Seguridad · 19 de octubre de 2026
Hackers vinculados a China explotaron un fallo de día cero en BeyondTrust para tomar el control de servidores de soporte remoto
El grupo de ciberespionaje vinculado a China conocido como Armory Castle, anteriormente identificado como UNC5221 o Warp Panda, explotó una vulnerabilidad de seguridad de día cero en BeyondTrust Remote Support, anteriormente llamado Bomgar, a finales de agosto de 2026.
El fallo, identificado como CVE-2026-102764 con una puntuación CVSS de 9.3, consiste en una validación de origen inadecuada en un componente de mensajería interna. Esta vulnerabilidad podría ser aprovechada por un atacante remoto para realizar operaciones de archivos en un dispositivo afectado.
BeyondTrust informó que el grupo Armory Castle explotó el fallo como un día cero en un único dispositivo de soporte remoto alojado localmente el 29 de agosto de 2026. La empresa inició una investigación para buscar actividades similares después de que el 27 de septiembre de 2026 se hiciera pública la explotación exitosa de otro proveedor de dispositivos de seguridad.
Para mitigar el riesgo, los clientes de software como servicio de Remote Support recibieron parches el 9 de octubre de 2026. Los clientes con instalaciones locales que utilicen versiones entre la 24.3.1 y la 26.2.3 deben actualizar manualmente al parche BT26-05-RS, mientras que quienes usen versiones anteriores a la 24.3.1 necesitan actualizar a una versión más reciente.
Mandiant, propiedad de Google, detalló que tras el compromiso se despliega una shell web de PHP ligera llamada SAWFLY. Esta herramienta permite el acceso remoto interactivo y la comunicación cifrada bidireccional de comando y control. El operador utiliza nodos de salida de redes privadas virtuales comerciales y routers de hogares y pequeñas oficinas comprometidos para mezclarse con el tráfico normal, escalar privilegios y obtener el control administrativo total del dispositivo.
La intrusión se caracteriza por el robo de credenciales mediante la lectura de secretos almacenados en el dispositivo y el uso del acceso administrativo para alcanzar sistemas secundarios y permitir el movimiento lateral. Investigadores de Mandiant y del Grupo de Inteligencia de Amenazas de Google señalaron que Armory Castle demostró un conocimiento profundo de los componentes internos de BeyondTrust al abusar de utilidades de interfaz de línea de comandos propietarias, plantillas de configuración de inicio y enrutamiento de proxy inverso local.
La Agencia de Seguridad de Infraestructura y Ciberseguridad de los Estados Unidos, CISA, emitió una advertencia el 16 de octubre de 2026 e incluyó la vulnerabilidad en su catálogo de Vulnerabilidades Explotadas Conocidas. Esto obliga a las agencias de la Rama Ejecutiva Civil Federal a aplicar las correcciones antes del 19 de octubre de 2026.