Análise editorial · Fontes primárias

Zero-day no BeyondTrust Remote Support permitiu acesso privilegiado a sistemas subsequentes

A BeyondTrust e a Mandiant divulgaram que a CVE-2026-102764 foi explorada como zero-day em 29 de agosto de 2026 contra uma instância Remote Support alojada e uma appliance autogerida. A divulgação ocorreu em 15 de outubro; a CISA publicou um alerta no dia 16.

Incidente: 2026-08-29 · Divulgação: 2026-10-15
Atualizado: 2026-10-17T06:04:10.182Z · Confiança: high

Factos confirmados

A CVE-2026-102764 é uma falha crítica de validação de origem que afeta o BeyondTrust Remote Support até à versão 26.2.3. Segundo a BeyondTrust, o atacante explorou uma instância alojada e uma appliance autogerida em 29 de agosto, sem atividade adversária observada depois desse mês. O fornecedor disponibilizou correções em 8 de outubro, aplicou-as ao SaaS até 9 de outubro e divulgou a falha em 15 de outubro. [1][2] A CISA destacou a vulnerabilidade ativamente explorada em 16 de outubro. [4]

Impacto da intrusão

A Mandiant observou carregamento de ficheiros, uma web shell, escalada de privilégios, persistência no host, tentativa de extração do cofre de credenciais, eliminação de registos e utilização de acesso administrativo comprometido para alcançar endpoints subsequentes. [3] A BeyondTrust afirma que foram visados segredos armazenados e relações de acesso remoto privilegiado. [2] Trata-se de uma cadeia de intrusão confirmada, não apenas de um aviso sobre produto vulnerável.

Quem deve avaliar a exposição

Os clientes de Remote Support autogerido devem confirmar a versão e o estado da correção BT26-05; sistemas anteriores à versão 24.3.1 precisam de atualização antes da aplicação. As appliances SaaS foram corrigidas pelo fornecedor, mas as organizações ainda devem avaliar a exposição de credenciais e configuração durante a janela anterior. A BeyondTrust também emitiu preventivamente uma correção para Privileged Remote Access por partilhar código, embora indique que os testes internos não encontraram exploração desse produto através desta falha. [1][2]

Impacto na missão e governação

Uma appliance de suporte remoto é um plano de controlo para acesso privilegiado e continuidade do serviço. O seu comprometimento pode transformar canais legítimos de suporte em caminhos para endpoints geridos. Os CISOs devem atribuir responsabilidade conjunta às equipas de segurança, service desk, identidade e infraestrutura, com autoridade explícita para decisões de isolamento que possam interromper as operações de suporte.

Prioridades de resposta

Aplicar imediatamente a correção e confirmar a instalação. Preservar imagens da appliance e registos externos de firewall, proxy, sessões e SIEM antes do isolamento ou reconstrução, pois o ator observado eliminou provas locais. Tratar appliances vulneráveis acessíveis pela Internet como potencialmente comprometidas até revisão; reconstruir casos confirmados ou incertos a partir de uma imagem limpa. Rodar credenciais intermediadas, segredos API, chaves de assinatura e tokens de suporte apenas depois da correção ou reconstrução e examinar os sistemas subsequentes alcançados durante a janela. [2][3] Esta sequência preserva provas e integra resposta e recuperação na gestão do risco. [5]

Atribuição e incógnitas

A BeyondTrust avalia com confiança moderada-alta e a Google atribui com alta confiança a atividade observada ao ator denominado ARMORY CASTLE. [2][3] Esta é a atribuição das fontes, não uma conclusão independente. A evidência pública identifica dois clientes afetados, mas não demonstra comprometimento mais amplo após a divulgação; essa possibilidade continua a ser um cenário de risco.

Fontes

Francisco Javier Jurado Alonso