BeyondTrust Remote Support: falha zero-day é explorada desde agosto

Um grupo de espionagem suspeito de ligação com a China explorou uma falha desconhecida do BeyondTrust Remote Support a partir de 29 de agosto de 2026. A BeyondTrust e as equipes de segurança do Google revelaram o caso em 15 e 16 de outubro. O Remote Support é a ferramenta que as equipes de suporte de TI usam para assumir o controle dos computadores dos funcionários. Por isso, um servidor invadido pode alcançar muitas máquinas. A falha é rastreada como CVE-2026-102764 e tem nota 9,3 de 10. Os clientes na nuvem já receberam a correção, mas os servidores auto-hospedados precisam de uma atualização manual.

A BeyondTrust, antes conhecida como Bomgar, diz ter mais de 20.000 clientes, informa o BleepingComputer. O grupo de varredura da internet Shadowserver contabiliza mais de 1.400 servidores do Remote Support expostos on-line.

O que a falha faz

O bug está em uma parte interna de mensagens do Remote Support. “Os componentes não validavam adequadamente a origem das mensagens que recebiam”, disse a BeyondTrust, conforme citado pelo The Hacker News. Na prática, um invasor que não fez login pode enviar e alterar arquivos no appliance. O BleepingComputer descreve a falha como um desvio de autenticação. Ou seja, o invasor pula totalmente a etapa de login.

A BeyondTrust viu o ataque pela primeira vez em 29 de agosto, contra um appliance auto-hospedado. A empresa começou a investigar depois que dispositivos de outro fornecedor de segurança foram apontados publicamente como explorados, em 27 de setembro, segundo o The Hacker News. A empresa disse que o invasor “usa uma zero-day de forma seletiva contra alvos escolhidos”.

Quem está por trás e o que os invasores fizeram

O Google Threat Intelligence Group e a Mandiant atribuem os ataques a um grupo que chamam de ARMORY CASTLE. O Google o descreve como um suposto agente de espionagem ligado à China, ativo desde outubro de 2023 e antes rastreado como UNC5221. A CrowdStrike chama o mesmo grupo de Warp Panda, segundo o BleepingComputer.

O relatório do Google lista os passos que os invasores deram depois de entrar:

• Um web shell. Cerca de 11 minutos após a primeira requisição, eles instalaram o SAWFLY, um pequeno programa que permite executar comandos pela web.
• Acesso root. Eles criaram uma cópia especial do shell do sistema que roda com plenos direitos de administrador.
• Segredos roubados. Eles extraíram credenciais do cofre de senhas integrado ao appliance.
• Um túnel oculto. Eles instalaram o BARECLAW, um proxy na porta 19800, e mudaram as configurações do servidor web para que ele ficasse acessível pela internet.
• Persistência e limpeza. Um script de inicialização lhes deu um login de administrador sem senha, e eles apagaram logs durante todo o processo.

O Google alerta que mais ataques podem vir. “As organizações devem se preparar para uma possível exploração em larga escala após esta divulgação”, diz o relatório.

Quais versões precisam do patch

Implantação	Situação	O que fazer
Remote Support na nuvem (SaaS)	Corrigido pela BeyondTrust	Nada a instalar
Auto-hospedado 24.3.1 a 26.2.3	Vulnerável	Aplicar o patch BT26-05-RS
Auto-hospedado anterior à 24.3.1	Vulnerável	Atualizar primeiro, depois aplicar o patch
Privileged Remote Access	Nenhuma forma conhecida de explorá-la, segundo a BeyondTrust	As instâncias na nuvem também foram corrigidas

As fontes divergem sobre quando os clientes na nuvem foram corrigidos. O BleepingComputer diz 8 de outubro, enquanto o The Hacker News e o Google dizem 9 de outubro.

A Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) adicionou a falha à sua lista de vulnerabilidades exploradas conhecidas em 16 de outubro. As agências civis federais devem corrigi-la até 19 de outubro, informa o The Hacker News.

O que isso significa para desenvolvedores

Se a sua empresa opera o próprio servidor do Remote Support, trate isso como uma emergência, não como uma atualização de rotina. As atualizações automáticas podem estar desligadas, e o BleepingComputer observa que esses servidores precisam receber o patch manualmente.

Aplicar o patch não basta. A Mandiant diz que um appliance exposto “deve ser tratado como potencialmente comprometido até ser revisado”. Isso significa:

1. Instale o BT26-05-RS hoje, depois de atualizar para a versão 24.3.1 ou posterior, se necessário.
2. Procure as ferramentas do invasor. O relatório do Google publica hashes de arquivos do web shell e descreve o túnel BARECLAW na porta 19800. Verifique nas configurações do servidor web se há rotas que você não adicionou.
3. Troque todos os segredos que o appliance guardava. Os invasores leram o cofre de credenciais dele, então qualquer senha ou chave armazenada ali deve ser trocada.
4. Verifique onde essas credenciais funcionam. Uma ferramenta de suporte alcança muitas máquinas. Por isso, procure logins do appliance em outros sistemas desde o fim de agosto.

O ataque vem depois das falhas zero-day encadeadas do Ivanti Connect Secure no início desta semana. Ferramentas de acesso remoto ficam na borda da rede com amplos poderes, o que as torna um alvo preferido. Se a sua puder ficar atrás de uma VPN ou de uma lista de endereços permitidos, faça isso agora.