✨︎ Resumen (TL;DR):
- BeyondTrust corrigió la falla CVE-2026-102764 en Remote Support, que un atacante explotó desde finales de agosto; Mandiant atribuye la intrusión a Armory Castle.
- La vulnerabilidad tiene 9.3 sobre 10 en CVSS v4, afecta versiones hasta la 26.2.3 y permite operaciones remotas sobre archivos sin autenticación.
- El servicio alojado quedó parcheado el 9 de octubre, pero las instalaciones propias deben validar BT26-05-RS, preservar evidencias y cambiar credenciales solo después de asegurar los equipos.
BeyondTrust corrigió una falla crítica en Remote Support, su herramienta de asistencia remota, después de que un atacante la explotara desde finales de agosto. La empresa divulgó el problema el 15 de octubre de 2026. Mandiant atribuye la intrusión a Armory Castle, un grupo de espionaje presuntamente vinculado con China. Los equipos expuestos requieren revisión aunque ya estén actualizados.
La falla permitía operar archivos sin autenticación
Remote Support es una herramienta de asistencia remota que BeyondTrust ofrece para brindar soporte a equipos. El aviso BT26-05 identifica la falla como CVE-2026-102764 y le asigna 9.3 sobre 10 en la escala CVSS v4.
La vulnerabilidad afecta todas las versiones de Remote Support hasta la 26.2.3. Un atacante remoto sin autenticarse puede realizar operaciones sobre archivos del equipo.
El servicio alojado ya recibió el parche
BeyondTrust lanzó la corrección el 8 de octubre. Para el 9 de octubre, la empresa ya había parcheado todas las instancias de Remote Support que ofrece como servicio.
En instalaciones propias, BeyondTrust pide confirmar la instalación automática o manual de BT26-05-RS. Quienes usen una versión anterior a 24.3.1 deben actualizarla antes de instalarlo.
BeyondTrust también aplicó una corrección preventiva a Privileged Remote Access, que comparte el código afectado. La compañía afirma que sus pruebas internas no encontraron una vía para explotar el producto. La explotación documentada corresponde a Remote Support.
Parchear no basta para cerrar la exposición
Mandiant documentó control administrativo, acceso a credenciales y persistencia después de reinicios. También observó el borrado de registros.
BeyondTrust reconoce que sus sensores generaron alertas, pero una herramienta de clasificación de un proveedor externo las cerró como falsos positivos. Por eso, revisar solo los registros locales puede dejar vacíos en la investigación.
BeyondTrust recomienda conservar copias fuera del dispositivo para evitar que la eliminación de registros borre parte de la evidencia disponible.
Mandiant pide preservar las evidencias y renovar las credenciales después de parchear o reconstruir el equipo. Cambiarlas antes podría entregárselas de nuevo al intruso.
El orden recomendado para asegurar los equipos
En términos operativos, la recomendación queda así:
- Preservar las evidencias, incluidas las copias guardadas fuera del dispositivo.
- Parchear o reconstruir el equipo. Si está comprometido o se desconoce su estado, desplegar una imagen limpia y parcheada.
- Renovar las credenciales solo después de asegurar el equipo.
- Revisar las sesiones de soporte y los equipos internos a los que hubo acceso.
El servicio alojado ya cuenta con la corrección. En instalaciones propias, el trabajo pendiente es confirmar BT26-05-RS, investigar la exposición previa y renovar las credenciales solo después de asegurar el equipo. La revisión también debe cubrir las sesiones de soporte y los equipos internos involucrados.
