NoticiasNews

BeyondTrust Remote Support: zero-day CVE-2026-102764 explotado por Armory Castle y en el catálogo KEV de CISABeyondTrust Remote Support zero-day CVE-2026-102764 exploited by Armory Castle and added to CISA's KEV catalog

2026-10-17

Las herramientas de soporte remoto son la puerta por la que el equipo de TI entra a los equipos de empleados y clientes, y por eso son un objetivo de alto valor. El 16 de octubre de 2026, BeyondTrust emitió una alerta sobre CVE-2026-102764, una falla de validación de origen en un componente interno de mensajería de Remote Support (CVSS 9.3) que permite a un atacante remoto realizar operaciones de archivos en el appliance. CISA la añadió a su catálogo de vulnerabilidades explotadas (KEV) con fecha límite del 19 de octubre para las agencias federales de EE. UU.

Qué ocurrió

Según el análisis publicado por Google GTIG/Mandiant y recogido por The Hacker News, el grupo Armory Castle (también seguido como UNC5221 o Warp Panda), activo desde octubre de 2023, explotó la falla como zero-day el 29 de agosto de 2026 contra un appliance autogestionado. BeyondTrust ya había parcheado sus instancias SaaS el 9 de octubre.

  • Versiones afectadas: Remote Support autogestionado 24.3.1 a 26.2.3. Se debe aplicar el parche BT26-05-RS; las versiones anteriores a la 24.3.1 deben actualizarse primero.
  • Los atacantes instalaron una web shell en PHP, escalaron a root, intentaron extraer credenciales de la base de secretos del equipo y usaron cuentas de administrador comprometidas para abrir sesiones remotas hacia sistemas de la lista de "Jump Items".
  • También borraron registros del sistema, del servidor web y de la aplicación para dificultar la detección.

Recomendaciones de BeyondTrust y CISA

  • Aplicar el parche y tratar como potencialmente comprometido cualquier appliance expuesto a internet con una versión vulnerable durante la ventana de explotación.
  • Limitar el acceso externo al mínimo necesario, buscar sesiones administrativas o privilegiadas desconocidas y conservar copias forenses.
  • Aislar los equipos sospechosos y reconstruirlos desde un estado limpio antes de aplicar el parche.

Qué significa para equipos de soporte

La lección va más allá del parche: una herramienta de acceso remoto concentra credenciales y acceso a muchos sistemas, de modo que su inventario, sus sesiones y su bitácora deben tratarse como activos críticos. Si el equipo de soporte depende de una sola herramienta, un incidente como este también es un problema de continuidad del servicio.

Para mesas de ayuda, el registro de cada intervención ligada a un ticket es la mejor forma de saber quién tocó qué y cuándo. Servigo365 ayuda a ordenar ese flujo: tickets, historial por cliente, asignaciones y SLA en una sola mesa de ayuda multicanal, con trazabilidad que facilita revisar actividad cuando hay que investigar un incidente. Para quienes administran sucursales con atención presencial, Nexturno aporta datos ordenados de turnos y tiempos de espera que ayudan a dimensionar el impacto operativo cuando un sistema de soporte queda fuera de servicio.

Fuente: The Hacker News, "China-Linked Hackers Exploited BeyondTrust Zero-Day to Take Over Remote Support Servers" (16 de octubre de 2026), y Google Cloud Threat Intelligence.

Remote support tools are the door through which IT teams reach employee and customer machines, which makes them a high-value target. On October 16, 2026, BeyondTrust issued an alert about CVE-2026-102764, an origin-validation flaw in an internal messaging component of Remote Support (CVSS 9.3) that lets a remote attacker perform file operations on the appliance. CISA added it to its Known Exploited Vulnerabilities (KEV) catalog with an October 19 deadline for US federal agencies.

What happened

According to analysis from Google GTIG/Mandiant, reported by The Hacker News, the group Armory Castle (also tracked as UNC5221 or Warp Panda), active since October 2023, exploited the flaw as a zero-day on August 29, 2026 against a self-hosted appliance. BeyondTrust had already patched its SaaS instances on October 9.

  • Affected versions: self-hosted Remote Support 24.3.1 through 26.2.3. Customers must apply patch BT26-05-RS; versions older than 24.3.1 must upgrade first.
  • The attackers installed a PHP web shell, escalated to root, tried to harvest credentials from the appliance's secrets database and used compromised admin credentials to open remote sessions to systems in the "Jump Items" list.
  • They also deleted system, web server and application logs to hinder detection.

BeyondTrust and CISA recommendations

  • Apply the patch and treat any internet-reachable appliance on a vulnerable version during the exploitation window as potentially compromised.
  • Limit external access to what is required, hunt for unknown privileged or administrative sessions and preserve forensic snapshots.
  • Isolate suspect appliances and rebuild them from a known-good state before patching.

What it means for support teams

The lesson goes beyond the patch: a remote access tool concentrates credentials and reach into many systems, so its inventory, sessions and logs should be treated as critical assets. If the support team depends on a single tool, an incident like this is also a service continuity problem.

For help desks, linking every intervention to a ticket is the best way to know who touched what and when. Servigo365 helps organize that flow: tickets, per-customer history, assignments and SLAs in a single multichannel help desk, with traceability that makes it easier to review activity when an incident has to be investigated. For organizations running in-person branches, Nexturno provides organized queue and waiting-time data that helps size the operational impact when a support system goes down.

Source: The Hacker News, "China-Linked Hackers Exploited BeyondTrust Zero-Day to Take Over Remote Support Servers" (October 16, 2026), and Google Cloud Threat Intelligence.

← Volver al blog← Back to blog