Hackers ligados à China exploraram zero-day da BeyondTrust e tomaram appliances de suporte remoto
Exploração (CVE-2026-102764) começou em 29 de agosto; fornecedor liberou correção para SaaS em 8–9 de outubro e patch BT26-05-RS para clientes self-hosted
Pesquisadores dizem que o zero-day CVE-2026-102764 foi usado em ataques iniciados em 29 de agosto de 2026 para obter acesso inicial a ao menos um appliance BeyondTrust Remote Support.
BeyondTrust aplicou uma correção a todos os locatários SaaS do Remote Support nos dias 8 e 9 de outubro de 2026 e publicou o patch BT26-05-RS para clientes self-hosted, que precisam instalá‑lo ou fazer upgrade.
Mandiant e o Google Threat Intelligence Group atribuem a campanha ao grupo Armory Castle. Segundo os relatórios, os atacantes implantaram um web shell Sawfly em PHP e um túnel SOCKS5 chamado Bareclaw para escalar privilégios até root, coletar segredos armazenados e pivotar para sistemas a jusante.
Os pesquisadores alertam que qualquer appliance acessível pela internet que tenha executado uma versão vulnerável durante a janela de exploração deve ser tratado como potencialmente comprometido. A organização Shadowserver rastreia cerca de 1.400 instâncias expostas.
As defesas recomendadas incluem: preservar telemetria e evidências, bloquear o acesso público aos appliances, redeploy de dispositivos comprometidos a partir de imagens limpas, rotacionar credenciais na ordem de dependências e aplicar imediatamente o patch do fornecedor.