Analyse éditoriale · Sources primaires

Un zero-day de BeyondTrust Remote Support a permis un accès privilégié en aval

BeyondTrust et Mandiant ont révélé que CVE-2026-102764 avait été exploitée comme zero-day le 29 août 2026 contre une instance Remote Support hébergée et une appliance autogérée. La divulgation date du 15 octobre; CISA a publié une alerte le 16 octobre.

Incident: 2026-08-29 · Divulgation: 2026-10-15
Mise à jour: 2026-10-17T06:04:10.182Z · Confiance: high

Faits confirmés

CVE-2026-102764 est une faille critique de validation d’origine touchant BeyondTrust Remote Support jusqu’à la version 26.2.3. BeyondTrust indique qu’une instance hébergée et une appliance autogérée ont été exploitées le 29 août, sans activité adverse observée après août. Le fournisseur a diffusé les correctifs le 8 octobre, les a appliqués à son SaaS au 9 octobre et a divulgué la faille le 15 octobre. [1][2] CISA a signalé la vulnérabilité activement exploitée le 16 octobre. [4]

Impact de l’intrusion

Mandiant a observé le dépôt de fichiers, un web shell, une élévation de privilèges, une persistance sur l’hôte, une tentative d’extraction du coffre d’identifiants, la suppression de journaux et l’utilisation d’un accès administratif compromis pour atteindre des terminaux en aval. [3] BeyondTrust précise que les secrets stockés et les relations d’accès distant privilégié étaient visés. [2] Il s’agit d’une chaîne d’intrusion confirmée, pas seulement d’un avis de vulnérabilité.

Qui doit évaluer l’exposition

Les clients Remote Support autohébergés doivent vérifier la version et l’état du correctif BT26-05; les systèmes antérieurs à 24.3.1 doivent être mis à niveau avant son application. Les appliances SaaS ont été corrigées par le fournisseur, mais l’exposition des identifiants et de la configuration durant la fenêtre antérieure doit encore être évaluée. BeyondTrust a aussi diffusé par précaution un correctif Privileged Remote Access en raison du code partagé, tout en indiquant que ses tests n’ont pas trouvé ce produit exploitable par cette faille. [1][2]

Impact sur la mission et la gouvernance

Une appliance de support distant constitue un plan de contrôle pour les accès privilégiés et la continuité de service. Sa compromission peut transformer des canaux de support légitimes en chemins vers les terminaux administrés. Les RSSI doivent attribuer une responsabilité conjointe aux équipes sécurité, support, identité et infrastructure, avec une autorité explicite pour décider d’un isolement susceptible d’interrompre le support.

Priorités de réponse

Appliquez immédiatement le correctif et confirmez son déploiement. Préservez les images de l’appliance et les journaux externes de pare-feu, proxy, sessions et SIEM avant isolement ou reconstruction, car l’acteur a supprimé les preuves locales. Considérez toute appliance vulnérable accessible depuis Internet comme potentiellement compromise jusqu’à examen; reconstruisez les cas confirmés ou incertains depuis une image saine. Ne renouvelez les identifiants gérés, secrets API, clés de signature et jetons de support qu’après correction ou reconstruction, puis examinez les systèmes en aval atteints pendant la fenêtre. [2][3] Cette séquence préserve les preuves et intègre réponse et reprise à la gestion du risque. [5]

Attribution et inconnues

BeyondTrust évalue avec une confiance modérée à élevée, et Google attribue avec une confiance élevée, l’activité observée à l’acteur appelé ARMORY CASTLE. [2][3] Il s’agit de l’attribution des sources, pas d’une conclusion indépendante. Les éléments publics identifient deux clients touchés, mais ne prouvent pas une compromission plus large après divulgation; celle-ci reste un scénario de risque.

Sources

Francisco Javier Jurado Alonso