BeyondTrust Remote Support : une faille zero-day exploitée depuis août permet de prendre la main sur l’appliance sans compte

BeyondTrust a corrigé CVE-2026-102764, une faille critique de Remote Support qui permet à un attaquant sans compte de manipuler des fichiers sur l’appliance. Selon Google et Mandiant, un groupe d’espionnage soupçonné d’être lié à la Chine l’exploite depuis fin août pour voler les identifiants stockés ; la CISA donne jusqu’au 19 octobre aux agences américaines.

Ce qui s’est passé

BeyondTrust a corrigé CVE-2026-102764, une faille dans des composants de messagerie interne de Remote Support, son outil de télémaintenance autrefois vendu sous le nom de Bomgar. Ces composants ne vérifiaient pas correctement la provenance des messages reçus, si bien qu’un attaquant dépourvu de compte peut effectuer des opérations sur les fichiers de l’appliance. Le NIST lui attribue un score de 9,8 (CVSS 3.1), BeyondTrust 9,3 en CVSS 4.0. D’après le Google Threat Intelligence Group et Mandiant, un groupe d’espionnage soupçonné d’être lié à la Chine, qu’ils nomment ARMORY CASTLE (anciennement UNC5221), l’exploite comme zero-day depuis fin août 2026. La CISA l’a inscrite le 16 octobre à son catalogue des vulnérabilités exploitées et laisse aux agences fédérales américaines jusqu’au 19 octobre.

Comment les attaquants ont procédé

Mandiant décrit un webshell déposé sur l’appliance, un tunnel SOCKS sur WebSocket rendu accessible en modifiant la configuration HAProxy, un shell root et un script de démarrage qui résiste aux redémarrages comme aux réinitialisations de configuration. Les attaquants ont ensuite vidé le coffre de Remote Support (mots de passe, clés d’API), élevé les droits d’un administrateur compromis, rebondi vers des machines internes via les sessions d’assistance, puis effacé les journaux.

Que faire maintenant

1. Appliances hébergées chez vous : toutes les versions jusqu’à la 26.2.3 sont vulnérables. À partir de la 24.3.1, installez le correctif BT26-05-RS depuis l’interface /appliance ; les versions plus anciennes doivent d’abord passer sur une version maintenue.
2. Clients SaaS : BeyondTrust a corrigé les instances cloud le 9 octobre, mais la période d’exposition justifie quand même les vérifications ci-dessous.
3. Restreignez l’accès à /login et /appliance à des adresses connues, ou placez-les derrière un VPN.
4. Cherchez des traces : changements de rôle sur les Jump Items ou les équipes, nouveaux comptes d’API ou fournisseurs d’authentification, transferts de fichiers inhabituels, chemins .php inconnus, trous dans le syslog transféré ; comparez avec les indicateurs publiés par Google.
5. Renouvelez les secrets une fois le correctif appliqué : comptes de l’appliance et des administrateurs, secrets d’API, clés SAML, puis tous les identifiants rangés dans le coffre.

Notre avis

Une appliance de télémaintenance détient les clés de toutes les machines qu’elle peut joindre : la compromettre rapporte plus que n’importe quel serveur isolé. Elle doit être corrigée dans l’heure, soustraite autant que possible à l’Internet public, et ses journaux envoyés vers un autre système pour qu’un intrus ne puisse pas les effacer.

Sources

• CISA — Known Exploited Vulnerabilities Catalog: CVE-2026-102764
• NIST NVD — CVE-2026-102764
• Google Threat Intelligence Group — ARMORY CASTLE exploits BeyondTrust CVE-2026-102764
• The Record — China-linked hackers exploited BeyondTrust zero-day

Comment nous choisissons, vérifions et rédigeons nos analyses →