Falla crítica en BeyondTrust Remote Support permite manipular archivos sin autenticación y ya se explota

La Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) sumó el 16 de octubre a su catálogo de vulnerabilidades explotadas (KEV) la CVE-2026-102764, una falla crítica de BeyondTrust Remote Support, el software que usan las mesas de ayuda para conectarse a distancia a las computadoras de empleados y clientes. Permite que un atacante sin usuario ni contraseña haga operaciones con archivos en el servidor. Según Mandiant y Google, un grupo de espionaje vinculado a China la explota desde el 29 de agosto, antes de que existiera un parche.

Qué es la falla

En simple: el servidor de soporte remoto recibe mensajes internos sin comprobar bien de dónde vienen, y un atacante puede hacerse pasar por una fuente de confianza. Es una validación insuficiente del origen de los mensajes (CWE-290, suplantación para saltarse la autenticación), según el registro de la base de vulnerabilidades del gobierno estadounidense (NVD). Se explota por red, sin autenticación ni interacción del usuario. BeyondTrust dio pocos detalles técnicos.

El servidor guarda las credenciales con las que los técnicos entran a otros equipos. Según Mandiant, los atacantes llegaron a control total (acceso root) del servidor, obtuvieron esas credenciales, borraron registros y abrieron sesiones en otros sistemas de la víctima. BeyondTrust califica la falla con CVSS 4.0 de 9,3 (crítica).

A quién afecta

Afecta a Remote Support en todas las versiones hasta la 26.2.3 inclusive. Las instalaciones en la nube de BeyondTrust (SaaS) se corrigieron entre el 8 y el 9 de octubre; las instaladas en servidores propios deben aplicar el parche a mano si no tienen actualización automática. El aviso también cubre Privileged Remote Access (PRA): BeyondTrust dice que sus pruebas no hallaron cómo explotar la falla allí, pero que comparte el código afectado y por precaución publicó el parche y pide aplicarlo en las instalaciones propias.

Estado de explotación

Explotada, según el catálogo KEV de CISA y según BeyondTrust, Mandiant y Google. CISA no informa si hay uso en campañas de secuestro de datos (ransomwarePrograma malicioso que cifra o bloquea los archivos de una víctima para exigirle un pago a cambio de devolverle el acceso.). El grupo, llamado Armory Castle por Mandiant (también UNC5221 o Warp Panda), usó el web shellPrograma malicioso instalado en un servidor web que permite a un atacante enviarle órdenes a distancia mediante solicitudes web y usarlo para colocar otros archivos. (puerta traseraMecanismo oculto que permite entrar a un sistema o controlarlo a distancia sin pasar por los controles de acceso normales. web) Sawfly y el túnel Bareclaw. Mandiant advierte que puede venir una explotación masiva ahora que la falla es pública, como en campañas anteriores del grupo con Ivanti y Citrix. Shadowserver cuenta más de 1.400 instancias de Remote Support expuestas a internet.

Antecedentes

Es la cuarta falla de este producto y de Privileged Remote Access que CISA incluye en el catálogo desde diciembre de 2024. La CVE-2026-1731, una ejecución de comandos sin autenticación en Remote Support y Privileged Remote Access, entró en febrero de 2026 y figura con uso conocido en secuestro de datos. Antes, el grupo chino Silk Typhoon habría explotado las CVE-2024-12356 y CVE-2024-12686 para entrar en sistemas de BeyondTrust y, con una clave de APISigla en inglés de interfaz de programación de aplicaciones: conjunto de reglas que permite que un programa le pida datos o funciones a otro de manera estandarizada. robada, comprometer 17 instancias en la nube, entre ellas la del Departamento del Tesoro de Estados Unidos, según BleepingComputer.

Qué hacer

• Aplicar el parche BT26-05-RS en Remote Support 24.3.1 a 26.2.3. Con una versión anterior a la 24.3.1, primero hay que actualizar a una versión compatible y después aplicar el parche.
• En Privileged Remote Access instalado en servidores propios, aplicar también el parche.
• Tratar como posiblemente comprometido todo servidor expuesto a internet con una versión vulnerable, según Mandiant, y revisarlo antes de darlo por seguro. Parchear no elimina un acceso previo.
• Si hubo compromiso, rotar las credenciales que guardaba el servidor.
• CISA fijó el 19 de octubre como plazo para que las agencias federales de Estados Unidos apliquen las medidas, y exige cumplir sus requisitos de análisis forense.

Ficha técnica

• CVE: CVE-2026-102764
• CVSS: 9,3 (CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N), según BeyondTrust, registrado en NVD (análisis de NVD pendiente)
• CWE: CWE-290, omisión de autenticación por suplantación
• Productos: BeyondTrust Remote Support hasta 26.2.3; Privileged Remote Access comparte el código afectado
• Versiones corregidas: parche BT26-05-RS para Remote Support 24.3.1 a 26.2.3, sin número de versión corregida publicado
• Aviso del fabricante: BT26-05, 15 de octubre de 2026
• Alta en KEV: 16 de octubre de 2026, plazo del 19 de octubre