BeyondTrust Remote Support : zero-day exploitée depuis août

BeyondTrust exhorte ses clients à corriger une faille critique de contournement de l'authentification dans son produit Remote Support (RS). Un groupe d'espionnage soupçonné d'être lié à la Chine l'exploite comme zero-day depuis la fin du mois d'août.

La vulnérabilité porte la référence CVE-2026-102764. Elle permet à des attaquants distants non privilégiés d'effectuer des opérations sur les fichiers des appliances non corrigées et touche RS 26.2.3 et les versions antérieures. L'éditeur a publié son alerte jeudi.

Remote Support est l'outil professionnel de BeyondTrust destiné aux centres de services informatiques, aux équipes de support technique et aux services clients, qui s'en servent pour dépanner des machines à distance.

SaaS corrigé, auto-hébergé à mettre à jour

BeyondTrust a corrigé le problème pour l'ensemble des clients SaaS de Remote Support et de Privileged Remote Access le 8 octobre. Les organisations qui utilisent une installation auto-hébergée doivent appliquer le correctif manuellement si elles n'ont pas activé les mises à jour automatiques.

L'éditeur a livré peu de détails techniques sur la faille. Il a en revanche indiqué qui se cache derrière les attaques. Mandiant et le Google Threat Intelligence Group (GTIG) suivent les attaquants sous le nom d'"Armory Castle", anciennement UNC5221. CrowdStrike désigne le même acteur sous le nom de "Warp Panda".

Du web shell aux droits root

Ce sont les chercheurs de Mandiant qui ont repéré les premières attaques. D'après leurs conclusions, Armory Castle a utilisé la faille pour obtenir un accès initial. Les attaquants ont ensuite obtenu les droits root sur les équipements compromis en activant des permissions Set User ID (SUID).

Avec ce niveau de contrôle, les attaquants ont déployé deux outils malveillants inédits : le web shell Sawfly et l'outil de tunnelisation Bareclaw. Ils ont effacé les journaux pour ne pas être détectés. Ils ont ensuite utilisé des identifiants Administrateur compromis pour ouvrir des sessions à distance sur les systèmes en aval et se déplacer latéralement dans le réseau de la victime.

"Après avoir pris pied grâce au web shell, l'acteur est passé du compte du service web à un contrôle de niveau root sur l'hôte de l'appliance. Cela lui a donné accès à tous les identifiants que l'appliance stockait ou relayait, ainsi que la possibilité de modifier des fichiers qui survivent à un redémarrage et à une réinitialisation de la configuration", a indiqué Mandiant.

Le conseil de Mandiant est sans détour : "Toute appliance accessible depuis Internet avec une version vulnérable pendant la période d'exploitation doit être considérée comme potentiellement compromise jusqu'à ce qu'elle ait été examinée."

Shadowserver, une organisation à but non lucratif qui surveille les menaces sur Internet, recense plus de 1 400 instances BeyondTrust Remote Support exposées en ligne. Elle ne précise pas combien ont déjà été corrigées ni combien sont des honeypots.

Un acteur bien connu en bordure de réseau

Armory Castle n'en est pas à son coup d'essai. Depuis au moins octobre 2023, le groupe exploite des zero-days dans des équipements de bordure de réseau pour s'introduire dans les réseaux d'entreprise et y installer des logiciels malveillants sur mesure. Parmi ses cibles passées figurent Citrix NetScaler (CVE-2023-4966) et Ivanti Connect Secure (CVE-2023-46805 et CVE-2024-21887, puis CVE-2025-0282).

En janvier 2024, Volexity a rapporté qu'UNC5221 avait installé une porte dérobée sur plus de 2 100 appliances Ivanti avec le webshell GiftedVisitor. Ces attaques enchaînaient CVE-2023-46805 et CVE-2024-21887.

Mandiant a averti que le scénario pourrait se répéter. "Lors de campagnes précédentes, ARMORY CASTLE a mené une exploitation massive et opportuniste après la divulgation publique de vulnérabilités qu'il avait exploitées de manière ciblée en tant que zero-days, afin d'infiltrer les organisations visées avant le déploiement des correctifs", a déclaré l'entreprise. "Il est possible que nous observions des tentatives d'exploitation massive similaires liées à CVE-2026-102764."

Une série de failles exploitées chez BeyondTrust

Ce n'est pas la première faille BeyondTrust exploitée dans la nature ces dernières années. Tout récemment, des attaquants ont utilisé une faille critique d'exécution de code à distance, CVE-2026-1731, dans les appliances Remote Support et Privileged Remote Access pour établir des canaux WebSocket et déployer un rançongiciel.

Auparavant, le groupe Silk Typhoon, soutenu par l'État chinois, aurait exploité deux zero-days, CVE-2024-12356 et CVE-2024-12686, pour s'introduire dans les propres systèmes de BeyondTrust. À l'aide d'une clé d'API volée, le groupe a compromis 17 instances SaaS de Remote Support, dont une appartenant au département du Trésor américain.

La même campagne visait également l'Office of Foreign Assets Control (OFAC), qui gère les programmes de sanctions américains, et le Committee on Foreign Investment in the United States (CFIUS), qui examine les investissements étrangers sous l'angle des risques pour la sécurité nationale.

BeyondTrust affirme compter plus de 20 000 clients dans le monde, dont des agences gouvernementales et 75 % des entreprises du Fortune 100.

Notre analyse

Les outils d'assistance à distance sont des cibles de choix, car ils sont conçus pour détenir des identifiants et accéder en profondeur aux réseaux. Cette affaire illustre précisément ce risque. Une fois les droits root obtenus sur l'appliance, Armory Castle avait accès, selon Mandiant, à tous les identifiants que l'équipement stockait ou relayait. Cela laisse penser qu'un correctif ne suffit pas pour quiconque a utilisé une version vulnérable exposée sur Internet depuis la fin août. Un examen de compromission, le renouvellement des identifiants et la vérification des journaux sur les systèmes en aval semblent constituer la réponse la plus prudente.

L'incident s'inscrit aussi dans une tendance plus large : des groupes liés à des États qui s'attaquent aux équipements de bordure. Ces dernières semaines ont vu des failles exploitées dans Ivanti Connect Secure, PAN-OS de Palo Alto Networks et la passerelle de messagerie de Cisco.

Deux points méritent d'être suivis. Le premier : l'avertissement de Mandiant sur une exploitation opportuniste plus large se vérifiera-t-il maintenant que la faille est publique ? Le second : à quelle vitesse le nombre d'environ 1 400 instances exposées recensées par Shadowserver va-t-il diminuer ?