Falha zero‑day em BeyondTrust permitiu controle de appliances de suporte remoto, dizem pesquisadores
Grupo ligado à China explorou bug desde 29 de agosto; BeyondTrust corrigiu SaaS em outubro, mas especialistas pedem revisão forense de instâncias autogeridas.
Equipes de segurança afirmam que a intrusão começou em 29 de agosto de 2026, quando um zero‑day em BeyondTrust Remote Support foi usado para obter acesso inicial a pelo menos um appliance autogerido.
O erro, rastreado como CVE‑2026‑102764 e com pontuação CVSS 9.3, é uma falha de validação de origem em um componente interno de mensagens que permite a atacantes remotos realizar operações de arquivo em appliances vulneráveis.
Relatórios da Mandiant e do Google GTIG dizem que o ator escalou privilégios para root criando um shell SUID, implantou um webshell Sawfly em PHP e um tunelador Bareclaw SOCKS5, colheu credenciais com a ferramenta bt‑secrets, apagou logs e usou Jump Items armazenados para pivotar a sistemas a jusante.
A BeyondTrust aplicou a correção aos inquilinos SaaS do Remote Support em 8–9 de outubro de 2026 e liberou o patch BT26‑05‑RS para instâncias autogeridas, mas os pesquisadores alertam que sistemas corrigidos ainda podem estar comprometidos. Eles recomendam revisão forense completa, rotação de credenciais, redeploy a partir de imagens limpas e restrições de rede rigorosas.
Analistas observam que o grupo conhecido como Armory Castle tem histórico de explorar zero‑days em dispositivos de borda e que divulgações públicas frequentemente levam o grupo a ampliar ataques. Há urgência para organizações e provedores de serviço gerenciado caçarem indicadores de comprometimento e isolarem appliances expostos à internet.