Des attaquants ont exploité en tant que zero-day une vulnérabilité critique de BeyondTrust Remote Support, et compromis à la fois une appliance hébergée par le fournisseur et un déploiement auto-hébergé. La faille, CVE-2026-102764, touche toutes les versions de Remote Support jusqu'à 26.2.3 incluse.
BeyondTrust, Mandiant et Google Threat Intelligence Group ont relié ces intrusions à Armory Castle, également suivi sous les noms UNC5221 et Warp Panda. Ils décrivent l'acteur comme un groupe d'espionnage lié à la Chine et soutenu par un État, intéressé par la collecte de renseignements sur le long terme. Cette attribution relève de leur évaluation et ne découle pas d'une caractéristique technique de la vulnérabilité elle-même.
Selon le compte rendu de SecurityWeek sur les conclusions du fournisseur, la première exploitation a été observée le 29 août, contre une appliance hébergée par BeyondTrust et une appliance auto-hébergée.
Un défaut de validation des messages a permis des opérations sur les fichiers de l'appliance
CVE-2026-102764 est classée CWE-290, contournement d'authentification par usurpation. La description du NVD indique que les composants internes de Remote Support ne vérifiaient pas correctement l'origine des messages reçus. Dans les conditions nécessaires, un attaquant pouvait exploiter cette faiblesse pour effectuer des opérations sur les fichiers de l'appliance.
SecurityWeek fait état d'un score CVSS de 9,3, ce qui place la vulnérabilité dans la catégorie de criticité élevée. Ce score exprime un impact technique potentiel. La preuve que cette faille est exploitée provient, elle, des intrusions documentées.
Les conclusions de Mandiant sur la réponse aux incidents, telles que rapportées par SecurityWeek et The Record, montrent des conséquences qui vont bien au-delà de l'accès initial à l'appliance. L'activité observée comprenait :
- L'obtention du contrôle root sur le système hôte de l'appliance.
- La collecte d'identifiants, y compris ceux stockés sur l'appliance.
- L'attribution au compte de service du site de privilèges root sans mot de passe.
- Le déploiement de Sawfly, un webshell PHP léger doté d'un canal de commande et de contrôle chiffré dans les deux sens.
- L'installation de Bareclaw, un proxy SOCKS5 personnalisé qui prend en charge le trafic chiffré, le chaînage vers des proxys amont et l'authentification.
- La suppression des journaux système, des journaux du serveur web et des journaux applicatifs.
- L'utilisation de identifiants d'administrateur compromis pour accéder à l'application Remote Support et élargir les permissions de ce compte.
- Le ciblage de terminaux internes via l'appliance compromise.
- L'utilisation des fonctions intégrées d'accès et de transfert de fichiers de Remote Support pour collecter des documents sensibles, dont des inventaires logiciels utiles à la reconnaissance réseau.
- La modification de fichiers d'une manière susceptible de survivre aux redémarrages et aux réinitialisations de configuration.
Les intervenants ont également signalé une élévation de privilèges et des mouvements latéraux dans les réseaux des victimes. Ces constats montrent que le correctif ferme le point d'entrée vulnérable, mais ne suffit pas, à lui seul, à établir qu'une appliance déjà exposée est saine.
Les versions jusqu'à 26.2.3 doivent être corrigées
Le correctif de BeyondTrust est distribué sous la forme du patch BT26-05-RS, pour les versions de Remote Support 24.3.1 à 26.2.3.
L'action requise dépend de la version installée et du modèle de déploiement :
| Déploiement ou version | Action requise |
|---|---|
| Remote Support 24.3.1–26.2.3 | Appliquer BT26-05-RS |
| Versions antérieures à 24.3.1 | Passer à une version plus récente, puis appliquer le patch |
| Service SaaS Remote Support hébergé par BeyondTrust | BeyondTrust indique que tous les clients étaient corrigés au 9 octobre 2026 |
| Remote Support auto-hébergé sans mises à jour automatiques | Appliquer le correctif manuellement |
BeyondTrust indique avoir produit un correctif d'ici le 30 septembre, puis l'avoir testé et traité d'autres chemins d'exploitation avant de le publier le 8 octobre.
Les articles décrivent deux jalons antérieurs. Selon The Record, BeyondTrust a été informée pour la première fois le 27 septembre, après une attaque publique contre les appliances de périphérie d'un autre éditeur, qui a conduit à enquêter sur un problème similaire. Selon SecurityWeek, l'entreprise a identifié le défaut de Remote Support le 28 septembre.
Les appliances exposées sur Internet doivent faire l'objet d'un examen de compromission
Mandiant conseille aux organisations de considérer comme potentiellement compromises les appliances Remote Support vulnérables et accessibles depuis Internet, tant qu'elles n'ont pas été examinées.
Pour les équipes de défense, le comportement post-exploitation rapporté offre des pistes d'investigation concrètes : modifications inattendues des permissions d'administrateur, accès root sans mot de passe pour le compte de service du site, fichiers persistants altérés, journaux manquants, utilisation inexpliquée des fonctions natives de transfert de fichiers et traces de Sawfly ou de Bareclaw. Comme l'acteur aurait collecté des identifiants stockés, les organisations concernées doivent aussi évaluer une éventuelle exposition de ces identifiants et des accès ultérieurs au-delà de l'appliance.
La suppression observée de plusieurs types de journaux peut limiter les preuves disponibles sur l'appliance elle-même. L'examen doit donc porter sur la télémétrie pertinente des identités, des terminaux et du réseau, et non se limiter à l'hôte Remote Support.
Armory Castle cible à plusieurs reprises des produits de périphérie
Le GTIG et Mandiant suivent l'activité d'Armory Castle depuis octobre 2023. Le groupe a déjà été relié à l'exploitation de la faille Citrix NetScaler CVE-2023-4966, des failles Ivanti CVE-2023-46805, CVE-2024-21887 et CVE-2025-0282, et de Dell RecoverPoint for Virtual Machines CVE-2026-22769.
Les cinq failles figurent dans le catalogue des vulnérabilités connues et exploitées de la CISA. La faille Citrix et trois failles Ivanti sont également signalées comme utilisées dans des campagnes de rançongiciels, même si cela ne signifie pas que l'activité BeyondTrust décrite ici impliquait un rançongiciel.
La CISA a ajouté CVE-2023-4966 le 18 octobre 2023, avec une échéance de correction au 8 novembre 2023 ; CVE-2023-46805 et CVE-2024-21887 le 10 janvier 2024, toutes deux avec une échéance au 22 janvier 2024 ; CVE-2025-0282 le 8 janvier 2025, avec une échéance au 15 janvier 2025 ; et CVE-2026-22769 le 18 février 2026, avec une échéance au 21 février 2026. Ces échéances s'appliquent aux agences fédérales américaines concernées, et non à toutes les organisations.
Le GTIG estime qu'Armory Castle a auparavant utilisé des zero-days de façon sélective, avant d'étendre l'exploitation après leur divulgation publique. Il juge possibles des tentatives plus larges contre CVE-2026-102764 : il s'agit d'une prévision, et non d'une preuve que cette activité généralisée a déjà eu lieu. Les opérateurs auto-hébergés doivent appliquer rapidement BT26-05-RS et examiner toute appliance vulnérable exposée sur Internet à la recherche d'une compromission.
