BeyondTrust a alerté ses clients au sujet d’une vulnérabilité de sécurité critique dans sa solution Remote Support (RS), après avoir confirmé qu’elle était exploitée dans le cadre d’attaques zero-day depuis la fin août. Identifiée sous le numéro CVE-2026-102764, la vulnérabilité affecte les versions 26.2.3 et antérieures. Elle permet à un attaquant distant et non privilégié de contourner l’authentification et d’effectuer des opérations sur les fichiers des appareils non corrigés.
L’entreprise a publié le correctif le 8 octobre pour les clients de Remote Support et de Privileged Remote Access utilisant les versions SaaS. Dans les environnements auto-hébergés, les administrateurs doivent installer manuellement la mise à jour si les mises à jour automatiques ne sont pas activées. Bien que les tests internes de BeyondTrust n’aient pas identifié de méthode permettant d’exploiter la vulnérabilité dans Privileged Remote Access, le produit partage le code affecté avec Remote Support. L’entreprise a donc également publié un correctif pour ce produit et recommande à ses clients auto-hébergés de l’appliquer immédiatement.
Exploitation pour obtenir un accès, puis élever les privilèges
Les chercheurs de Mandiant et du Google Threat Intelligence Group ont détecté les attaques et les ont attribuées à un groupe appelé Armory Castle, auparavant connu sous le nom d’UNC5221, tandis que CrowdStrike l’appelle Warp Panda. Le groupe est soupçonné d’être lié à la Chine.
Les attaquants ont exploité la vulnérabilité pour obtenir un accès initial aux appareils, puis ont élevé leurs privilèges au niveau root en activant les autorisations Set User ID (SUID). Ils ont ensuite déployé le logiciel malveillant web Sawfly et l’outil Bareclaw pour se déplacer latéralement sur le réseau, effacé les journaux afin de réduire les risques de détection et utilisé des identifiants Administrator compromis pour ouvrir des sessions à distance sur d’autres systèmes du réseau.
Selon Mandiant, l’accès à l’hôte avec les privilèges root a permis aux attaquants d’accéder aux identifiants stockés ou transmis par l’appareil, de modifier des fichiers persistants après un redémarrage et de réinitialiser les paramètres. Les chercheurs ont donc recommandé de considérer comme compromis tout appareil exposé à Internet et exécutant une version affectée pendant la période d’exploitation, jusqu’à ce qu’il ait fait l’objet d’un examen.
Pourquoi cette actualité est-elle importante ?
Cette vulnérabilité réunit trois facteurs qui accroissent sa gravité : l’existence d’une exploitation active avant la publication du correctif, la position de Remote Support en périphérie du réseau et la possibilité d’accéder aux identifiants utilisés par les équipes de support et les systèmes connectés. Shadowserver recense en outre plus de 1 400 instances de BeyondTrust Remote Support exposées sur Internet, sans préciser combien d’appareils ont été sécurisés ni combien correspondent à des pièges de test.
Cela ne signifie pas que tous les appareils exposés ont été compromis, mais cela fait de la vérification des journaux, de l’examen des comptes et des fichiers et de l’installation du correctif des priorités immédiates, notamment dans les organisations qui utilisent des versions auto-hébergées.
Contexte de la menace et questions ouvertes
Armory Castle a déjà ciblé des appareils en périphérie de réseau, notamment Citrix NetScaler et Ivanti Connect Secure, afin d’accéder aux réseaux d’entreprises et de déployer des logiciels malveillants personnalisés. Mandiant a mis en garde contre une possible extension de l’exploitation après la divulgation de la CVE-2026-102764, comme cela s’est produit lors de campagnes précédentes qui commençaient par une exploitation ciblée des vulnérabilités avant de se transformer en activité de grande ampleur après la publication d’informations à leur sujet.
La source ne précise pas le nombre d’organisations compromises dans la campagne actuelle ni si les identifiants de certains clients ont été dérobés. L’installation du correctif reste donc indispensable, mais elle ne dispense pas d’enquêter sur les appareils qui étaient exposés pendant la fenêtre d’exploitation.