Falha CVE-2026-102764 do BeyondTrust Remote Support explorada como zero-day e adicionada ao catálogo KEV da CISA

A BeyondTrust lançou uma correção para a CVE-2026-102764, uma vulnerabilidade crítica em seu produto Remote Support, antes conhecido como Bomgar, que afeta as versões 26.2.3 e anteriores. A Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) adicionou a falha ao seu catálogo Known Exploited Vulnerabilities (KEV) em 16 de outubro e publicou orientações instando as organizações que operam appliances self-hosted a agir imediatamente. Segundo a Mandiant, um suposto agente de espionagem ligado à China explorou o bug como zero-day no fim de agosto, bem antes da divulgação pública.

A BeyondTrust divulgou o problema em 15 de outubro, segundo a Mandiant. O The Hacker News, que informou uma pontuação CVSS de 9,3, citou o fornecedor afirmando que componentes internos do Remote Support não verificavam corretamente a origem das mensagens recebidas, o que, sob certas condições, poderia permitir operações com arquivos no appliance. A CISA descreve a falha como um bypass de autenticação, enquanto a Mandiant afirmou que um invasor remoto não autenticado pode usá-la para manipular arquivos, potencialmente obtendo controle do host e alcançando todas as credenciais que o dispositivo armazena ou intermedeia. A correção é o patch BT26-05-RS, do aviso BT26-05. A Mandiant afirmou que a BeyondTrust o aplicou a todos os tenants SaaS em 9 de outubro, de modo que clientes hospedados não precisam atualizar o appliance, embora as revisões de credenciais e configuração continuem válidas. Sistemas self-hosted na versão 24.3.1 ou posterior precisam instalar o patch, ou confirmá-lo via atualizações automáticas, enquanto versões mais antigas devem primeiro ser atualizadas para uma versão suportada; a Mandiant observou que a atualização não remedia exposições anteriores.

A Mandiant afirmou ter descoberto a atividade durante um trabalho de resposta a incidentes, e o GTIG a atribui ao ARMORY CASTLE, grupo anteriormente rastreado como UNC5221. Após a exploração, o agente implantou um web shell PHP ofuscado que a Mandiant chama de SAWFLY, obteve acesso root criando uma cópia do shell do sistema com permissões SUID, tentou extrair credenciais armazenadas com uma ferramenta de linha de comando integrada da BeyondTrust e adicionou um script de inicialização que alterava o template do sudoers para que o acesso root irrestrito sobrevivesse a reinicializações e redefinições de configuração. A Mandiant também descreveu um tunneler SOCKS5 personalizado chamado BARECLAW, tornado acessível pela internet por meio de alterações na configuração HAProxy do appliance, a exclusão repetida de logs e o abuso de uma conta de administrador cujas permissões de Jump Item foram elevadas para que o agente pudesse abrir sessões remotas para endpoints internos e copiar documentos como inventários de software.

Além da aplicação do patch, a CISA aconselhou limitar a exposição externa dos appliances Remote Support aos serviços necessários, manter as interfaces administrativas em redes confiáveis e realizar perícia forense de rede e de memória. Quando houver suspeita de comprometimento, a agência recomenda isolar o appliance, preservar um snapshot ou imagem forense, encaminhar os logs a um SIEM e procurar sessões privilegiadas desconhecidas, scripts ou lacunas nos registros. Em seguida, pede a reconstrução a partir de um estado sabidamente íntegro, a aplicação do patch, a rotação de todas as credenciais mantidas pelo dispositivo, a revogação das sessões de suporte ativas e a verificação de novos cadastros de MFA em contas privilegiadas. O The Hacker News informou que as agências civis federais têm até 19 de outubro para corrigir o problema, e o Cyber Centre do Canadá também emitiu um aviso sobre a falha.

Segundo o The Hacker News, uma cronologia da BeyondTrust indica que a exploração zero-day de um appliance self-hosted remonta a 29 de agosto, e o fornecedor começou a procurar atividades semelhantes depois que o comprometimento de outro fornecedor de dispositivos de segurança se tornou público em 27 de setembro. O GTIG afirmou que o ARMORY CASTLE está ativo desde pelo menos outubro de 2023 e já explorou appliances de borda anteriormente. A Mandiant alertou que o grupo historicamente passou à exploração ampla e oportunista assim que uma falha é divulgada, como visto em 2024 após as falhas da Ivanti CVE-2023-46805 e CVE-2024-21887, e afirmou que qualquer appliance vulnerável exposto à internet durante a janela de exploração deve ser “tratado como potencialmente comprometido até ser revisado”.