BeyondTrust Remote Support: una vulnerabilità zero-day sfruttata da agosto consente di prendere il controllo dell’appliance senza account

BeyondTrust ha corretto CVE-2026-102764, una falla critica di Remote Support che consente a un attaccante senza account di eseguire operazioni sui file dell’appliance. Secondo Google e Mandiant, un gruppo di spionaggio sospettato di legami con la Cina la sfrutta da fine agosto per rubare le credenziali archiviate; la CISA ha dato alle agenzie USA tempo fino al 19 ottobre.

Cosa è successo

BeyondTrust ha corretto CVE-2026-102764, una falla nei componenti di messaggistica interna di Remote Support, lo strumento di assistenza remota un tempo venduto come Bomgar. Questi componenti non verificavano correttamente l’origine dei messaggi ricevuti, e ciò consente a un attaccante privo di account di eseguire operazioni sui file dell’appliance. Il NIST le assegna 9,8 (CVSS 3.1), BeyondTrust 9,3 in CVSS 4.0. Secondo Google Threat Intelligence Group e Mandiant, un gruppo di spionaggio sospettato di legami con la Cina, che chiamano ARMORY CASTLE (in precedenza UNC5221), la sfrutta come zero-day da fine agosto 2026. La CISA l’ha inserita il 16 ottobre nel catalogo delle vulnerabilità sfruttate, con scadenza al 19 ottobre per le agenzie federali.

Come hanno agito gli attaccanti

Mandiant descrive una web shell depositata sull’appliance, un tunnel SOCKS su WebSocket esposto tramite una configurazione HAProxy modificata, una shell root e uno script di avvio che resiste ai riavvii e ai ripristini della configurazione. Gli attaccanti hanno poi estratto tutti i segreti conservati nel vault di Remote Support (password, chiavi API), aumentato i privilegi di un amministratore compromesso, raggiunto macchine interne attraverso le sessioni di assistenza e cancellato i log.

Cosa fare ora

1. Appliance gestite in proprio: tutte le versioni fino alla 26.2.3 sono vulnerabili. Dalla 24.3.1, installate la patch BT26-05-RS dall’interfaccia /appliance; le versioni precedenti devono prima passare a una versione supportata.
2. Clienti SaaS: BeyondTrust ha corretto le istanze cloud il 9 ottobre, ma il periodo di esposizione giustifica comunque i controlli seguenti.
3. Limitate l’accesso a /login e /appliance a indirizzi noti o metteteli dietro una VPN.
4. Cercate tracce: cambi di ruolo su Jump Item o team, nuovi account API o security provider, trasferimenti di file insoliti, percorsi .php sconosciuti, buchi nel syslog inoltrato; confrontate con gli indicatori pubblicati da Google.
5. Rinnovate i segreti dopo la patch: account dell’appliance e degli amministratori, segreti API, chiavi SAML e infine tutte le credenziali conservate nel vault.

Il nostro parere

Un’appliance di assistenza remota custodisce le chiavi di tutte le macchine che raggiunge: comprometterla vale più di qualsiasi singolo server. Va aggiornata entro poche ore, sottratta il più possibile a Internet e i suoi log vanno inviati a un altro sistema, così che un intruso non possa cancellarli.

Fonti

• CISA — Known Exploited Vulnerabilities Catalog: CVE-2026-102764
• NIST NVD — CVE-2026-102764
• Google Threat Intelligence Group — ARMORY CASTLE exploits BeyondTrust CVE-2026-102764
• The Record — China-linked hackers exploited BeyondTrust zero-day

Come scegliamo, verifichiamo e scriviamo le nostre analisi →