BeyondTrust corrige vulnerabilidade zero-day explorada em ataques desde agosto

A BeyondTrust avisou clientes na quinta-feira que corrigiu uma falha crítica na solução Remote Support (RS), que tem sido explorada em ataques zero-day desde o final de agosto. A falha, rastreada como CVE-2026-102764, permite que atacantes não autorizados realizem operações de arquivo em aparelhos não atualizados e afeta versões 26.2.3 ou anteriores do RS. A empresa lançou o patch para todos os clientes de Remote Support e Privileged Remote Access SaaS em 8 de outubro, mas instalações auto-hospedadas precisam ser atualizadas manualmente se as atualizações automáticas não estiverem ativadas.

Mandiant e a CrowdStrike identificaram o grupo Armory Castle, ligado a espionagem chinesa, como responsável pelos abusos. Os atacantes usaram a vulnerabilidade para obter acesso inicial, elevar privilégios para root e implantar shells web Sawfly e túnel Bareclaw, apagando logs para evitar detecção. A Shadowserver registrou mais de 1.400 instâncias da Remote Support expostas na internet, sem informar quantas já foram corrigidas.