BeyondTrust Remote Support : une faille zero-day exploitée depuis août

Un groupe d'espionnage soupçonné d'être lié à la Chine a exploité une faille inconnue de BeyondTrust Remote Support à partir du 29 août 2026. BeyondTrust et les équipes de sécurité de Google l'ont révélé les 15 et 16 octobre. Remote Support est l'outil que les services d'assistance informatique utilisent pour prendre le contrôle des ordinateurs des employés. Un serveur piraté peut donc atteindre de nombreuses machines. La faille porte la référence CVE-2026-102764 et elle est notée 9,3 sur 10. Les clients cloud sont déjà corrigés, mais les serveurs auto-hébergés doivent être mis à jour manuellement.

BeyondTrust, anciennement connu sous le nom de Bomgar, affirme compter plus de 20 000 clients, rapporte BleepingComputer. L'organisation de scan d'Internet Shadowserver recense plus de 1 400 serveurs Remote Support exposés en ligne.

Ce que fait la faille

Le bug se trouve dans un composant de messagerie interne de Remote Support. « Les composants ne validaient pas correctement l'origine des messages qu'ils recevaient », a déclaré BeyondTrust, cité par The Hacker News. Concrètement, un attaquant non connecté peut téléverser et modifier des fichiers sur l'appliance. BleepingComputer la décrit comme un contournement de l'authentification. Autrement dit, l'attaquant saute complètement l'étape de connexion.

BeyondTrust a repéré l'attaque pour la première fois le 29 août, contre une appliance auto-hébergée. L'entreprise a commencé à chercher après que des appareils d'un autre fournisseur de sécurité ont été publiquement signalés comme exploités le 27 septembre, selon The Hacker News. L'entreprise a indiqué que l'attaquant « utilise une faille zero-day de manière sélective contre des cibles choisies ».

Qui est derrière et ce que les attaquants ont fait

Google Threat Intelligence Group et Mandiant attribuent les attaques à un groupe qu'ils appellent ARMORY CASTLE. Google le qualifie d'acteur d'espionnage soupçonné d'être lié à la Chine, actif depuis octobre 2023 et anciennement suivi sous le nom UNC5221. CrowdStrike appelle ce même groupe Warp Panda, selon BleepingComputer.

Le rapport de Google énumère les étapes suivies par les attaquants une fois à l'intérieur :

• Un web shell. Environ 11 minutes après la première requête, ils ont installé SAWFLY, un petit programme qui leur permet d'exécuter des commandes via le web.
• Un accès root. Ils ont créé une copie spéciale du shell système, qui s'exécute avec tous les droits d'administrateur.
• Des secrets volés. Ils ont extrait des identifiants du coffre-fort de mots de passe intégré à l'appliance.
• Un tunnel caché. Ils ont installé BARECLAW, un proxy sur le port 19800, et modifié les réglages du serveur web pour le rendre accessible depuis Internet.
• Persistance et nettoyage. Un script de démarrage leur a donné une connexion administrateur sans mot de passe, et ils ont supprimé des journaux tout au long de l'opération.

Google prévient que d'autres attaques pourraient suivre. « Les organisations doivent se préparer à une possible exploitation à grande échelle après cette divulgation », indique le rapport.

Quelles versions doivent être corrigées

Déploiement	État	Que faire
Remote Support cloud (SaaS)	Corrigé par BeyondTrust	Rien à installer
Auto-hébergé 24.3.1 à 26.2.3	Vulnérable	Appliquer le correctif BT26-05-RS
Auto-hébergé antérieur à 24.3.1	Vulnérable	Mettre à niveau d'abord, puis appliquer le correctif
Privileged Remote Access	Aucun moyen connu de l'exploiter, selon BeyondTrust	Les instances cloud ont aussi été corrigées

Les sources divergent sur la date à laquelle les clients cloud ont été corrigés. BleepingComputer indique le 8 octobre, tandis que The Hacker News et Google indiquent le 9 octobre.

L'agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a ajouté la faille à sa liste des vulnérabilités exploitées connues le 16 octobre. Les agences civiles fédérales doivent la corriger d'ici le 19 octobre, rapporte The Hacker News.

Ce que cela signifie pour les développeurs

Si votre entreprise exploite son propre serveur Remote Support, traitez ceci comme une urgence, pas comme une mise à jour de routine. Les mises à jour automatiques sont peut-être désactivées, et BleepingComputer note que ces serveurs doivent recevoir le correctif à la main.

Corriger ne suffit pas. Selon Mandiant, une appliance exposée « doit être considérée comme potentiellement compromise jusqu'à ce qu'elle ait été examinée ». Concrètement :

1. Installez BT26-05-RS aujourd'hui, après être passé à la version 24.3.1 ou ultérieure si nécessaire.
2. Cherchez les outils de l'attaquant. Le rapport de Google publie les empreintes (hashes) des fichiers du web shell et décrit le tunnel BARECLAW sur le port 19800. Vérifiez les réglages du serveur web pour repérer des routes que vous n'avez pas ajoutées.
3. Changez tous les secrets que l'appliance contenait. Les attaquants ont lu son coffre-fort d'identifiants, donc tout mot de passe ou toute clé qui y était stocké doit être changé.
4. Vérifiez où ces identifiants fonctionnent. Un outil d'assistance atteint de nombreuses machines. Recherchez donc les connexions de l'appliance vers d'autres systèmes depuis fin août.

L'attaque fait suite aux failles zero-day enchaînées d'Ivanti Connect Secure plus tôt cette semaine. Les outils d'accès à distance se trouvent en bordure du réseau avec des pouvoirs étendus, ce qui en fait une cible de choix. Si le vôtre peut être placé derrière un VPN ou une liste d'adresses autorisées, faites-le maintenant.