BeyondTrust alertó el 15 de octubre sobre una falla crítica de Remote Support que atacantes explotaban desde el 29 de agosto de 2026, antes de que hubiera un parche disponible. La vulnerabilidad permite realizar operaciones sobre archivos sin los privilegios necesarios y fue utilizada para entrar a redes empresariales, según BleepingComputer.

🔒 Identificada como CVE-2026-102764, tiene una calificación CVSS de 9.3 y afecta a Remote Support —antes Bomgar— hasta la versión 26.2.3, incluida. El problema está en la validación del origen de mensajes de un componente interno: abre la puerta a un bypass de autenticación, de acuerdo con The Hacker News y SecurityWeek.

🛠️ El parche BT26-05-RS cubre las versiones 24.3.1 a 26.2.3; quienes tengan una anterior deben actualizar primero y después aplicarlo. BeyondTrust comenzó a distribuir la corrección el 8 de octubre y confirmó que, al día 9, todos sus clientes de Remote Support SaaS estaban parcheados; las instalaciones propias deben aplicar la corrección manualmente si no tienen actualizaciones automáticas, explica SecurityWeek. También hay un parche preventivo para Privileged Remote Access (PRA) porque comparte código afectado, aunque las pruebas internas de BeyondTrust no encontraron una forma de explotar ahí la vulnerabilidad.

🧠 Mandiant y Google Threat Intelligence Group atribuyen los ataques a Armory Castle, antes UNC5221 y conocido por CrowdStrike como Warp Panda, un grupo de espionaje presuntamente vinculado con China. Los atacantes desplegaron Sawfly y Bareclaw, elevaron sus permisos hasta obtener control root, accedieron a las credenciales almacenadas o gestionadas por el equipo y modificaron archivos capaces de sobrevivir a reinicios y restablecimientos de configuración. Después borraron registros y utilizaron credenciales de administrador para avanzar hacia otros sistemas de la red.

📊 Shadowserver registra más de 1,400 instancias de soporte remoto de BeyondTrust expuestas a internet, pero no especifica cuántas ya están protegidas o son señuelos de investigación. Google advierte que podrían llegar intentos de explotación masiva tras la divulgación, como ocurrió en campañas anteriores del grupo; no afirma que esa nueva oleada ya haya sucedido, según Reuters.

¿Por qué importa si administras soporte remoto?

Remote Support sirve para que mesas de ayuda y equipos de TI diagnostiquen problemas y accedan a otros equipos a distancia. En estos ataques, esa capacidad se convirtió en una ruta hacia sistemas internos: los intrusos aprovecharon las herramientas nativas de soporte y transferencia de archivos para extraer documentos sensibles, incluidos inventarios de software.

  • Parchear no equivale a descartar una intrusión previa. Mandiant indica que cualquier equipo con una versión vulnerable que estuvo accesible desde internet durante el periodo de explotación debe considerarse potencialmente comprometido hasta ser revisado.
  • SaaS y alojamiento propio no requieren la misma acción. BeyondTrust reportó corregidos sus servicios alojados de Remote Support y PRA. Para instalaciones propias sin actualización automática, pide aplicar de inmediato los parches BT26-05 correspondientes, incluido el preventivo de PRA.
  • El acceso fue más allá de una sesión de soporte. Sawfly es una webshell ligera escrita en PHP con comunicación de mando y control cifrada y bidireccional. Bareclaw es un túnel proxy SOCKS5 con cifrado, autenticación y encadenamiento hacia otro proxy.
  • La escalada de permisos dejó acceso profundo. Los investigadores observaron permisos SUID para elevar privilegios, acceso root sin contraseña para la cuenta de servicio del sitio y eliminación de registros del sistema, del servidor web y de la aplicación.

Una investigación que se remonta a agosto

BeyondTrust comenzó a investigar el 27 de septiembre, después de que se conociera un ataque contra dispositivos de otro proveedor y de recibir una advertencia de Mandiant. Identificó la falla el 28 de septiembre y preparó un parche para el día 30, pero lo probó y resolvió rutas adicionales de explotación antes de distribuirlo el 8 de octubre. La investigación encontró explotación inicial el 29 de agosto contra un equipo alojado por BeyondTrust y otro administrado por un cliente.

Armory Castle opera desde al menos octubre de 2023 y busca recopilar inteligencia a largo plazo sobre gobiernos, empresas tecnológicas, proveedores SaaS, servicios legales y empresas de externalización de procesos. Según The Record, BeyondTrust también señala que el grupo estudia proveedores tecnológicos para descubrir nuevas vulnerabilidades.

  • Historial de Armory Castle: ha explotado Citrix NetScaler mediante CVE-2023-4966, conocida como CitrixBleed; Ivanti Connect Secure mediante CVE-2023-46805, CVE-2024-21887 y CVE-2025-0282; y Dell RecoverPoint for Virtual Machines mediante CVE-2026-22769.
  • Campañas contra Ivanti: Volexity reportó en enero de 2024 más de 2,100 equipos con la webshell GiftedVisitor tras ataques que encadenaban CVE-2023-46805 y CVE-2024-21887. En 2025, Mandiant documentó que el grupo estudió un parche de Ivanti para una falla considerada de bajo riesgo y desarrolló ejecución remota de código contra equipos sin actualizar.
  • Otros ataques contra BeyondTrust: CVE-2026-1731, una falla crítica de ejecución remota de código en Remote Support y PRA, fue utilizada para establecer canales WebSocket y desplegar ransomware.
  • Una campaña distinta: se cree que Silk Typhoon, otro grupo vinculado al Estado chino, explotó CVE-2024-12356 y CVE-2024-12686 para entrar a BeyondTrust. Una clave API robada permitió comprometer 17 instancias de Remote Support SaaS, incluida la del Departamento del Tesoro estadounidense; la campaña también tuvo como objetivos a OFAC, responsable de sanciones, y CFIUS, que revisa inversiones extranjeras por riesgos de seguridad nacional.
  • Alcance del proveedor: BeyondTrust presta servicios de seguridad de identidad a más de 20,000 clientes en el mundo, incluidas agencias gubernamentales y el 75% de las empresas Fortune 100.

💬 Si administras herramientas de soporte remoto, ¿cómo compruebas que un equipo quedó limpio después de aplicar un parche urgente?

¿Pero deveras? 🌵💚