BeyondTrust Remote Support: uma vulnerabilidade zero-day explorada desde agosto permite tomar o controlo do equipamento sem conta

A BeyondTrust corrigiu a CVE-2026-102764, uma falha crítica do Remote Support que permite a um atacante sem conta realizar operações com ficheiros no equipamento. Segundo a Google e a Mandiant, um grupo de espionagem suspeito de ligações à China explora-a desde o fim de agosto para roubar as credenciais guardadas; a CISA deu às agências dos EUA até 19 de outubro.

O que aconteceu

A BeyondTrust corrigiu a CVE-2026-102764, uma falha em componentes de mensagens internas do Remote Support, a ferramenta de assistência remota antes vendida como Bomgar. Estes componentes não verificavam corretamente a origem das mensagens recebidas, o que permite a um atacante sem conta realizar operações com ficheiros no equipamento. O NIST atribui-lhe 9,8 (CVSS 3.1) e a BeyondTrust 9,3 em CVSS 4.0. Segundo o Google Threat Intelligence Group e a Mandiant, um grupo de espionagem suspeito de ligações à China, a que chamam ARMORY CASTLE (antes UNC5221), explora-a como zero-day desde o fim de agosto de 2026. A CISA incluiu-a a 16 de outubro no catálogo de vulnerabilidades exploradas, com prazo até 19 de outubro para as agências federais.

Como atuaram os atacantes

A Mandiant descreve uma web shell instalada no equipamento, um túnel SOCKS sobre WebSocket exposto através de uma configuração HAProxy alterada, uma shell root e um script de arranque que sobrevive a reinícios e a reposições da configuração. Em seguida, os atacantes extraíram todos os segredos guardados no cofre do Remote Support (palavras-passe, chaves de API), aumentaram os privilégios de um administrador comprometido, usaram as sessões de suporte para chegar a máquinas internas e apagaram registos.

O que fazer agora

1. Equipamentos alojados internamente: todas as versões até à 26.2.3 são afetadas. A partir da 24.3.1, instale o patch BT26-05-RS a partir da interface /appliance; as versões mais antigas devem primeiro passar para uma versão suportada.
2. Clientes SaaS: a BeyondTrust corrigiu as instâncias na nuvem a 9 de outubro, mas o período de exposição justifica na mesma as verificações seguintes.
3. Restrinja o acesso a /login e /appliance a endereços conhecidos ou coloque-os atrás de uma VPN.
4. Procure vestígios: alterações de função em Jump Items ou equipas, novas contas de API ou fornecedores de segurança, transferências de ficheiros invulgares, caminhos .php desconhecidos, falhas no syslog reencaminhado; compare com os indicadores publicados pela Google.
5. Renove os segredos depois do patch: contas do equipamento e dos administradores, segredos de API, chaves SAML e, por fim, todas as credenciais guardadas no cofre.

A nossa opinião

Um equipamento de assistência remota guarda as chaves de todas as máquinas a que chega: tomá-lo vale mais do que qualquer servidor isolado. Deve ser corrigido em poucas horas, afastado da internet sempre que possível, e os seus registos enviados para outro sistema, para que um intruso não os consiga apagar.

Fontes

• CISA — Known Exploited Vulnerabilities Catalog: CVE-2026-102764
• NIST NVD — CVE-2026-102764
• Google Threat Intelligence Group — ARMORY CASTLE exploits BeyondTrust CVE-2026-102764
• The Record — China-linked hackers exploited BeyondTrust zero-day

Como escolhemos, verificamos e escrevemos nossas análises →