Faille CVE-2026-102764 de BeyondTrust Remote Support exploitée en zero-day et ajoutée au catalogue KEV de la CISA

BeyondTrust a publié un correctif pour CVE-2026-102764, une vulnérabilité critique de son produit Remote Support, anciennement connu sous le nom de Bomgar, qui touche les versions 26.2.3 et antérieures. L'agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a ajouté la faille à son catalogue des vulnérabilités exploitées connues (KEV) le 16 octobre et a publié des recommandations exhortant les organisations qui exploitent des appliances auto-hébergées à agir immédiatement. Selon Mandiant, un acteur d'espionnage présumé lié à la Chine a exploité la faille en tant que zero-day fin août, bien avant sa divulgation publique.

BeyondTrust a divulgué le problème le 15 octobre, selon Mandiant. The Hacker News, qui fait état d'un score CVSS de 9,3, cite l'éditeur, selon qui des composants internes de Remote Support ne vérifiaient pas correctement l'origine des messages entrants, ce qui pourrait, dans certaines conditions, permettre des opérations sur des fichiers de l'appliance. La CISA décrit la faille comme un contournement d'authentification, tandis que Mandiant a indiqué qu'un attaquant distant non authentifié peut l'utiliser pour manipuler des fichiers, obtenant potentiellement le contrôle de l'hôte et l'accès à tous les identifiants que l'appareil stocke ou relaie. Le correctif est le patch BT26-05-RS, au titre de l'avis BT26-05. Selon Mandiant, BeyondTrust l'a appliqué à tous les locataires SaaS le 9 octobre ; les clients hébergés n'ont donc aucune mise à jour d'appliance à effectuer, mais les vérifications des identifiants et de la configuration restent de mise. Les systèmes auto-hébergés en version 24.3.1 ou ultérieure doivent installer le correctif, ou confirmer son installation via les mises à jour automatiques, tandis que les versions plus anciennes doivent d'abord passer à une version prise en charge ; Mandiant a noté que la mise à niveau ne corrige pas une exposition antérieure.

Mandiant a indiqué avoir découvert l'activité lors d'une mission de réponse à incident, et GTIG l'attribue à ARMORY CASTLE, un groupe auparavant suivi sous le nom UNC5221. Après l'exploitation, l'acteur a déposé un web shell PHP obfusqué que Mandiant appelle SAWFLY, a obtenu les droits root en créant une copie du shell système dotée de permissions SUID, a tenté d'extraire les identifiants stockés à l'aide d'un outil en ligne de commande intégré de BeyondTrust et a ajouté un script de démarrage modifiant le modèle sudoers afin qu'un accès root sans restriction survive aux redémarrages et aux réinitialisations de configuration. Mandiant a également décrit un tunnelier SOCKS5 personnalisé nommé BARECLAW, rendu accessible depuis Internet par des modifications de la configuration HAProxy de l'appliance, des suppressions répétées de journaux, ainsi que l'utilisation abusive d'un compte administrateur dont les permissions Jump Item avaient été élevées afin que l'acteur puisse ouvrir des sessions à distance vers des terminaux internes et copier des documents tels que des inventaires logiciels.

Au-delà de l'application du correctif, la CISA a conseillé de limiter l'exposition externe des appliances Remote Support aux services nécessaires, de maintenir les interfaces d'administration sur des réseaux de confiance et de mener des analyses forensiques du réseau et de la mémoire. En cas de compromission présumée, l'agence recommande d'isoler l'appliance, de conserver un instantané ou une image forensique, de transférer les journaux vers un SIEM et de rechercher des sessions privilégiées inhabituelles, des scripts ou des lacunes dans la journalisation. Elle préconise ensuite une reconstruction à partir d'un état sain connu, l'application du correctif, la rotation de tous les identifiants détenus par l'appareil, la révocation des sessions d'assistance actives et la vérification des nouveaux enrôlements MFA sur les comptes privilégiés. The Hacker News a rapporté que les agences civiles fédérales ont jusqu'au 19 octobre pour corriger la faille, et le Centre canadien pour la cybersécurité a également publié un avis à son sujet.

Selon The Hacker News, une chronologie de BeyondTrust indique que l'exploitation zero-day d'une appliance auto-hébergée remonte au 29 août, et l'éditeur a commencé à rechercher une activité similaire après que la compromission d'un autre fournisseur d'équipements de sécurité a été rendue publique le 27 septembre. GTIG a indiqué qu'ARMORY CASTLE est actif depuis au moins octobre 2023 et a déjà exploité des appliances en bordure de réseau. Mandiant a averti que le groupe est historiquement passé à une exploitation large et opportuniste une fois une faille divulguée, comme en 2024 après les failles Ivanti CVE-2023-46805 et CVE-2024-21887, et a déclaré que toute appliance vulnérable exposée à Internet pendant la période d'exploitation devrait être « considérée comme potentiellement compromise jusqu'à ce qu'elle ait été examinée ».