Analisi editoriale · Fonti primarie

Uno zero-day di BeyondTrust Remote Support ha abilitato accessi privilegiati a valle

BeyondTrust e Mandiant hanno divulgato che CVE-2026-102764 è stata sfruttata come zero-day il 29 agosto 2026 contro un’istanza Remote Support ospitata e un’appliance autogestita. La divulgazione è avvenuta il 15 ottobre; CISA ha pubblicato un avviso il 16 ottobre.

Incidente: 2026-08-29 · Divulgazione: 2026-10-15
Aggiornamento: 2026-10-17T06:04:10.182Z · Attendibilità: high

Fatti confermati

CVE-2026-102764 è una falla critica di validazione dell’origine che interessa BeyondTrust Remote Support fino alla versione 26.2.3. BeyondTrust afferma che il 29 agosto l’attaccante ha sfruttato un’istanza ospitata e un’appliance autogestita, senza attività avversaria osservata dopo agosto. Il fornitore ha distribuito le patch l’8 ottobre, le ha applicate al SaaS entro il 9 ottobre e ha divulgato il problema il 15 ottobre. [1][2] CISA ha segnalato la vulnerabilità attivamente sfruttata il 16 ottobre. [4]

Impatto dell’intrusione

Mandiant ha osservato caricamento di file, una web shell, escalation dei privilegi, persistenza sull’host, tentata estrazione del caveau delle credenziali, cancellazione dei log e uso dell’accesso amministrativo compromesso per raggiungere endpoint a valle. [3] BeyondTrust indica che sono stati presi di mira segreti memorizzati e relazioni di accesso remoto privilegiato. [2] È una catena d’intrusione confermata, non un semplice avviso di prodotto vulnerabile.

Chi deve valutare l’esposizione

I clienti Remote Support self-hosted devono verificare versione e stato della patch BT26-05; i sistemi precedenti alla 24.3.1 devono essere aggiornati prima di applicarla. Le appliance SaaS sono state corrette dal fornitore, ma le organizzazioni devono comunque valutare l’esposizione di credenziali e configurazione nella finestra precedente. BeyondTrust ha inoltre rilasciato in via precauzionale una patch per Privileged Remote Access, dato il codice condiviso, precisando però che i test interni non hanno rilevato sfruttabilità tramite questa falla. [1][2]

Impatto su missione e governance

Un’appliance di supporto remoto è un piano di controllo per accessi privilegiati e continuità del servizio. La compromissione può trasformare canali legittimi di assistenza in percorsi verso endpoint gestiti. I CISO devono assegnare responsabilità congiunta a sicurezza, service desk, identità e infrastruttura, con autorità esplicita per decidere l’isolamento anche quando interrompe le operazioni di supporto.

Priorità di risposta

Applicare subito la patch e confermarne il deployment. Preservare immagini dell’appliance e log esterni di firewall, proxy, sessioni e SIEM prima di isolamento o ricostruzione, poiché l’attore osservato ha cancellato prove locali. Considerare potenzialmente compromesse fino alla verifica le appliance vulnerabili raggiungibili da Internet; ricostruire da un’immagine pulita i casi confermati o incerti. Ruotare credenziali gestite, segreti API, chiavi di firma e token di supporto solo dopo patch o ricostruzione, quindi esaminare i sistemi a valle raggiunti durante la finestra. [2][3] Questa sequenza preserva le prove e integra risposta e ripristino nella gestione del rischio. [5]

Attribuzione e incognite

BeyondTrust valuta con confidenza medio-alta e Google attribuisce con alta confidenza l’attività osservata all’attore chiamato ARMORY CASTLE. [2][3] È l’attribuzione delle fonti, non una conclusione indipendente. Le prove pubbliche identificano due clienti interessati, ma non dimostrano compromissioni più ampie dopo la divulgazione; questa rimane uno scenario di rischio.

Fonti

Francisco Javier Jurado Alonso