Los atacantes explotaron como zero-day una vulnerabilidad crítica de BeyondTrust Remote Support, comprometiendo tanto un dispositivo alojado por el proveedor como una implementación autoalojada. El fallo, CVE-2026-102764, afecta a todas las versiones de Remote Support hasta la 26.2.3 inclusive.
BeyondTrust, Mandiant y Google Threat Intelligence Group vincularon las intrusiones con Armory Castle, también identificado como UNC5221 y Warp Panda. Describen al actor como un grupo de espionaje patrocinado por el Estado y vinculado a China, interesado en la recopilación de inteligencia a largo plazo. Esa atribución es una evaluación de los investigadores y no una propiedad técnica de la vulnerabilidad en sí.
La explotación se observó por primera vez el 29 de agosto contra un dispositivo alojado por BeyondTrust y otro autoalojado, según el relato de SecurityWeek sobre las conclusiones del proveedor.
Un fallo en la validación de mensajes permitió operaciones de archivos en los dispositivos
CVE-2026-102764 está clasificada como CWE-290, Authentication Bypass by Spoofing (elusión de autenticación por suplantación). La descripción de la NVD indica que los componentes internos de Remote Support no verificaban adecuadamente el origen de los mensajes recibidos. En las condiciones necesarias, un atacante podría aprovechar esa debilidad para realizar operaciones de archivos en el dispositivo.
SecurityWeek informó de una puntuación CVSS de 9,3, que sitúa la vulnerabilidad en el rango de gravedad crítica. Esa puntuación expresa el impacto técnico potencial; la evidencia de que este fallo se está explotando procede por separado de las intrusiones documentadas.
Los hallazgos de respuesta a incidentes de Mandiant, según los informes de SecurityWeek y The Record, muestran consecuencias que van mucho más allá del acceso inicial al dispositivo. La actividad observada incluyó:
- Obtención del control con privilegios de root sobre el host del dispositivo.
- Robo de credenciales, incluidas las almacenadas en el dispositivo.
- Concesión a la cuenta de servicio del sitio de privilegios de root sin contraseña.
- Despliegue de Sawfly, una webshell PHP ligera con comando y control bidireccional cifrado.
- Instalación de Bareclaw, un proxy SOCKS5 personalizado que admite tráfico cifrado, encadenamiento de proxies ascendentes y autenticación.
- Eliminación de registros del sistema, del servidor web y de la aplicación.
- Uso de credenciales de administrador comprometidas para acceder a la aplicación Remote Support y ampliar los permisos de esa cuenta.
- Ataque a endpoints internos a través del dispositivo comprometido.
- Uso de las funciones integradas de acceso y transferencia de archivos de Remote Support para recopilar documentos sensibles, incluidos inventarios de software útiles para el reconocimiento de la red.
- Modificación de archivos de forma que podrían sobrevivir a reinicios y restablecimientos de configuración.
Los equipos de respuesta también informaron de escalada de privilegios y de movimiento lateral dentro de las redes de las víctimas. Estos hallazgos demuestran que parchear cierra el punto de entrada vulnerable, pero por sí solo no demuestra que un dispositivo ya expuesto esté limpio.
Las versiones hasta la 26.2.3 requieren acción
La corrección de BeyondTrust se distribuye como el parche BT26-05-RS para las versiones de Remote Support 24.3.1 a 26.2.3.
La acción necesaria depende de la versión instalada y del modelo de despliegue:
| Despliegue o versión | Acción requerida |
|---|---|
| Remote Support 24.3.1–26.2.3 | Aplicar BT26-05-RS |
| Versiones anteriores a 24.3.1 | Actualizar a una versión más reciente y, después, aplicar el parche |
| SaaS de Remote Support alojado por BeyondTrust | BeyondTrust indicó que todos los clientes estaban parcheados a fecha del 9 de octubre de 2026 |
| Remote Support autoalojado sin actualizaciones automáticas | Aplicar la corrección manualmente |
BeyondTrust afirmó que había desarrollado un parche para el 30 de septiembre, que después lo probó y abordó vías de explotación adicionales, y que publicó la corrección el 8 de octubre.
Los informes describen dos hitos previos: The Record indica que BeyondTrust recibió la primera notificación el 27 de septiembre, tras un ataque público contra dispositivos de borde de otro proveedor que motivó una investigación sobre un problema similar. SecurityWeek indica que la empresa identificó el fallo de Remote Support el 28 de septiembre.
Los dispositivos expuestos a Internet necesitan una revisión de compromiso
Mandiant aconsejó a las organizaciones tratar los dispositivos Remote Support vulnerables y accesibles desde Internet como potencialmente comprometidos hasta que hayan sido revisados.
Para los equipos defensores, el comportamiento posterior a la explotación descrito ofrece áreas concretas de investigación: cambios inesperados en los permisos de administrador, acceso root sin contraseña para la cuenta de servicio del sitio, archivos persistentes alterados, registros ausentes, uso no explicado de las funciones nativas de transferencia de archivos y indicios de Sawfly o Bareclaw. Dado que el actor habría recopilado credenciales almacenadas, las organizaciones afectadas también deberían considerar la posible exposición de credenciales y los accesos posteriores más allá del dispositivo.
La eliminación observada de varios tipos de registros puede limitar la evidencia disponible en el propio dispositivo. Por ello, la revisión debería incluir la telemetría pertinente de identidad, endpoints y red, y no basarse únicamente en el host de Remote Support.
Armory Castle ha atacado repetidamente productos de borde
GTIG y Mandiant siguen la actividad de Armory Castle desde octubre de 2023. El grupo ya se había relacionado con la explotación de Citrix NetScaler CVE-2023-4966, de los fallos de Ivanti CVE-2023-46805, CVE-2024-21887 y CVE-2025-0282, y de Dell RecoverPoint for Virtual Machines CVE-2026-22769.
Las cinco figuran en el catálogo de vulnerabilidades explotadas conocidas de CISA. Los fallos de Citrix y tres de Ivanti también constan como usados en campañas de ransomware, aunque eso no significa que la actividad de BeyondTrust descrita aquí implicara ransomware.
CISA añadió CVE-2023-4966 el 18 de octubre de 2023, con fecha límite de remediación el 8 de noviembre de 2023; CVE-2023-46805 y CVE-2024-21887 el 10 de enero de 2024, ambas con vencimiento el 22 de enero de 2024; CVE-2025-0282 el 8 de enero de 2025, con vencimiento el 15 de enero de 2025; y CVE-2026-22769 el 18 de febrero de 2026, con vencimiento el 21 de febrero de 2026. Esos plazos se aplican a las agencias federales estadounidenses incluidas en el alcance, no a todas las organizaciones.
GTIG evaluó que Armory Castle ha usado previamente zero-days de forma selectiva antes de ampliar la explotación tras la divulgación pública. Afirmó que son posibles intentos más amplios contra CVE-2026-102764, una previsión y no una prueba de que esa actividad generalizada ya haya ocurrido. Las organizaciones que operan versiones autoalojadas deberían aplicar BT26-05-RS con prontitud e investigar cualquier dispositivo vulnerable expuesto a Internet por si estuviera comprometido.
