BeyondTrust advirtió a sus clientes sobre una vulnerabilidad de seguridad crítica en la solución Remote Support (RS), después de confirmar que había sido explotada en ataques de día cero desde finales de agosto. La vulnerabilidad, identificada como CVE-2026-102764, afecta a las versiones 26.2.3 y anteriores, y permite a un atacante remoto sin privilegios omitir la autenticación y realizar operaciones sobre archivos en dispositivos sin parchear.
La empresa publicó el parche el 8 de octubre para los clientes de Remote Support y Privileged Remote Access que utilizan versiones SaaS. En los entornos alojados localmente, los administradores deben instalar la actualización manualmente si las actualizaciones automáticas no están activadas. Aunque las pruebas internas de BeyondTrust no identificaron un método para explotar la vulnerabilidad en Privileged Remote Access, el producto comparte con Remote Support el código afectado. Por ello, la empresa también publicó un parche para este producto y recomienda a sus clientes con instalaciones locales aplicarlo de inmediato.
Explotación para obtener acceso y luego elevar privilegios
Investigadores de Mandiant y Google Threat Intelligence Group detectaron los ataques y los atribuyeron a un actor denominado Armory Castle, conocido anteriormente como UNC5221, mientras que CrowdStrike lo denomina Warp Panda. Se sospecha que el grupo está vinculado a China.
Los atacantes explotaron la vulnerabilidad para obtener acceso inicial a los dispositivos y después elevaron sus privilegios a root mediante la activación de permisos Set User ID (SUID). A continuación, desplegaron el malware web Sawfly y la herramienta Bareclaw para el movimiento lateral a través de la red, borraron registros para reducir las posibilidades de detección y utilizaron credenciales de Administrator comprometidas para abrir sesiones remotas en otros sistemas de la red.
Según Mandiant, el acceso al host con privilegios root permitió a los atacantes acceder a las credenciales almacenadas o transmitidas por el dispositivo, modificar archivos que persisten después de los reinicios y restablecer configuraciones. Por ello, los investigadores recomendaron considerar que cualquier dispositivo expuesto a Internet y que ejecutara una versión afectada durante el periodo de explotación estaba comprometido hasta que fuera revisado.
¿Por qué importa esta noticia?
La vulnerabilidad combina tres factores que elevan su gravedad: la existencia de explotación activa antes de la publicación del parche, la ubicación de Remote Support en el perímetro de la red y la posibilidad de acceder a credenciales utilizadas por los equipos de soporte y los sistemas conectados. Además, Shadowserver rastrea más de 1.400 instancias de BeyondTrust Remote Support expuestas en Internet, sin aclarar cuántos dispositivos han sido protegidos ni cuántos representan honeypots de prueba.
Esto no significa que todos los dispositivos expuestos estén comprometidos, pero convierte en una prioridad inmediata verificar los registros, revisar las cuentas y los archivos e instalar el parche, especialmente en las organizaciones que utilizan versiones alojadas localmente.
Contexto de la amenaza y preguntas abiertas
Armory Castle tiene un historial de atacar dispositivos situados en el perímetro de las redes, entre ellos Citrix NetScaler e Ivanti Connect Secure, para acceder a redes corporativas y desplegar malware personalizado. Mandiant advirtió de la posibilidad de que la explotación se amplíe tras la divulgación de CVE-2026-102764, como ocurrió en campañas anteriores que comenzaban con una explotación selectiva de vulnerabilidades y luego se convertían en actividad generalizada después de que apareciera información sobre ellas.
La fuente no especifica cuántas organizaciones fueron comprometidas en la campaña actual ni si se robaron las credenciales de clientes concretos. Por tanto, instalar el parche sigue siendo un paso necesario, pero no sustituye la investigación de los dispositivos que estuvieron expuestos durante la ventana de explotación.