BeyondTrust Remote Support: una vulnerabilidad zero-day explotada desde agosto permite tomar el control del equipo sin cuenta

BeyondTrust ha corregido CVE-2026-102764, una falla crítica de Remote Support que permite a un atacante sin cuenta realizar operaciones con archivos en el equipo. Según Google y Mandiant, un grupo de espionaje presuntamente vinculado a China la explota desde finales de agosto para robar las credenciales almacenadas; CISA dio a las agencias de EE. UU. hasta el 19 de octubre.

Qué ha pasado

BeyondTrust ha corregido CVE-2026-102764, una falla en componentes de mensajería interna de Remote Support, su herramienta de asistencia remota antes comercializada como Bomgar. Estos componentes no verificaban bien el origen de los mensajes recibidos, lo que permite a un atacante sin cuenta realizar operaciones con archivos en el equipo. El NIST le asigna 9,8 (CVSS 3.1) y BeyondTrust 9,3 en CVSS 4.0. Según Google Threat Intelligence Group y Mandiant, un grupo de espionaje presuntamente vinculado a China, al que llaman ARMORY CASTLE (antes UNC5221), la explota como zero-day desde finales de agosto de 2026. CISA la incluyó el 16 de octubre en su catálogo de vulnerabilidades explotadas, con plazo hasta el 19 de octubre para las agencias federales.

Cómo actuaron los atacantes

Mandiant describe una web shell instalada en el equipo, un túnel SOCKS sobre WebSocket expuesto mediante una configuración de HAProxy modificada, una shell root y un script de arranque que sobrevive a reinicios y a restablecimientos de configuración. Después, los atacantes extrajeron todos los secretos guardados en la bóveda de Remote Support (contraseñas, claves de API), ampliaron los permisos de un administrador comprometido, usaron las sesiones de soporte para llegar a equipos internos y borraron registros.

Qué hacer ahora

1. Equipos autoalojados: todas las versiones hasta la 26.2.3 están afectadas. Desde la 24.3.1, instale el parche BT26-05-RS desde la interfaz /appliance; las versiones anteriores deben pasar antes a una versión con soporte.
2. Clientes SaaS: BeyondTrust corrigió las instancias en la nube el 9 de octubre, pero el periodo de exposición justifica igualmente las comprobaciones siguientes.
3. Restrinja el acceso a /login y /appliance a direcciones conocidas o colóquelos detrás de un VPN.
4. Busque rastros: cambios de rol en Jump Items o equipos, nuevas cuentas de API o proveedores de seguridad, transferencias de archivos inusuales, rutas .php desconocidas, huecos en el syslog reenviado; compárelos con los indicadores publicados por Google.
5. Renueve los secretos tras el parche: cuentas del equipo y de administradores, secretos de API, claves SAML y, por último, todas las credenciales guardadas en la bóveda.

Nuestra opinión

Un equipo de asistencia remota guarda las llaves de todas las máquinas a las que llega: tomarlo vale más que cualquier servidor aislado. Debe parchearse en cuestión de horas, mantenerse fuera de internet en lo posible y enviar sus registros a otro sistema para que un intruso no pueda borrarlos.

Fuentes

• CISA — Known Exploited Vulnerabilities Catalog: CVE-2026-102764
• NIST NVD — CVE-2026-102764
• Google Threat Intelligence Group — ARMORY CASTLE exploits BeyondTrust CVE-2026-102764
• The Record — China-linked hackers exploited BeyondTrust zero-day

Cómo elegimos, verificamos y redactamos nuestros análisis →