Gli attaccanti hanno sfruttato una grave vulnerabilità di BeyondTrust Remote Support come zero-day, compromettendo sia un appliance ospitato dal fornitore sia un'installazione self-hosted. La falla, CVE-2026-102764, riguarda tutte le versioni di Remote Support fino alla 26.2.3 inclusa.
BeyondTrust, Mandiant e Google Threat Intelligence Group hanno collegato le intrusioni ad Armory Castle, noto anche come UNC5221 e Warp Panda. Descrivono il gruppo come un'organizzazione di spionaggio legata alla Cina e sostenuta da uno Stato, interessata alla raccolta di intelligence nel lungo periodo. Questa attribuzione è una valutazione dei ricercatori e non una caratteristica tecnica della vulnerabilità in sé.
La prima osservazione dello sfruttamento risale al 29 agosto, su un appliance ospitato da BeyondTrust e su un appliance self-hosted, secondo il resoconto di SecurityWeek sui risultati del fornitore.
Una falla nella validazione dei messaggi ha permesso operazioni sui file dell'appliance
CVE-2026-102764 è classificata come CWE-290, Authentication Bypass by Spoofing. La descrizione NVD afferma che i componenti interni di Remote Support non verificavano in modo adeguato da dove provenissero i messaggi ricevuti. In presenza delle condizioni necessarie, un attaccante poteva sfruttare questa debolezza per eseguire operazioni sui file dell'appliance.
SecurityWeek ha riportato un punteggio CVSS di 9,3, che colloca la vulnerabilità nella fascia di gravità critica. Il punteggio esprime il potenziale impatto tecnico; la prova che la falla è effettivamente sfruttata arriva separatamente, dalle intrusioni documentate.
I risultati della risposta agli incidenti di Mandiant, riportati da SecurityWeek e da The Record, mostrano conseguenze che vanno ben oltre il primo accesso all'appliance. Tra le attività osservate:
- Ottenimento del controllo a livello root sull'host dell'appliance.
- Raccolta di credenziali, incluse quelle memorizzate sull'appliance.
- Concessione all'account di servizio del sito di privilegi root senza password.
- Installazione di Sawfly, una webshell PHP leggera con command-and-control bidirezionale cifrato.
- Installazione di Bareclaw, un proxy SOCKS5 personalizzato che supporta traffico cifrato, concatenamento di proxy a monte e autenticazione.
- Cancellazione dei log di sistema, del web server e delle applicazioni.
- Uso di credenziali di amministratore compromesse per accedere all'applicazione Remote Support e ampliare i permessi di quell'account.
- Attacco a endpoint interni tramite l'appliance compromesso.
- Uso delle funzioni integrate di accesso e trasferimento file di Remote Support per raccogliere documenti sensibili, inclusi inventari software utili alla ricognizione di rete.
- Modifica dei file in modi che potrebbero sopravvivere a riavvii e ripristini della configurazione.
Anche i team di risposta hanno riportato escalation dei privilegi e movimento laterale nelle reti delle vittime. Questi risultati mostrano che la patch chiude il punto di accesso vulnerabile, ma da sola non dimostra che un appliance già esposto sia pulito.
Le versioni fino alla 26.2.3 richiedono un intervento
La correzione di BeyondTrust è distribuita come patch BT26-05-RS per le versioni di Remote Support dalla 24.3.1 alla 26.2.3.
L'azione richiesta dipende dalla release installata e dal modello di distribuzione:
| Distribuzione o versione | Azione richiesta |
|---|---|
| Remote Support 24.3.1–26.2.3 | Applicare BT26-05-RS |
| Release precedenti alla 24.3.1 | Aggiornare a una release più recente, quindi applicare la patch |
| Remote Support SaaS ospitato da BeyondTrust | BeyondTrust ha dichiarato che tutti i clienti risultavano patchati al 9 ottobre 2026 |
| Remote Support self-hosted senza aggiornamenti automatici | Applicare la correzione manualmente |
BeyondTrust ha dichiarato di aver realizzato una patch entro il 30 settembre, di averla poi testata e di aver affrontato ulteriori percorsi di sfruttamento prima di rilasciare la correzione l'8 ottobre.
La documentazione descrive due tappe precedenti. Secondo The Record, BeyondTrust è stata informata per la prima volta il 27 settembre, dopo che un attacco pubblico contro gli edge appliance di un altro fornitore aveva spinto a indagare su un problema simile. Secondo SecurityWeek, l'azienda ha individuato la falla in Remote Support il 28 settembre.
Gli appliance esposti a internet richiedono una verifica di compromissione
Mandiant ha consigliato alle organizzazioni di considerare potenzialmente compromessi gli appliance Remote Support vulnerabili e raggiungibili da internet, fino a quando non siano stati verificati.
Per i difensori, i comportamenti post-sfruttamento riportati offrono aree concrete da esaminare: modifiche impreviste ai permessi di amministratore, accesso root senza password per l'account di servizio del sito, file persistenti alterati, log mancanti, uso non spiegato delle funzioni native di trasferimento file e tracce di Sawfly o Bareclaw. Poiché l'attore avrebbe raccolto credenziali memorizzate, le organizzazioni coinvolte dovrebbero anche considerare possibili esposizioni delle credenziali e accessi successivi oltre l'appliance.
La cancellazione osservata di più tipi di log potrebbe limitare le prove presenti sull'appliance. La verifica dovrebbe quindi includere la telemetria pertinente di identità, endpoint e rete, invece di basarsi solo sull'host di Remote Support.
Armory Castle ha preso di mira ripetutamente prodotti edge
GTIG e Mandiant tracciano l'attività di Armory Castle dall'ottobre 2023. In passato il gruppo è stato collegato allo sfruttamento di Citrix NetScaler CVE-2023-4966, di falle Ivanti CVE-2023-46805, CVE-2024-21887 e CVE-2025-0282, e di Dell RecoverPoint for Virtual Machines CVE-2026-22769.
Tutte e cinque sono elencate nel catalogo delle vulnerabilità sfruttate note di CISA. Anche la falla Citrix e tre falle Ivanti risultano usate in campagne ransomware, anche se ciò non significa che l'attività su BeyondTrust descritta qui abbia coinvolto ransomware.
CISA ha aggiunto CVE-2023-4966 il 18 ottobre 2023, con scadenza per la correzione l'8 novembre 2023; CVE-2023-46805 e CVE-2024-21887 il 10 gennaio 2024, entrambe con scadenza il 22 gennaio 2024; CVE-2025-0282 l'8 gennaio 2025, con scadenza il 15 gennaio 2025; e CVE-2026-22769 il 18 febbraio 2026, con scadenza il 21 febbraio 2026. Queste scadenze si applicano alle agenzie federali statunitensi interessate, non a tutte le organizzazioni.
GTIG ritiene che Armory Castle abbia in passato usato zero-day in modo selettivo, estendendo lo sfruttamento dopo la divulgazione pubblica. Il gruppo ha affermato che sono possibili tentativi più ampi contro CVE-2026-102764: si tratta di una previsione, non di una prova che un'attività così diffusa sia già avvenuta. Gli operatori self-hosted dovrebbero applicare prontamente BT26-05-RS e verificare eventuali appliance vulnerabili esposti a internet per individuare compromissioni.
