BeyondTrust Remote Support : un zero-day exploité

Les administrateurs d'appliances BeyondTrust Remote Support auto-hébergées doivent appliquer un correctif sans attendre. La faille CVE-2026-102764, un contournement d'authentification jugé critique, est activement exploitée. BeyondTrust a publié son bulletin BT26-05 le 15 octobre 2026 et l'agence américaine CISA a ajouté la vulnérabilité à son catalogue des failles exploitées (KEV) dès le lendemain, avec une échéance de correction fixée au 19 octobre pour les agences fédérales.

Une faille de validation d'origine

Selon l'enregistrement CVE, la vulnérabilité relève de la catégorie CWE-290 (contournement d'authentification par usurpation) et obtient un score CVSS 4.0 de 9,3. Elle tient à une validation insuffisante de l'origine des messages dans un composant interne de messagerie de l'appliance : un attaquant non authentifié peut envoyer des messages falsifiés et réaliser des opérations arbitraires sur les fichiers.

La CISA vise les versions 26.2.3 et antérieures de Remote Support (ex-Bomgar). Le bulletin de BeyondTrust évoque, lui, les versions antérieures à 26.2.3 : dans le doute, toute instance en 26.2.3 ou en deçà doit être considérée comme exposée.

Exploitée depuis la fin août

D'après la chronologie de BeyondTrust, l'exploitation a commencé le 29 août 2026, soit plus d'un mois et demi avant la publication du correctif. L'éditeur attribue la campagne, avec un niveau de confiance modéré à élevé, à un acteur d'espionnage lié à la Chine que Mandiant suit sous le nom d'ARMORY CASTLE, anciennement UNC5221. La CISA indique que les attaquants s'en servent comme point d'entrée avant d'établir une persistance, d'élever leurs privilèges et de se déplacer latéralement.

Le schéma rappelle d'autres campagnes récentes contre des équipements exposés en bordure de réseau, comme le zero-day d'Ivanti Connect Secure ou les failles de Citrix NetScaler. Un outil d'assistance à distance est une cible de choix : il stocke des identifiants et ouvre des sessions privilégiées sur les postes des clients.

Le correctif et ses conditions

Le correctif BT26-05-RS couvre les versions 24.3.1 à 26.2.3. Les appliances plus anciennes doivent d'abord être mises à niveau vers une version prise en charge avant de pouvoir l'appliquer. Les clients de l'offre SaaS hébergée par BeyondTrust n'ont rien à faire : l'éditeur indique les avoir corrigés au 9 octobre.

Privileged Remote Access (PRA), l'autre produit d'accès distant de l'éditeur, partage le code concerné. BeyondTrust dit ne pas avoir trouvé de moyen de l'exploiter dans PRA, mais publie tout de même un correctif et recommande aux clients auto-hébergés de l'installer immédiatement.

Que faire en cas de doute

Corriger ne suffit pas si un attaquant est déjà entré. La CISA recommande de limiter l'exposition externe aux seuls services nécessaires et de réserver les interfaces d'administration à des réseaux de confiance. En cas de compromission suspectée, l'agence conseille de :

• isoler l'appliance, en faire une image et transférer ses journaux vers le SIEM ;
• rechercher des sessions administrateur inconnues, des scripts inhabituels, des trous dans les journaux et des modifications de comptes ou de politiques de session ;
• reconstruire l'appliance à partir d'un état sain avant d'appliquer le correctif ;
• renouveler tous les identifiants stockés ou injectés par l'appliance, révoquer les sessions de support actives et vérifier les nouvelles inscriptions MFA sur les comptes privilégiés.

Ce dernier point est le plus lourd, mais aussi le plus important : une appliance d'assistance compromise donne potentiellement accès à l'ensemble des machines qu'elle sert à dépanner.