BeyondTrust Remote Support: un fallo de día cero explotado desde agosto

Un grupo de espionaje presuntamente vinculado a China explotó un fallo desconocido de BeyondTrust Remote Support desde el 29 de agosto de 2026. Así lo revelaron BeyondTrust y los equipos de seguridad de Google el 15 y el 16 de octubre. Remote Support es la herramienta que usan los servicios de soporte informático para tomar el control de los ordenadores de los empleados. Por eso, un servidor hackeado puede llegar a muchas máquinas. El fallo se identifica como CVE-2026-102764 y tiene una puntuación de 9,3 sobre 10. Los clientes en la nube ya tienen el parche, pero los servidores autoalojados necesitan una actualización manual.

BeyondTrust, antes conocida como Bomgar, afirma tener más de 20.000 clientes, informa BleepingComputer. El grupo de escaneo de internet Shadowserver contabiliza más de 1.400 servidores de Remote Support expuestos en línea.

Qué hace el fallo

El error está en un componente interno de mensajería de Remote Support. “Los componentes no validaban adecuadamente el origen de los mensajes que recibían”, dijo BeyondTrust, según cita The Hacker News. En la práctica, un atacante que no ha iniciado sesión puede subir y modificar archivos en el dispositivo. BleepingComputer lo describe como una omisión de la autenticación. Es decir, el atacante se salta por completo el paso de inicio de sesión.

BeyondTrust detectó el ataque por primera vez el 29 de agosto, contra un dispositivo autoalojado. La empresa empezó a buscar después de que se informara públicamente, el 27 de septiembre, de que los dispositivos de otro proveedor de seguridad habían sido explotados, según The Hacker News. La empresa dijo que el atacante “usa un día cero de forma selectiva contra objetivos elegidos”.

Quién está detrás y qué hicieron

Google Threat Intelligence Group y Mandiant atribuyen los ataques a un grupo al que llaman ARMORY CASTLE. Google lo describe como un presunto actor de espionaje vinculado a China, activo desde octubre de 2023 y antes rastreado como UNC5221. CrowdStrike llama al mismo grupo Warp Panda, según BleepingComputer.

El informe de Google enumera los pasos que dieron los atacantes una vez dentro:

• Una web shell. Unos 11 minutos después de la primera solicitud, instalaron SAWFLY, un pequeño programa que les permite ejecutar comandos a través de la web.
• Acceso root. Crearon una copia especial del shell del sistema que se ejecuta con plenos derechos de administrador.
• Secretos robados. Extrajeron credenciales del almacén de contraseñas integrado en el dispositivo.
• Un túnel oculto. Instalaron BARECLAW, un proxy en el puerto 19800, y cambiaron la configuración del servidor web para que fuera accesible desde internet.
• Persistencia y limpieza. Un script de arranque les dio un inicio de sesión de administrador sin contraseña, y borraron registros durante todo el proceso.

Google advierte que podrían llegar más ataques. “Las organizaciones deben prepararse para una posible explotación generalizada tras esta divulgación”, dice el informe.

Qué versiones necesitan el parche

Implementación	Estado	Qué hacer
Remote Support en la nube (SaaS)	Parcheado por BeyondTrust	Nada que instalar
Autoalojado 24.3.1 a 26.2.3	Vulnerable	Aplicar el parche BT26-05-RS
Autoalojado anterior a 24.3.1	Vulnerable	Actualizar primero y luego aplicar el parche
Privileged Remote Access	Sin forma conocida de explotarlo, según BeyondTrust	Las instancias en la nube también se parchearon

Las fuentes no coinciden en cuándo se corrigió a los clientes en la nube. BleepingComputer dice que el 8 de octubre, mientras que The Hacker News y Google dicen que el 9 de octubre.

La Agencia de Ciberseguridad y Seguridad de Infraestructuras de EE. UU. (CISA) añadió el fallo a su lista de vulnerabilidades explotadas conocidas el 16 de octubre. Las agencias civiles federales deben corregirlo a más tardar el 19 de octubre, informa The Hacker News.

Qué significa esto para los desarrolladores

Si su empresa gestiona su propio servidor de Remote Support, trátelo como una emergencia, no como una actualización rutinaria. Es posible que las actualizaciones automáticas estén desactivadas, y BleepingComputer señala que esos servidores necesitan que el parche se aplique a mano.

Parchear no basta por sí solo. Mandiant afirma que un dispositivo expuesto “debe tratarse como potencialmente comprometido hasta que se haya revisado”. Eso significa:

1. Instale BT26-05-RS hoy mismo, tras actualizar a la versión 24.3.1 o posterior si hace falta.
2. Busque las herramientas del atacante. El informe de Google publica los hashes de los archivos de la web shell y describe el túnel BARECLAW en el puerto 19800. Revise la configuración del servidor web en busca de rutas que usted no haya añadido.
3. Cambie todos los secretos que guardaba el dispositivo. Los atacantes leyeron su almacén de credenciales, así que cualquier contraseña o clave guardada allí debe cambiarse.
4. Compruebe dónde funcionan esas credenciales. Una herramienta de soporte llega a muchas máquinas. Por eso, busque inicios de sesión desde el dispositivo hacia otros sistemas desde finales de agosto.

El ataque llega después de los fallos de día cero encadenados de Ivanti Connect Secure a principios de esta semana. Las herramientas de acceso remoto están en el borde de la red y tienen amplios poderes, lo que las convierte en un objetivo favorito. Si puede poner la suya detrás de una VPN o de una lista de direcciones permitidas, hágalo ahora.