Une faille zero-day de BeyondTrust exploitée depuis août par des pirates liés à la Chine

BeyondTrust a corrigé une faille zero-day de contournement d'authentification, référencée CVE-2026-102764, qu'un groupe d'espionnage suspecté d'être lié à la Chine exploite dans BeyondTrust Remote Support depuis fin août 2026, selon des recherches de Mandiant et du Google Threat Intelligence Group publiées cette semaine. La faille touche BeyondTrust Remote Support (RS) version 26.2.3 et antérieures ; les clients Privileged Remote Access SaaS ont été couverts automatiquement.

Les équipes de renseignement sur les menaces de Mandiant et Google attribuent les attaques à un groupe qu'elles appellent Armory Castle, précédemment suivi sous le nom UNC5221 et connu de CrowdStrike comme Warp Panda. Dans les intrusions observées, les attaquants ont utilisé le contournement d'authentification pour accéder à des appareils non corrigés, puis déployé un web shell pour passer d'une position distante non privilégiée à un accès root complet. De là, ils ont installé deux familles de logiciels malveillants sur mesure, Sawfly et Bareclaw, effacé les journaux pour couvrir leurs traces, et se sont déplacés latéralement dans les réseaux des victimes en utilisant des identifiants administrateur compromis.

La gravité vient de ce qu'un appareil BeyondTrust Remote Support est conçu pour détenir : l'accès root expose chaque identifiant que l'appareil stocke ou négocie pour le compte des organisations qui l'utilisent pour un accès distant privilégié. Mandiant recommande de traiter tout appareil accessible depuis internet ayant exécuté une version vulnérable pendant la fenêtre d'exploitation d'environ sept semaines comme potentiellement compromis jusqu'à ce qu'il ait été examiné indépendamment, plutôt que de le supposer sûr simplement parce qu'il a depuis été corrigé. Le service de scan de sécurité Shadowserver a compté plus de 1 400 instances BeyondTrust Remote Support actuellement exposées sur internet.

BeyondTrust a déployé le correctif pour ses clients SaaS le 8 octobre 2026. Les organisations exécutant des installations auto-hébergées sans mises à jour automatiques activées doivent appliquer le correctif manuellement, et l'écart d'environ une semaine entre la correction SaaS et la divulgation publique de cette semaine a donné aux administrateurs d'instances auto-hébergées un avertissement préalable limité avant que les attaquants ne remarquent probablement les mêmes notes de correctif.

Les outils de support distant et d'accès privilégié sont une cible de plus en plus attrayante précisément parce qu'ils sont conçus pour être dignes de confiance avec un accès élevé à de nombreux autres systèmes — un seul contournement réussi ici ne compromet pas seulement une machine, il remet potentiellement à l'attaquant les clés de tout ce que cet appareil était chargé de gérer, comme l'a rapporté en premier BleepingComputer.