Falla CVE-2026-102764 di BeyondTrust Remote Support sfruttata come zero-day e aggiunta al catalogo KEV della CISA

BeyondTrust ha rilasciato una correzione per CVE-2026-102764, una vulnerabilità critica del suo prodotto Remote Support, in precedenza noto come Bomgar, che interessa le versioni 26.2.3 e precedenti. La Cybersecurity and Infrastructure Security Agency (CISA) statunitense ha aggiunto la falla al proprio catalogo Known Exploited Vulnerabilities (KEV) il 16 ottobre e ha pubblicato indicazioni che esortano le organizzazioni che gestiscono appliance self-hosted ad agire immediatamente. Secondo Mandiant, un presunto attore di spionaggio legato alla Cina ha sfruttato il bug come zero-day a fine agosto, ben prima della divulgazione pubblica.

BeyondTrust ha reso noto il problema il 15 ottobre, secondo Mandiant. The Hacker News, che ha riportato un punteggio CVSS di 9,3, ha citato il fornitore secondo cui componenti interni di Remote Support non verificavano correttamente la provenienza dei messaggi in arrivo, il che in determinate condizioni potrebbe consentire operazioni sui file dell'appliance. La CISA descrive la falla come un bypass dell'autenticazione, mentre Mandiant ha affermato che un attaccante remoto non autenticato può sfruttarla per manipolare file, ottenendo potenzialmente il controllo dell'host e l'accesso a tutte le credenziali che il dispositivo memorizza o gestisce. La correzione è la patch BT26-05-RS dell'advisory BT26-05. Mandiant ha affermato che BeyondTrust l'ha applicata a tutti i tenant SaaS il 9 ottobre, quindi i clienti hosted non devono aggiornare l'appliance, anche se le verifiche di credenziali e configurazione restano necessarie. I sistemi self-hosted con versione 24.3.1 o successiva devono installare la patch, o confermarne l'installazione tramite aggiornamenti automatici, mentre le release più vecchie vanno prima aggiornate a una versione supportata; Mandiant ha osservato che l'aggiornamento non pone rimedio a esposizioni precedenti.

Mandiant ha dichiarato di aver scoperto l'attività durante un intervento di incident response, e GTIG la attribuisce ad ARMORY CASTLE, un gruppo tracciato in precedenza come UNC5221. Dopo lo sfruttamento, l'attore ha installato una web shell PHP offuscata che Mandiant chiama SAWFLY, ha ottenuto i privilegi di root creando una copia della shell di sistema con permessi SUID, ha tentato di estrarre le credenziali memorizzate con uno strumento a riga di comando integrato di BeyondTrust e ha aggiunto uno script di avvio che modificava il template di sudoers, in modo che l'accesso root illimitato sopravvivesse a riavvii e ripristini della configurazione. Mandiant ha inoltre descritto un tunneler SOCKS5 personalizzato chiamato BARECLAW, reso raggiungibile da internet tramite modifiche alla configurazione HAProxy dell'appliance, ripetute cancellazioni dei log e l'abuso di un account amministratore i cui permessi Jump Item erano stati elevati, così che l'attore potesse aprire sessioni remote verso endpoint interni e copiare documenti come gli inventari software.

Oltre all'applicazione della patch, la CISA ha consigliato di limitare l'esposizione esterna delle appliance Remote Support ai soli servizi necessari, di mantenere le interfacce amministrative su reti attendibili e di eseguire analisi forensi di rete e di memoria. In caso di sospetta compromissione, l'agenzia raccomanda di isolare l'appliance, conservare uno snapshot o un'immagine forense, inoltrare i log a un SIEM e cercare sessioni privilegiate sconosciute, script o lacune nei log. Chiede poi di ricostruire il sistema a partire da uno stato noto e affidabile, applicare la patch, ruotare tutte le credenziali conservate dal dispositivo, revocare le sessioni di supporto attive e controllare le nuove registrazioni MFA sugli account privilegiati. The Hacker News ha riferito che le agenzie civili federali hanno tempo fino al 19 ottobre per porre rimedio, e anche il Cyber Centre canadese ha pubblicato un advisory sulla falla.

Secondo The Hacker News, una cronologia di BeyondTrust indica che lo sfruttamento zero-day di un'appliance self-hosted risale al 29 agosto, e il fornitore ha iniziato a cercare attività simili dopo che la compromissione di un altro fornitore di dispositivi di sicurezza è diventata pubblica il 27 settembre. GTIG ha affermato che ARMORY CASTLE è attivo almeno da ottobre 2023 e ha già sfruttato in passato appliance perimetrali. Mandiant ha avvertito che storicamente il gruppo è passato a uno sfruttamento ampio e opportunistico dopo la divulgazione di una falla, come avvenuto nel 2024 dopo le falle Ivanti CVE-2023-46805 e CVE-2024-21887, e ha affermato che qualsiasi appliance vulnerabile esposta a internet durante la finestra di sfruttamento dovrebbe essere «considerata potenzialmente compromessa finché non è stata esaminata».