Análisis editorial · Fuentes primarias

Un zero-day de BeyondTrust Remote Support permitió acceso privilegiado a sistemas posteriores

BeyondTrust y Mandiant divulgaron que CVE-2026-102764 fue explotada como zero-day el 29 de agosto de 2026 contra una instancia alojada de Remote Support y un dispositivo autogestionado. La divulgación fue el 15 de octubre; CISA publicó una alerta el día 16.

Incidente: 2026-08-29 · Divulgación: 2026-10-15
Actualizado: 2026-10-17T06:04:10.182Z · Confianza: high

Hechos confirmados

CVE-2026-102764 es un fallo crítico de validación de origen que afecta a BeyondTrust Remote Support hasta la versión 26.2.3. BeyondTrust afirma que el atacante explotó una instancia alojada y un dispositivo autogestionado el 29 de agosto, sin actividad adversaria observada después de ese mes. El proveedor distribuyó parches el 8 de octubre, los aplicó a SaaS antes del día 9 y divulgó el problema el día 15. [1][2] CISA destacó la vulnerabilidad explotada activamente el 16 de octubre. [4]

Impacto de la intrusión

Mandiant observó carga de archivos, un web shell, escalada de privilegios, persistencia en el host, intentos de extraer la bóveda de credenciales, borrado de registros y uso del acceso administrativo comprometido para alcanzar endpoints posteriores. [3] BeyondTrust afirma que fueron objetivo los secretos almacenados y las relaciones de acceso remoto privilegiado. [2] Es una cadena de intrusión confirmada, no solo un aviso de producto vulnerable.

Quién debe evaluar la exposición

Los clientes con Remote Support autogestionado deben verificar versión y estado del parche BT26-05; los sistemas anteriores a 24.3.1 deben actualizarse antes de aplicarlo. Los dispositivos SaaS fueron parcheados por el proveedor, pero las organizaciones aún deben evaluar exposición de credenciales y configuración durante la ventana previa. BeyondTrust también emitió un parche preventivo para Privileged Remote Access por compartir código, aunque indica que sus pruebas no han encontrado que sea explotable mediante este fallo. [1][2]

Impacto en misión y gobierno

Un dispositivo de soporte remoto es un plano de control para el acceso privilegiado y la continuidad del servicio. Su compromiso puede convertir canales legítimos de soporte en rutas hacia endpoints gestionados. Los CISOs deben asignar responsabilidad conjunta a seguridad, service desk, identidad e infraestructura, con autoridad explícita para aislar sistemas aunque se interrumpan operaciones de soporte.

Prioridades de respuesta

Aplique el parche de inmediato y confirme su despliegue. Preserve imágenes del dispositivo y registros externos de firewall, proxy, sesiones y SIEM antes de aislar o reconstruir, porque el actor observado eliminó evidencias locales. Trate todo dispositivo vulnerable accesible desde Internet como potencialmente comprometido hasta revisarlo; reconstruya desde una imagen limpia los casos confirmados o inciertos. Rote credenciales intermediadas, secretos API, claves de firma y tokens de soporte solo después de parchear o reconstruir, y examine los sistemas posteriores alcanzados durante la ventana. [2][3] Esta secuencia preserva evidencias e integra respuesta y recuperación en la gestión del riesgo. [5]

Atribución e incertidumbres

BeyondTrust evalúa con confianza moderada-alta, y Google atribuye con confianza alta, la actividad observada al actor denominado ARMORY CASTLE. [2][3] Es una atribución de las fuentes, no una conclusión independiente. La evidencia pública identifica dos clientes afectados, pero no demuestra compromisos más amplios tras la divulgación; esa posibilidad sigue siendo un escenario de riesgo, no un hecho confirmado.

Fuentes

Francisco Javier Jurado Alonso