BeyondTrust Remote Support CVE-2026-102764: bypass dell'autenticazione sfruttato come zero-day da ARMORY CASTLE, patch urgente per i self-hosted

BeyondTrust ha reso noto il 15 ottobre 2026 che la CVE-2026-102764 di Remote Support, la sua piattaforma per l'assistenza remota, è stata sfruttata come zero-day il 29 agosto contro due clienti, gli unici finora noti al vendor: un'istanza SaaS ospitata da BeyondTrust e un'appliance installata in proprio. La vulnerabilità è un authentication bypass by spoofing con CVSS v4.0 pari a 9.3 (NVD le assegna 9.8 con il CVSS v3.1): alcuni componenti interni non verificano la provenienza dei messaggi che ricevono, e un attaccante remoto non autenticato può impersonare un'entità legittima ed eseguire operazioni sui file dell'appliance, fino al caricamento di file arbitrari descritto da Mandiant. La patch BT26-05-RS è uscita l'8 ottobre ed è stata applicata a tutte le istanze SaaS entro il 9 ottobre; le installazioni self-hosted che non ricevono gli aggiornamenti automatici vanno corrette a mano, e il vendor trattiene i dettagli tecnici finché non lo saranno. ACN ha pubblicato il proprio alert il 16 ottobre, aggiornandolo in giornata per il rilevato sfruttamento e classificandolo con impatto sistemico critico.

Lo sfruttamento è emerso per due strade: Mandiant (Google) lo ha trovato durante la risposta all'incidente sull'appliance self-hosted, mentre BeyondTrust ha individuato da sé, il 28 settembre, l'istanza SaaS violata sulla propria infrastruttura, con una ricerca partita da una segnalazione generica di Mandiant del giorno prima, e l'ha contenuta in 27 minuti. Mandiant attribuisce l'attacco ad ARMORY CASTLE, già tracciato come UNC5221, gruppo di spionaggio ritenuto legato alla Cina e noto per le zero-day di Ivanti Connect Secure sfruttate in massa nel 2024: ricordando quel precedente, Mandiant non esclude tentativi su larga scala ora che la falla è pubblica, anche se alla pubblicazione di questa notizia non risultano prove di concetto pubbliche. BeyondTrust concorda sull'attribuzione con fiducia da moderata ad alta. La CISA ha inserito la CVE nel catalogo KEV il 16 ottobre, con scadenza di remediation al 19 ottobre 2026 e triage forense obbligatorio per le agenzie federali statunitensi.

Sull'appliance self-hosted la catena ricostruita da Mandiant parte dalla webshell PHP SAWFLY, salvata come mangoapi.php circa undici minuti dopo le prime richieste, e prosegue con l'escalation a root tramite una copia SUID della shell di sistema, il tentativo di estrarre i segreti custoditi con lo strumento bt-secrets, una persistenza che sopravvive al riavvio e la cancellazione dei log. Poi l'attaccante entra nel portale di amministrazione con credenziali Administrator compromesse, alza ad Administrator i permessi di Jump Item e Team, apre sessioni remote verso endpoint interni ed esfiltra documenti, mentre il tunneler SOCKS5 BARECLAW, reso raggiungibile da internet modificando la configurazione di HAProxy, gli apre un canale verso la rete interna. BeyondTrust racconta che i propri sensori avevano segnalato l'escalation in tempo reale, ma il triage automatico della piattaforma di detection di terze parti ha chiuso gli alert come falsi positivi: il rilevamento aveva funzionato, lo ha vanificato l'automazione a valle.

Remote Support è lo strumento con cui service desk, MSP e fornitori di assistenza entrano nelle postazioni e nei server dei clienti, e l'appliance custodisce le credenziali privilegiate che inietta nelle sessioni: chi la controlla eredita l'accesso agli endpoint gestiti. Fra i bersagli documentati di ARMORY CASTLE ci sono proprio fornitori SaaS, società di outsourcing dei processi (BPO), servizi legali, aziende tecnologiche e governi, e non è la prima volta che il prodotto finisce nel mirino di attori legati alla Cina: si ritiene che Silk Typhoon abbia sfruttato le zero-day CVE-2024-12356 e CVE-2024-12686 per violare BeyondTrust, usando poi una chiave API rubata per accedere a 17 istanze SaaS di Remote Support, fra cui quella del Dipartimento del Tesoro USA. A doversene preoccupare è chi gestisce un'appliance Remote Support self-hosted alla 26.2.3 o precedenti, a maggior ragione se raggiungibile da internet dalla fine di agosto, e con lui gli enti pubblici e le aziende che hanno affidato l'assistenza a un fornitore che la usa: per Mandiant ogni appliance esposta in versione vulnerabile durante la finestra di sfruttamento va considerata potenzialmente compromessa. È il terzo strumento di gestione e assistenza remota sfruttato di cui scriviamo in poco più di un mese: N-able N-central era il tema di un nostro precedente alert del 9 settembre, ConnectWise ScreenConnect di un nostro precedente alert del 14 settembre. Chi entra dal canale dell'assistenza trova già aperte le porte dei clienti.

• Versioni affette: BeyondTrust Remote Support self-hosted, tutte le versioni fino alla 26.2.3 compresa senza la patch BT26-05-RS; per le versioni precedenti alla 24.3.1 la patch non viene rilasciata ed è necessario prima l'aggiornamento a una versione supportata. Le istanze SaaS sono state corrette dal vendor entro il 9 ottobre 2026. Privileged Remote Access condivide il codice vulnerabile: il vendor non ha trovato modo di sfruttare la falla su questo prodotto e ha comunque rilasciato la patch a scopo precauzionale.
• Azione raccomandata: applicare subito la patch BT26-05-RS alle installazioni self-hosted dalla 24.3.1 alla 26.2.3, portando prima a una versione supportata quelle più vecchie, e applicarla anche a Privileged Remote Access self-hosted; prima di patchare o riavviare preservare le evidenze (snapshot con memoria per le appliance virtuali, immagine forense tramite il supporto BeyondTrust per quelle fisiche, log di WAF, reverse proxy e firewall perimetrale), perché la patch chiude la falla e lascia intatta un'eventuale compromissione già avvenuta, e i log interni con le tracce dell'attacco stanno su una partizione cifrata; cercare gli indicatori e le regole YARA pubblicati da Mandiant per SAWFLY e BARECLAW, file di script sconosciuti nelle cartelle web, sessioni amministrative da reti residenziali o VPN commerciali, permessi di Jump Item e Team portati ad Administrator, nuovi utenti o account API e interruzioni nell'inoltro dei log; se la compromissione è confermata o incerta isolare l'appliance e ricostruirla da un'immagine pulita e aggiornata, poi, e solo dopo, ruotare tutte le credenziali custodite o iniettate dall'appliance, revocare le sessioni attive e verificare le nuove registrazioni MFA degli account privilegiati; sulle istanze SaaS, già corrette, Mandiant raccomanda comunque di ruotare le credenziali custodite e di rivedere utenti, ruoli dei Jump Item, account API e destinazioni syslog; limitare le interfacce amministrative a reti fidate e inoltrare syslog ed eventi di sessione al SIEM.

Fonti: ACN, BeyondTrust, Mandiant / Google, CISA, NVD, BleepingComputer