Alerta crítica: BeyondTrust Remote Support bajo explotación activa

// resumen_ejecutivo

CVE-2026-102764 (CVSS 9,3) permite operaciones de archivos sin autenticación en Remote Support hasta 26.2.3. ARMORY CASTLE la explotó como zero-day; aplique BT26-05-RS e investigue exposición.

// descripcion_detallada

BeyondTrust divulgó el 15 de octubre de 2026 CVE-2026-102764, una vulnerabilidad crítica de validación incorrecta del origen de mensajes en Remote Support. La falla alcanza CVSS v4 9,3 y puede permitir que un atacante remoto no autenticado realice operaciones de archivos en el appliance.

Mandiant y Google Threat Intelligence Group observaron explotación como zero-day desde fines de agosto por parte de ARMORY CASTLE, actor de espionaje presuntamente vinculado a China. La intrusión documentada incluyó escalada a root, el web shell SAWFLY, el túnel BARECLAW, eliminación de registros y movimiento lateral.

Alcance

Remote Support 24.3.1 a 26.2.3: aplicar el parche BT26-05-RS.
Versiones anteriores a 24.3.1: actualizar a una versión compatible y luego instalar el parche.
Remote Support SaaS: BeyondTrust informa que aplicó la corrección el 9 de octubre de 2026.

Todo appliance que estuvo accesible desde Internet durante la ventana de explotación debe considerarse potencialmente comprometido hasta completar una investigación.

// vectores_de_ataque

Remoto, por red y sin autenticación. Validación incorrecta del origen de mensajes internos permite operaciones de archivos en el appliance y puede derivar en control del host.

// versiones_afectadas

BeyondTrust Remote Support hasta 26.2.3 inclusive. Aplicar BT26-05-RS en 24.3.1-26.2.3; versiones anteriores deben actualizar primero.

// indicadores_de_compromiso 1 tipo

CVEs (1)

CVE-2026-102764

// recomendaciones_de_mitigacion

Acciones prioritarias

Aplicar BT26-05-RS inmediatamente y confirmar el estado efectivo del parche.
Revisar evidencia desde fines de agosto de 2026, preservando los registros antes de realizar cambios destructivos.
Buscar SAWFLY, BARECLAW, escalada a root, archivos persistentes y borrado anómalo de logs.
Rotar todas las credenciales almacenadas, intermediadas o utilizadas por el appliance.
Investigar movimiento lateral hacia sistemas administrados mediante sesiones remotas.
Aislar el appliance y activar respuesta a incidentes si se detecta cualquier indicador sospechoso.