--- title: Hacker cinesi sfruttano zero-day BeyondTrust per prendere il controllo dei server di supporto remoto url: https://www.dataloco.com/it/hacker-cinesi-sfruttano-zero-day-beyondtrust-per-prendere-il-controllo-dei-server-di-supporto-remoto published: 2026-10-19T07:26:34+00:00 language: it section: Sicurezza source: https://thehackernews.com/2026/10/china-linked-hackers-exploited.html organizations: BeyondTrust, Armory Castle, Mandiant, CISA publisher: Dataloco --- # Hacker cinesi sfruttano zero-day BeyondTrust per prendere il controllo dei server di supporto remoto Un gruppo di spionaggio informatico di matrice cinese, tracciato come Armory Castle (precedentemente noto come UNC5221 o Warp Panda), ha sfruttato una vulnerabilità zero-day appena divulgata in BeyondTrust Remote Support (ex Bomgar) nel corso di agosto 2026. La falla, identificata come CVE-2026-102764 con punteggio CVSS 9.3, riguarda una mancata convalida dell'origine dei messaggi all'interno di un componente interno di messaging. Un attaccante remoto potrebbe sfruttare questa debolezza per eseguire operazioni di file sul dispositivo interessato. Secondo quanto dichiarato da BeyondTrust in un allarme diffuso giovedì, la vulnerabilità risiede in componenti interni di Remote Support. I componenti non validavano adeguatamente l'origine dei messaggi ricevuti. In determinate condizioni, ciò potrebbe essere usato per eseguire operazioni di file sull'appliance. Patches per la falla sono state distribuite a tutti i clienti SaaS di Remote Support entro il 9 ottobre 2026. I clienti self-hosted che utilizzano versioni comprese tra 24.3.1 e 26.2.3 sono invitati ad aggiornare manualmente al patch BT26-05-RS. I clienti che eseguono una versione precedente a 24.3.1 devono prima upgrade a una versione più recente per applicare la correzione. Secondo una linea temporale degli eventi condivisa da BeyondTrust, il gruppo Armory Castle avrebbe sfruttato la falla come zero-day su un singolo appliance self-hosted il 29 agosto 2026. Il 27 settembre 2026, "diventata pubblica l'esploit di un altro provider di dispositivi di sicurezza", l'azienda ha avviato un'indagine per cercare attività simili. Il gruppo Armory Castle vanta una storia di sfruttamento di zero-day su appliance Citrix NetScaler (CVE-2023-4966) e Ivanti Connect Secure (CVE-2023-46805, CVE-2024-21887 e CVE-2025-0282) per colpire una vasta gamma di settori, tra cui servizi legali, provider SaaS, outsourcing di processi aziendali, tecnologia e governi, al fine di raccolta di intelligence a lungo termine. L'attività è nota essere attiva da ottobre 2023. "L'attore utilizza uno zero-day selettivamente contro obiettivi scelti, e una volta resa pubblica la vulnerabilità, l'attore si sposta tipicamente verso un'esploitazione ampia di ogni istanza ancora non patchata", ha dichiarato BeyondTrust. "La nostra valutazione operativa è che questo attore seleziona in anticipo obiettivi software di alto valore e mantiene un modello di lavoro dei prodotti che l'attore targetta in un contesto AI che utilizza in modo continuativo per sviluppare catene di exploit." Google-owned Mandiant, che ha condiviso ulteriori dettagli sull'attività di sfruttamento, ha affermato che una compromissione riuscita è seguita dalla distribuzione di un web shell PHP leggero codificato SAWFLY per l'accesso remoto interattivo e la comunicazione bidirezionale di comando e controllo (C2) cifrata. L'operatore fa uso di nodi di uscita VPN commerciali e router domestici e per piccole office compromessi per fondersi nel traffico ordinario, e poi sfrutta il web shell come condotto per escalation dei privilegi, ottenere il controllo amministrativo completo dell'appliance e stabilire persistenza in un modo che sopravvive ai riavvii. L'intrusione è caratterizzata da sforzi per facilitare il furto di credenziali leggendo i segreti memorizzati sull'appliance e abusando dell'accesso amministrativo per raggiungere sistemi downstream e consentire il movimento laterale. I dettagli delle azioni post-exploitation intraprese dal gruppo minaccioso sono elencati di seguito. "Per tutta la durata dell'intrusione, Armory Castle ha sfruttato una profonda conoscenza degli internals di BeyondTrust appliance, come dimostrato dall'abuso di utility CLI proprietate, template di configurazione di avvio e routing reverse-proxy locale", hanno affermato i ricercatori di Google Threat Intelligence Group (GTIG) e Mandiant Jayson Frost, Bryce Greathouse, Brian Meyer, John Palmisano, Rajesh Rajeshirke, Steve Rasch e John Wolfram. "Qualsiasi appliance raggiungibile da internet in una versione vulnerabile durante la finestra di sfruttamento dovrebbe essere trattata come potenzialmente compromessa fino a quando non è stata revisionata." L'Agenzia per la Sicurezza Informatica e delle Infrastrutture (CISA) degli Stati Uniti, il 16 ottobre 2026, ha rilasciato un advisory, esortando le organizzazioni con BeyondTrust Remote Support interessato ad applicare immediatamente le seguenti azioni. L'agenzia ha inoltre aggiunto CVE-2026-102764 al suo catalogo Known Exploited Vulnerabilities (KEV), richiedendo agli enti del Executive Branch Civile Federale (FCEB) di applicare le patch entro il 19 ottobre 2026. ## This story in other languages - [Polski](https://www.dataloco.com/pl/hakerzy-powiazani-z-chinami-wykorzystali-luke-zero-day-w-beyondtrust-do-przejecia-serwerow-wsparcia-zdalnego) - [עברית](https://www.dataloco.com/he/beyondtrust) - [Deutsch](https://www.dataloco.com/de/chinesische-spionagegruppe-nutzte-zero-day-lucke-in-beyondtrust-fur-serverubernahme) - [Español](https://www.dataloco.com/es/hackers-vinculados-a-china-explotaron-un-fallo-de-dia-cero-en-beyondtrust-para-tomar-el-control-de-servidores-de-soporte-remoto)