CVE-2026-102764 : BeyondTrust RCE zero-day exploité par APT chinois

Les faits

CVE-2026-102764 est une vulnérabilité critique affectant BeyondTrust Remote Support (RS), une solution d'assistance à distance largement déployée dans les entreprises et les administrations. La faille permet à un attaquant non authentifié d'effectuer des opérations arbitraires sur les fichiers du système cible via une requête réseau spécialement forgée, sans aucune interaction de l'utilisateur. Le score CVSS 4.0 est de 9.3 (Critical), reflétant la sévérité maximale de l'impact et la facilité d'exploitation.

Techniquement, la vulnérabilité est de type téléchargement de fichier arbitraire sans authentification (CWE-434 : Unrestricted Upload of File with Dangerous Type). Le vecteur d'attaque est réseau (AV:N), la complexité d'attaque est faible (AC:L), aucun privilège n'est requis (PR:N) et aucune interaction utilisateur n'est nécessaire (UI:N). L'impact sur la confidentialité, l'intégrité et la disponibilité est maximal (C:H/I:H/A:H). BeyondTrust a reproduit la vulnérabilité en interne et a développé le patch BT26-05 avant la divulgation publique du CVE le 15 octobre 2026.

La chronologie de l'exploitation est particulièrement préoccupante. Selon Mandiant et le Google Threat Intelligence Group (GTIG), les premières attaques ont été détectées dès le 29 août 2026, soit près de sept semaines avant la divulgation publique. L'exploitation a ciblé à la fois des instances BeyondTrust hébergées en cloud et des appliances auto-hébergées. L'écart entre la première exploitation et la divulgation publique illustre la fenêtre de vulnérabilité caractéristique des attaques zero-day sophistiquées menées par des acteurs étatiques.

L'attribution de ces attaques a été réalisée conjointement par Mandiant et le GTIG de Google. Le groupe responsable est désigné sous le nom ARMORY CASTLE, anciennement connu sous les identifiants UNC5221 et WARP PANDA. Ce groupe est un acteur de cyberespionnage lié à la République populaire de Chine (PRC-nexus), spécialisé dans l'exploitation d'appliances de sécurité exposées sur Internet. ARMORY CASTLE a un historique documenté d'attaques contre des passerelles VPN, des solutions de gestion d'accès à distance et des appliances réseau de grandes marques.

Le modus operandi post-exploitation observé par Mandiant est particulièrement sophistiqué. Après avoir exploité CVE-2026-102764, les attaquants ont déployé le web shell SAWFLY sur les appliances compromises. Ce web shell permet une persistance discrète et l'exécution de commandes arbitraires à distance. Les attaquants ont ensuite procédé à une élévation de privilèges vers root via une copie de shell SUID, puis ont ajouté des modifications persistantes au fichier sudoers pour survivre aux redémarrages. L'outil bt-secrets a été utilisé pour tenter d'extraire le coffre-fort de credentials de l'appliance BeyondTrust, donnant potentiellement accès à l'ensemble des identifiants gérés par la solution.

Le pivotement dans les systèmes en aval a été réalisé via un tunnel HAProxy, permettant aux attaquants de se déplacer latéralement dans les réseaux des victimes en utilisant BeyondTrust comme point d'entrée. Les attaquants ont également effacé les journaux de l'appliance pour masquer leur présence et compliquer les investigations forensiques. Cette technique de destruction des preuves est cohérente avec les TTPs documentés d'ARMORY CASTLE dans des intrusions précédentes contre des équipements Pulse Secure, Fortinet et Citrix.

La vulnérabilité est désormais inscrite au catalogue des Known Exploited Vulnerabilities (KEV) de la CISA, rendant son traitement obligatoire pour les agences civiles fédérales américaines (FCEB). La date limite de remédiation imposée par la CISA aux agences fédérales était fixée au 5 novembre 2026. BeyondTrust a confirmé avoir notifié tous les clients dont les instances hébergées ont été affectées et a automatiquement déployé le patch BT26-05 sur les instances cloud gérées.

Selon SecurityWeek, au moins trois organisations identifiées comme cibles de haute valeur dans les secteurs gouvernemental et industriel ont confirmé avoir été victimes de cette exploitation zero-day. La nature des informations potentiellement exfiltrées — credentials d'accès à distance à l'ensemble du réseau géré — fait de CVE-2026-102764 l'une des vulnérabilités les plus critiques de l'année 2026 en termes d'impact sur la chaîne de confiance des accès distants.

Impact et exposition

BeyondTrust Remote Support est utilisé par des milliers d'organisations dans le monde pour gérer les accès distants à leurs systèmes internes. La faille expose directement les appliances accessibles depuis Internet, qu'elles soient hébergées en cloud par BeyondTrust ou auto-hébergées dans des datacenters privés. Les organisations utilisant BeyondTrust RS comme point central de gestion des accès VIP (administrateurs, support IT) sont particulièrement exposées, car une compromission de l'appliance donne accès à l'ensemble des sessions d'assistance enregistrées et aux credentials stockés dans le coffre-fort intégré.

Les conditions d'exploitation sont minimales : l'attaquant nécessite uniquement un accès réseau à l'interface web de l'appliance BeyondTrust (généralement exposée sur le port 443). Aucune authentification, aucun compte interne, et aucune interaction de l'utilisateur ne sont requis. Cette combinaison rend la faille exploitable de manière entièrement automatisée, ce qu'ARMORY CASTLE a démontré en ciblant plusieurs instances simultanément depuis août 2026.

L'exploitation active confirmée par Mandiant et le GTIG, combinée à l'inscription au catalogue KEV de la CISA, classe cette vulnérabilité dans la catégorie des menaces immédiates nécessitant une réponse en urgence. Les organisations n'ayant pas encore appliqué le patch BT26-05 doivent considérer leurs appliances BeyondTrust RS comme potentiellement compromises et procéder à une investigation forensique approfondie avant de les reconnecter à leurs réseaux internes.

Recommandations immédiates

• Appliquer immédiatement le patch BT26-05 — BeyondTrust Security Advisory BT26-05 (octobre 2026). Les instances cloud ont été automatiquement patchées par BeyondTrust
• Pour les instances auto-hébergées : mettre à jour vers la version 26.2.4 ou supérieure via la console d'administration BeyondTrust
• Si le patch ne peut pas être appliqué immédiatement : restreindre l'accès à l'interface web de l'appliance aux seules adresses IP administratives via pare-feu
• Rechercher la présence du web shell SAWFLY : inspecter les répertoires web de l'appliance pour des fichiers .php ou .jsp non standards ajoutés après le 29 août 2026
• Auditer les modifications du fichier /etc/sudoers sur les appliances auto-hébergées
• Vérifier les journaux d'accès BeyondTrust pour des requêtes de téléchargement de fichiers inhabituelles (POST vers /appliance/ sans session authentifiée)
• Changer tous les credentials stockés dans le coffre-fort BeyondTrust par précaution