediante actualizaciones automáticas, mientras que las versiones más antiguas deben actualizarse primero a una versión con soporte; Mandiant señaló que la actualización no remedia una exposición previa.

Mandiant afirmó haber descubierto la actividad durante una intervención de respuesta a incidentes, y GTIG la atribuye a ARMORY CASTLE, un grupo antes rastreado como UNC5221. Tras la explotación, el actor instaló un web shell PHP ofuscado que Mandiant denomina SAWFLY, obtuvo privilegios root creando una copia del shell del sistema con permisos SUID, intentó volcar las credenciales almacenadas con una herramienta de línea de comandos integrada de BeyondTrust y añadió un script de inicio que alteraba la plantilla de sudoers para que el acceso root sin restricciones sobreviviera a reinicios y restablecimientos de configuración. Mandiant también describió un tunelizador SOCKS5 personalizado llamado BARECLAW, accesible desde internet mediante modificaciones en la configuración de HAProxy del equipo, la eliminación repetida de registros y el abuso de una cuenta de administrador cuyos permisos de Jump Item se elevaron para que el actor pudiera abrir sesiones remotas hacia endpoints internos y copiar documentos como inventarios de software.

Además de aplicar el parche, CISA aconsejó limitar la exposición externa de los equipos Remote Support a los servicios necesarios, mantener las interfaces de administración en redes de confianza y realizar análisis forenses de red y de memoria. Ante la sospecha de compromiso, la agencia recomienda aislar el equipo, conservar una instantánea o imagen forense, reenviar los registros a un SIEM y buscar sesiones privilegiadas desconocidas, scripts o huecos en los registros. Después pide reconstruir a partir de un estado fiable conocido, aplicar el parche, rotar todas las credenciales que contenía el dispositivo, revocar las sesiones de soporte activas y revisar los nuevos registros de MFA en cuentas privilegiadas. The Hacker News informó de que las agencias civiles federales tienen hasta el 19 de octubre para remediar la falla, y el Centro Canadiense de Ciberseguridad también ha emitido un aviso sobre ella.

Según The Hacker News, una cronología de BeyondTrust indica que la explotación zero-day de un equipo autoalojado se remonta al 29 de agosto, y el fabricante empezó a buscar actividad similar después de que el 27 de septiembre se hiciera pública la intrusión en otro proveedor de dispositivos de seguridad. GTIG afirmó que ARMORY CASTLE está activo desde al menos octubre de 2023 y que ya ha explotado anteriormente equipos perimetrales. Mandiant advirtió de que el grupo ha pasado históricamente a una explotación amplia y oportunista una vez divulgada una falla, como ocurrió en 2024 tras las fallas de Ivanti CVE-2023-46805 y CVE-2024-21887, y afirmó que cualquier equipo vulnerable expuesto a internet durante el periodo de explotación debería ser «tratado como potencialmente comprometido hasta que haya sido revisado».