BeyondTrust ha publicado un parche para CVE-2026-102764, una vulnerabilidad crítica de su producto Remote Support que ya fue explotada como día cero antes de hacerse pública. La compañía le asigna una puntuación CVSS v4 de 9,3 sobre 10. Google Threat Intelligence Group (GTIG) y Mandiant atribuyen la intrusión observada a ARMORY CASTLE, un actor de ciberespionaje presuntamente vinculado a China.
La alerta afecta principalmente a organizaciones que administran instancias autohospedadas de BeyondTrust Remote Support. Si la infraestructura está expuesta a Internet y todavía no tiene el parche BT26-05, la recomendación de la compañía es aplicarlo de inmediato. El aviso oficial señala que las versiones de Remote Support hasta la 26.2.3 están afectadas.
Qué permite hacer la vulnerabilidad
El fallo, clasificado como validación incorrecta del origen de mensajes en un componente interno, puede permitir operaciones de archivos en el dispositivo. El vector CVSS publicado por BeyondTrust no requiere autenticación ni interacción del usuario. Mandiant documentó que, tras explotar el fallo, el atacante desplegó una webshell, elevó privilegios y trató de acceder a las credenciales guardadas o gestionadas por el appliance.
La explotación se observó el 29 de agosto de 2026 en una instancia SaaS y en un appliance autohospedado. BeyondTrust publicó el parche el 8 de octubre y coordinó la divulgación pública el día 15. La firma afirma que sus clientes SaaS de Remote Support y Privileged Remote Access recibieron la actualización automáticamente. En el caso de Privileged Remote Access autohospedado, recomienda instalar también el parche por precaución: comparte código afectado, aunque BeyondTrust dice que sus pruebas no han confirmado una vía de explotación de PRA.
Quién debe actualizar y cómo
Los administradores de Remote Support autohospedado deben entrar en la interfaz del appliance y comprobar que está aplicado el parche BT26-05-RS. Se ofrece para las versiones 24.3.1 a 26.2.3; las instalaciones anteriores a la 24.3.1 primero tienen que actualizar a una versión compatible. Si el appliance usa actualizaciones automáticas, conviene verificar que el parche se instaló correctamente en lugar de darlo por hecho.
La corrección no elimina el riesgo de una intrusión previa. Mandiant recomienda tratar como potencialmente comprometido cualquier appliance vulnerable que estuviera accesible desde Internet durante la ventana de exposición hasta completar una revisión. Si hay indicios de acceso, la respuesta debe coordinarse con el equipo de seguridad y con BeyondTrust: preservar registros externos, aislar el equipo sospechoso y revisar sesiones, transferencias de archivos, cambios de permisos y cuentas privilegiadas. Si se confirma compromiso, las credenciales gestionadas por el sistema deben rotarse después de parchear o reconstruir el appliance, no antes.
Por qué la divulgación eleva la urgencia
GTIG advierte de que actores que han explotado fallos de borde de forma selectiva suelen ampliar sus intentos cuando la vulnerabilidad se hace pública. Eso no significa que exista una campaña masiva confirmada contra todos los clientes, pero sí que las organizaciones con equipos expuestos deberían priorizar la comprobación del parche y la búsqueda de actividad anómala. BeyondTrust también aconseja limitar el acceso a las interfaces administrativas y enviar los registros a un sistema externo: la investigación encontró borrado de logs locales durante la intrusión.
Para usuarios domésticos sin una instalación empresarial de BeyondTrust Remote Support, no hay una actualización de Windows que instalar por este aviso. La acción corresponde a los administradores de los productos afectados.
Fuentes oficiales
Imagen destacada: ilustración editorial generada por Bytecora; no es una fotografía ni material oficial de BeyondTrust.
