BeyondTrust Remote Support · Exploração confirmada

Zero-day do BeyondTrust é explorado desde agosto; CISA insta patch

28 de ago. de 2026 · 1 min de leitura

A CVE-2026-102764 no BeyondTrust Remote Support (ex-Bomgar) permite upload arbitrário de arquivos e foi explorada como zero-day desde o fim de agosto de 2026 pelo ARMORY CASTLE, grupo de espionagem com suspeito elo com a China, segundo a Mandiant. A CISA emitiu alerta em 16 de outubro e pede o patch BT26-05-RS nas versões self-hosted 24.3.1 a 26.2.3; versões anteriores a 24.3.1 exigem atualização antes. O SaaS foi corrigido automaticamente em 9 de outubro.

Por Redação HIFY Radar Atualizado 26/10/2026 13:38 Receba isso todo dia →← Voltar ao feed 4 fontes

CríticaFalhaExploração confirmadaCorreção parcial

Neste artigo

O que aconteceu
Por que importa
O que fazer
Para o time técnico
Linha do tempo
Fontes

O que aconteceu

Uma falha crítica no BeyondTrust Remote Support (ex-Bomgar), produto de acesso remoto usado por equipes de TI, permite upload arbitrário de arquivos. A Mandiant identificou exploração como zero-day desde o fim de agosto de 2026 pelo ARMORY CASTLE, grupo de espionagem com suspeito elo com a China. A CISA emitiu alerta em 16 de outubro.

Por que importa

Em invasões respondidas pela Mandiant, o atacante obteve controle total do appliance e acesso a todas as credenciais que ele armazenava ou intermediava, incluindo senhas e chaves, com persistência que sobrevive a reinicialização e reset de configuração. Como o produto dá acesso privilegiado a toda a infraestrutura, a Mandiant alerta para possível exploração ampla e oportunista agora que a falha é pública.

O que fazer

Aplicar o patch BT26-05-RS imediatamente nas instalações self-hosted das versões 24.3.1 a 26.2.3; versões anteriores a 24.3.1 exigem atualização antes. Procurar sinais de comprometimento nos logs do appliance, incluindo a partição criptografada /home, e trocar as credenciais armazenadas no produto.

Para o time técnico

CVE: CVE-2026-102764
Afetados: BeyondTrust Remote Support (ex-Bomgar) · BeyondTrust Remote Support (ex-Bomgar) self-hosted, versões 26.2.3 e anteriores. Versões anteriores a 24.3.1 precisam atualizar antes de aplicar o patch BT26-05-RS.
Exploração: Exploração como zero-day desde o fim de agosto de 2026 por ARMORY CASTLE (ex-UNC5221), ator de espionagem com suspeito nexus com a China, segundo a Mandiant, identificada em um trabalho de resposta a incidente. CISA emitiu alerta em 16 de outubro de 2026. Mandiant alerta para possível exploração ampla por ARMORY CASTLE e outros atores após a divulgação.
Correção: Patch BT26-05-RS para instalações self-hosted 24.3.1 a 26.2.3. Versões anteriores a 24.3.1 exigem atualização prévia. SaaS corrigido automaticamente em 9 de outubro.
Vetor: CVE-2026-102764 em appliances BeyondTrust Remote Support (ex-Bomgar): a exploração bem-sucedida resulta em upload arbitrário de arquivos. A Mandiant encontrou evidências de exploração nos arquivos de log access, syslog, messages, thin-scc, brain e SSL, acessíveis apenas via partição criptografada com LUKS que contém o diretório /home.
Mais detalhes: Cadeia pós-exploração descrita pela Mandiant: webshell SAWFLY criada cerca de 11 minutos após o POST inicial, com C2 bidirecional criptografado (RC4 de 256 bits, transporte Base32) e resposta HTTP 404 quando o parâmetro _c94mfe está ausente, para evadir scanners; execução via @eval. Escalada de root via binário SUID. Extração do cofre de credenciais com o utilitário nativo bt-secrets, com tentativas em várias sintaxes e remoção do log bt-secrets.log. Persistência via zz-root-persist, que altera o sudoers.template e força a reconstrução com /ns/sbin/bt-sysconfig, sobrevivendo a reboot e reset de configuração. O ator usou conhecimento profundo dos internos do appliance, incluindo utilitários CLI proprietários, e apagava logs e artefatos como anti-forense. Acesso root deu acesso a todas as credenciais armazenadas ou intermediadas pelo appliance.