Una vulnerabilidad crítica en BeyondTrust Remote Support fue explotada el 29 de agosto de 2026, casi siete semanas antes de su divulgación pública el 15 de octubre. El fallo se identifica como CVE-2026-102764 y tiene una puntuación de gravedad de 9,3 en CVSS 4.0.
Remote Support permite a los equipos informáticos conectarse a distancia a otros dispositivos para prestar asistencia. Por eso, comprometer uno de sus servidores puede abrir el camino hacia credenciales y sistemas adicionales dentro de una organización.
Qué se sabe de los incidentes
Según la cronología publicada por BeyondTrust, los atacantes aprovecharon la vulnerabilidad, entonces desconocida, contra dos instalaciones de Remote Support: una alojada por BeyondTrust y otra administrada directamente por un cliente.
La compañía encontró indicios del ataque a su instalación alojada el 28 de septiembre y lo contuvo en los 27 minutos posteriores a la detección. Mandiant investigó el incidente del cliente con infraestructura propia. Al publicar su informe, BeyondTrust señaló que solo conocía esos dos clientes afectados y que no había observado actividad del atacante posterior a agosto.
Google Threat Intelligence Group y Mandiant atribuyen la operación a ARMORY CASTLE, antes identificada como UNC5221. Consideran que podría tratarse de un grupo de espionaje vinculado a China. Es una atribución de los investigadores, no una identidad demostrada públicamente.
Cómo funciona el fallo
El aviso de seguridad BT26-05 explica que un componente interno de Remote Support no verificaba adecuadamente el origen de los mensajes recibidos. En determinadas condiciones, un atacante remoto sin autenticación podía realizar operaciones con archivos en el servidor afectado.
En los incidentes investigados, los atacantes aprovecharon el acceso para introducir archivos maliciosos, elevar sus privilegios y mantener el control. Mandiant identificó una puerta de acceso denominada SAWFLY y una herramienta de túnel llamada BARECLAW. También observó intentos de obtener credenciales almacenadas y la eliminación de registros para ocultar la actividad.
El problema no se limita al servidor comprometido: una instalación de soporte remoto puede facilitar conexiones a muchos otros equipos de la misma organización.
Qué instalaciones deben actualizarse
La vulnerabilidad afecta a las versiones compatibles de Remote Support hasta la 26.2.3 incluida. BeyondTrust publicó el parche BT26-05 el 8 de octubre y afirma que el 9 de octubre ya se había aplicado a todos los clientes de Remote Support en modalidad SaaS.
Las organizaciones que gestionan sus propias instalaciones deben confirmar que el parche esté instalado. Si no tienen activadas las actualizaciones automáticas, deben aplicarlo manualmente. Las versiones anteriores a la 24.3.1 requieren primero una actualización a una versión compatible.
BeyondTrust también publicó un parche preventivo para Privileged Remote Access porque comparte parte del código afectado. La empresa afirma que sus pruebas no han encontrado una forma de explotar esta vulnerabilidad en ese otro producto.
Actualizar no borra una intrusión anterior
Instalar el parche evita nuevos ataques mediante este fallo, pero no revierte una posible intrusión previa. Google y Mandiant recomiendan revisar las instalaciones vulnerables que estuvieron expuestas a internet durante el periodo de riesgo. Los registros guardados fuera del servidor son especialmente valiosos porque los atacantes borraron parte de los registros locales.
Si existen indicios de compromiso, conviene revisar los cambios de permisos, las sesiones de soporte y las credenciales almacenadas. Las claves deben renovarse después de actualizar o reconstruir la instalación: cambiarlas mientras el atacante conserva el control podría exponer también las nuevas.
Los investigadores advierten de que la divulgación pública podría dar lugar a intentos de explotación más amplios. Por ahora se trata de una previsión basada en el comportamiento anterior del grupo, no de una confirmación de ataques masivos.