BeyondTrust divulgó el 15 de octubre de 2026 una falla crítica en Remote Support, su herramienta de asistencia remota, explotada desde finales de agosto. Mandiant atribuye la intrusión a Armory Castle, un grupo de espionaje presuntamente vinculado con China, y advierte que los equipos expuestos requieren revisión aunque ya estén actualizados.
El aviso BT26-05 identifica el problema como CVE-2026-102764 y le asigna 9.3 sobre 10 en la escala CVSS v4. Afecta a todas las versiones hasta la 26.2.3 y permite que un atacante remoto sin autenticarse realice operaciones sobre archivos del equipo.
El parche ya llegó al servicio alojado
BeyondTrust lanzó la corrección el 8 de octubre; su aviso confirma que para el día 9 todas las instancias de Remote Support ofrecidas como servicio ya estaban parcheadas. En instalaciones propias, la empresa pide comprobar que se aplicó BT26-05-RS, de forma automática o manual. Las versiones anteriores a 24.3.1 requieren actualizarse antes de instalarlo.
Privileged Remote Access comparte el código afectado y recibió una corrección preventiva. La compañía afirma que sus pruebas internas no encontraron una vía para explotar allí la falla. La explotación documentada corresponde a Remote Support.
Asegurar el equipo antes de cambiar las claves
Mandiant documentó control administrativo, acceso a credenciales y persistencia tras reinicios. También observó borrado de registros. BeyondTrust reconoce que sus sensores generaron alertas, pero una herramienta de clasificación de un proveedor externo las cerró como falsos positivos.
Ambos hallazgos explican por qué revisar solo los registros locales puede dejar vacíos en la investigación. BeyondTrust recomienda conservar copias fuera del dispositivo.
Mandiant pide preservar evidencias y renovar las credenciales después de parchear o reconstruir el equipo: cambiarlas antes podría entregárselas de nuevo al intruso. Para equipos comprometidos o cuyo estado se desconoce, recomienda desplegar una imagen limpia y parcheada.
La revisión también debe abarcar las sesiones de soporte y los equipos internos a los que se accedió, según Mandiant.
