Un zero-day en BeyondTrust fue explotado desde agosto por hackers vinculados a China

BeyondTrust ha parcheado un zero-day de evasión de autenticación, identificado como CVE-2026-102764, que un grupo de espionaje presuntamente vinculado a China ha estado explotando en BeyondTrust Remote Support desde finales de agosto de 2026, según una investigación de Mandiant y el Google Threat Intelligence Group publicada esta semana. El fallo afecta a BeyondTrust Remote Support (RS) versión 26.2.3 y anteriores; los clientes de Privileged Remote Access SaaS quedaron cubiertos automáticamente.

Los equipos de inteligencia de amenazas de Mandiant y Google atribuyen los ataques a un grupo que denominan Armory Castle, previamente identificado como UNC5221 y conocido por CrowdStrike como Warp Panda. En las intrusiones observadas, los atacantes usaron la evasión de autenticación para acceder a dispositivos sin parchear, luego desplegaron un web shell para escalar desde una posición remota sin privilegios hasta acceso root completo. Desde ahi, instalaron dos familias de malware personalizado, Sawfly y Bareclaw, borraron registros para cubrir sus huellas, y se movieron lateralmente por las redes de las víctimas usando credenciales de administrador comprometidas.

La gravedad proviene de lo que un dispositivo BeyondTrust Remote Support está diseñado para contener: el acceso root expone cada credencial que el dispositivo almacena o intermedia en nombre de las organizaciones que lo usan para acceso remoto privilegiado. Mandiant recomienda tratar cualquier dispositivo accesible desde internet que ejecutara una versión vulnerable durante la ventana de explotación de aproximadamente siete semanas como potencialmente comprometido hasta que haya sido revisado de forma independiente, en lugar de asumir que es seguro simplemente porque desde entonces ha sido parcheado. El servicio de escaneo de seguridad Shadowserver contó más de 1.400 instancias de BeyondTrust Remote Support actualmente expuestas a internet.

BeyondTrust distribuyó la solución a sus clientes SaaS el 8 de octubre de 2026. Las organizaciones con instalaciones autoalojadas sin actualizaciones automáticas habilitadas deben aplicar el parche manualmente, y la brecha de aproximadamente una semana entre la corrección de SaaS y la divulgación pública de esta semana dio a los administradores de instancias autoalojadas una advertencia previa limitada antes de que los atacantes presumiblemente notaran las mismas notas del parche.

Las herramientas de soporte remoto y acceso privilegiado son un objetivo cada vez más atractivo precisamente porque están diseñadas para ser confiables con acceso elevado a muchos otros sistemas — una sola evasión exitosa aquí no solo compromete una máquina, potencialmente entrega al atacante las llaves de todo lo que ese dispositivo estaba autorizado a gestionar, según reportó primero BleepingComputer.