CVE-2026-102764: zero-day crítico en BeyondTrust ya fue explotado

BeyondTrust divulgó el 15 de octubre de 2026 una vulnerabilidad crítica en Remote Support que ya había sido explotada como zero-day. Identificada como CVE-2026-102764, la falla alcanza una puntuación CVSS 9,3 y permite que un atacante remoto no autenticado realice operaciones de archivos sobre appliances vulnerables.

Google Threat Intelligence Group y Mandiant detectaron la explotación a fines de agosto de 2026 por parte de ARMORY CASTLE, un actor de espionaje vinculado presuntamente a China y conocido anteriormente como UNC5221. La campaña convirtió una falla en un producto de acceso remoto en una vía para obtener control persistente, escalar privilegios y moverse hacia otros sistemas.

Qué es CVE-2026-102764 y por qué es crítica

BeyondTrust clasifica el problema como CWE-290, autenticación incorrecta mediante suplantación, y lo describe como una validación insuficiente del origen de mensajes dentro de componentes internos de Remote Support. Bajo las condiciones adecuadas, un atacante remoto puede realizar operaciones de archivos en el appliance sin autenticarse.

El vector oficial es de red, no requiere interacción del usuario ni privilegios previos. Aunque el aviso del fabricante habla de operaciones de archivos, la investigación de Mandiant demuestra que el impacto práctico puede llegar mucho más lejos cuando el equipo está expuesto: los atacantes lograron control a nivel del host, acceso a credenciales administradas por el appliance y persistencia resistente a reinicios.

Producto afectado: BeyondTrust Remote Support.
Versiones: todas las versiones compatibles hasta la 26.2.3 inclusive.
Acceso requerido: remoto y sin autenticación.
Impacto inicial: operaciones arbitrarias de archivos.
Gravedad: crítica, CVSS v4 9,3.
Estado: explotación como zero-day confirmada.

ARMORY CASTLE explotó la falla desde fines de agosto

Mandiant identificó la actividad durante una respuesta a incidentes. El grupo ARMORY CASTLE utilizó CVE-2026-102764 para obtener acceso inicial a appliances Remote Support vulnerables y luego profundizó el compromiso con conocimiento detallado de los componentes internos del producto.

Tras la explotación, el actor elevó privilegios hasta root, desplegó el web shell SAWFLY y el túnel BARECLAW, modificó archivos para mantener persistencia y eliminó registros para dificultar el análisis. También utilizó credenciales de administrador comprometidas para abrir sesiones remotas en sistemas posteriores y avanzar lateralmente.

Este comportamiento convierte la actualización en solo una parte de la respuesta. Un parche impide nuevas explotaciones, pero no elimina puertas traseras, cuentas robadas ni cambios persistentes que ya estén presentes.

Versiones afectadas y parche BT26-05

El aviso BT26-05 indica que Remote Support 26.2.3 y todas las versiones anteriores están afectadas. Los clientes autogestionados que ejecutan versiones entre 24.3.1 y 26.2.3 deben aplicar el parche BT26-05-RS desde la interfaz /appliance o confirmar que las actualizaciones automáticas lo instalaron.

Las instalaciones anteriores a 24.3.1 deben actualizar primero a una versión compatible y luego aplicar el parche. BeyondTrust informó que corrigió sus entornos SaaS el 9 de octubre de 2026; para esos appliances no se requiere una acción adicional de parcheo, aunque siguen siendo pertinentes la rotación de credenciales y la revisión de actividad.

Por qué el riesgo continúa después de instalar la corrección

Remote Support funciona como un punto de confianza entre operadores y equipos administrados. Un appliance comprometido puede contener o intermediar credenciales privilegiadas, sesiones de soporte y rutas hacia numerosos sistemas internos.

Mandiant advierte que cualquier appliance accesible desde Internet durante la ventana de explotación debe tratarse como potencialmente comprometido hasta completar su revisión. ARMORY CASTLE también ha ampliado campañas después de la divulgación pública de otras vulnerabilidades, por lo que la presión sobre servidores aún sin parche podría aumentar.

Acciones inmediatas recomendadas

Aplicar BT26-05-RS ahora. Verificar la versión efectiva y el estado del parche desde la consola del appliance.
Tratar la exposición histórica como un incidente potencial. Revisar los registros indicados por Mandiant y preservar evidencia antes de realizar cambios destructivos.
Buscar persistencia. Investigar web shells, túneles, cambios de permisos, archivos añadidos, tareas de inicio y borrado anómalo de registros.
Rotar credenciales. Cambiar claves, tokens y contraseñas almacenadas o intermediadas por el appliance, además de credenciales administrativas utilizadas en sesiones remotas.
Revisar movimiento lateral. Examinar conexiones originadas desde Remote Support hacia equipos administrados y accesos administrativos inusuales.
Reducir exposición. Limitar el acceso de administración a redes confiables, VPN o bastiones y eliminar publicación directa innecesaria hacia Internet.

La prioridad es parchear sin perder evidencia

CVE-2026-102764 combina tres factores de máxima urgencia: acceso remoto sin autenticación, un appliance ubicado en el perímetro y explotación real previa a la divulgación. La respuesta correcta no es elegir entre continuidad operacional e investigación, sino coordinar ambas tareas.

Las organizaciones deben aplicar la corrección, contener los equipos sospechosos y revisar actividad desde fines de agosto. Si aparecen indicios de SAWFLY, BARECLAW, escalada a root o conexiones laterales, corresponde activar formalmente el proceso de respuesta a incidentes.