Il gruppo di cyberspionaggio Armory Castle, collegato alla Cina secondo BeyondTrust e Mandiant, avrebbe sfruttato una vulnerabilità zero-day in BeyondTrust Remote Support per prendere il controllo di appliance esposte. La falla, identificata come CVE-2026-102764, consente in determinate condizioni di eseguire operazioni sui file del dispositivo vulnerabile.
BeyondTrust ha già distribuito la correzione ai clienti SaaS e chiede a chi gestisce installazioni autonome di aggiornare manualmente. CISA ha inoltre inserito la vulnerabilità nel catalogo KEV delle falle sfruttate attivamente, raccomandando interventi immediati.
Che cosa rende critica CVE-2026-102764
La vulnerabilità ha un punteggio CVSS di 9,3 su 10 e riguarda una convalida insufficiente dell’origine dei messaggi fra componenti interni di Remote Support, piattaforma precedentemente nota come Bomgar. Un aggressore remoto potrebbe sfruttare il difetto per compiere operazioni sui file dell’appliance.
Secondo la cronologia diffusa da BeyondTrust, Armory Castle ha usato la falla come zero-day contro una singola appliance self-hosted il 29 agosto 2026. L’azienda ha avviato la propria indagine dopo che, il 27 settembre, è divenuto pubblico lo sfruttamento riuscito di un altro fornitore di dispositivi di sicurezza.
La distinzione è rilevante: l’episodio noto non descrive un attacco indiscriminato a tutti i clienti, ma un’operazione selettiva. BeyondTrust avverte però che il gruppo tende ad ampliare lo sfruttamento delle installazioni rimaste senza patch quando una vulnerabilità diventa pubblica.
Patch disponibili e versioni coinvolte
BeyondTrust ha comunicato di aver applicato le patch a tutti i clienti Remote Support SaaS entro il 9 ottobre 2026. Per le installazioni gestite internamente, le versioni dalla 24.3.1 alla 26.2.3 devono ricevere manualmente la patch BT26-05-RS.
Chi utilizza una versione precedente alla 24.3.1 non può installare direttamente la correzione: deve prima passare a una release più recente. È un requisito da considerare nella pianificazione dell’intervento, perché l’aggiornamento non consiste necessariamente nel solo applicare una patch.
Il 16 ottobre 2026 CISA ha aggiunto CVE-2026-102764 al proprio catalogo Known Exploited Vulnerabilities. Per le agenzie federali civili dell’esecutivo statunitense la scadenza indicata per l’applicazione delle correzioni è il 19 ottobre 2026.
Le attività osservate dopo l’accesso
Mandiant riferisce che, dopo un compromesso riuscito, gli operatori hanno distribuito una web shell PHP leggera chiamata SAWFLY, usata per l’accesso remoto interattivo e per comunicazioni cifrate di comando e controllo. Il traffico sarebbe stato instradato anche tramite nodi di uscita VPN commerciali e router domestici o di piccoli uffici compromessi.
L’obiettivo non sarebbe limitato al dispositivo BeyondTrust. Gli attaccanti avrebbero cercato di elevare i privilegi, ottenere il controllo amministrativo dell’appliance e rendere persistente l’accesso anche dopo il riavvio. Tra le attività segnalate figurano il tentativo di leggere password, chiavi API e credenziali archiviate dal sistema, oltre all’uso di account amministrativi compromessi per avviare sessioni verso sistemi interni raggiungibili dalla piattaforma.
Il rapporto descrive anche BARECLAW, un proxy SOCKS5 personalizzato in C, impiegato per instradare connessioni TCP attraverso il dispositivo. Gli operatori avrebbero inoltre modificato la configurazione del proxy inverso per renderlo raggiungibile da Internet e cancellato log di sistema, del web server e dell’applicazione per ostacolare le verifiche.
Le azioni richieste alle organizzazioni
CISA raccomanda di applicare BT26-05-RS, ridurre l’accesso esterno ai soli servizi indispensabili e svolgere analisi di rete e memoria alla ricerca di segnali di compromissione. Le appliance raggiungibili da Internet su versioni vulnerabili durante la finestra di sfruttamento dovrebbero essere considerate potenzialmente compromesse fino al completamento di una revisione.
In presenza di indizi concreti, l’agenzia statunitense suggerisce di isolare l’appliance, cercare sessioni privilegiate o amministrative non riconosciute, raccogliere un’istantanea della macchina virtuale o un’immagine forense dell’hardware e ricostruire il sistema da uno stato noto come sicuro, applicando poi la patch.
FAQ
Quali installazioni devono essere aggiornate?
Le installazioni self-hosted di BeyondTrust Remote Support dalla versione 24.3.1 alla 26.2.3 devono applicare manualmente BT26-05-RS. Le versioni più vecchie richiedono prima l’aggiornamento a una release compatibile.
I clienti SaaS devono intervenire manualmente?
BeyondTrust afferma che le patch sono state distribuite a tutti i clienti Remote Support SaaS entro il 9 ottobre 2026. Le indicazioni di aggiornamento manuale riportate riguardano invece le installazioni self-hosted.
Perché CISA consiglia anche verifiche forensi?
Perché la falla risulta sfruttata attivamente e le attività attribuite al gruppo comprendono persistenza, sottrazione di credenziali, accesso a sistemi interni e cancellazione dei log. Applicare la patch chiude il difetto, ma non elimina da sola un’eventuale compromissione già avvenuta.
Considerazioni finali
Non è una vulnerabilità da trattare come il consueto aggiornamento di manutenzione. La combinazione fra esecuzione di operazioni sull’appliance, raccolta di segreti, possibilità di muoversi verso sistemi interni e cancellazione dei log alza drasticamente la posta per chi espone Remote Support su Internet.
Il punto decisivo è operativo: la patch BT26-05-RS va applicata dove prevista, ma le organizzazioni potenzialmente esposte devono verificare anche ciò che può essere accaduto prima dell’aggiornamento. È proprio la revisione dell’eventuale intrusione, non il solo aggiornamento, a pesare di più in questo caso.