BeyondTrust Remote Support : faille zero-day exploitée depuis août

BeyondTrust a publié le 15 octobre 2026 l'avis BT26-05 pour la faille CVE-2026-102764, une vulnérabilité de son logiciel Remote Support exploitée comme zero-day depuis la fin août 2026 par un groupe soupçonné d'espionnage lié à la Chine, selon BleepingComputer et The Hacker News.

Qu'est-ce que la faille CVE-2026-102764 ?

Il s'agit d'un défaut de validation de l'origine dans un composant de messagerie interne de Remote Support, l'ancien Bomgar. Un attaquant distant sans privilèges peut, dans certaines conditions, effectuer des opérations sur les fichiers d'un serveur non corrigé. The Hacker News lui attribue un score CVSS de 9,3 sur 10 ; BleepingComputer ne donne pas de score. BeyondTrust précise que Privileged Remote Access partage le code concerné, mais que ses tests n'ont pas permis de l'exploiter ; un correctif préventif existe néanmoins.

Quels produits et quelles versions sont concernés ?

Les clients du service hébergé (SaaS) ont été corrigés sans action de leur part : le 8 octobre selon BleepingComputer, le 9 selon The Hacker News, un écart d'un jour que les sources n'expliquent pas. Les installations auto-hébergées de Remote Support, de la version 24.3.1 à la 26.2.3, doivent appliquer le correctif BT26-05-RS ; celles antérieures à la 24.3.1 doivent d'abord être mises à niveau. Shadowserver dénombre plus de 1 400 instances Remote Support exposées sur Internet, sans indiquer combien sont corrigées.

Qui exploite la faille et comment ?

Mandiant, filiale de Google, a détecté les premières attaques. Le groupe, baptisé Armory Castle (anciennement UNC5221) par Google Threat Intelligence Group et Warp Panda par CrowdStrike, est qualifié de lié à la Chine ; la source ne détaille pas les preuves de cette attribution. Selon The Hacker News, il avait déjà exploité des zero-days dans Citrix NetScaler et Ivanti Connect Secure, un profil que rappelle notre article sur les trois zero-days d'Ivanti Connect Secure.

La chaîne d'attaque décrite par Mandiant commence par un web shell nommé Sawfly, suivi d'une élévation de privilèges vers le compte root, de l'extraction des mots de passe et clés d'API stockés sur l'appareil, puis du déploiement du tunnel Bareclaw, qui survit aux redémarrages. Les journaux sont effacés, et les identifiants d'administrateur volés servent à ouvrir des sessions sur les systèmes en aval. Une seule installation auto-hébergée est confirmée comme victime de l'exploitation zero-day ; aucun nom de victime n'est publié.

Que doivent faire les administrateurs ?

Appliquer le correctif de l'avis BT26-05, puis considérer tout serveur joignable depuis Internet et vulnérable durant la période d'exploitation comme potentiellement compromis. Mandiant avertit qu'un simple redémarrage ou une reconfiguration ne supprime pas l'accès de l'attaquant. Il faut chercher les traces de Sawfly et de Bareclaw, vérifier le binaire SUID « dbus-authd » et les modifications du fichier haproxy.conf, renouveler tous les secrets stockés sur l'appareil et contrôler les sessions ouvertes sur les systèmes en aval.

Mandiant s'attend à des tentatives d'exploitation plus larges maintenant que la faille est publique, ce groupe ayant déjà procédé ainsi sur d'autres équipements en périphérie de réseau.

Source

BleepingComputer, « BeyondTrust patches zero-day exploited in attacks since August », 16 octobre 2026.

The Hacker News, « China-Linked Hackers Exploited BeyondTrust Zero-Day », 16 octobre 2026.

L'avis BT26-05 de BeyondTrust et les rapports de Mandiant cités par ces deux médias n'ont pas été consultés directement.