En bref

  • CVE-2026-102764 : zero-day CVSS 9.3 dans BeyondTrust Remote Support (RS) et Privileged Remote Access (PRA) — upload de fichier non authentifié permettant un accès root complet
  • Divulguée le 15 octobre 2026 (advisory BT26-03) ; module Metasploit public disponible depuis fin octobre, rendant l'exploitation accessible à tout attaquant
  • Action urgente : appliquer le patch BT26-03 immédiatement — instances SaaS déjà patchées automatiquement, on-premise requiert action manuelle

Les faits

BeyondTrust a divulgué le 15 octobre 2026 une vulnérabilité critique dans ses produits Remote Support (RS) et Privileged Remote Access (PRA), référencée CVE-2026-102764 et identifiée en interne sous l'advisory BT26-03. Cette faille est scorée 9.3 sur l'échelle CVSS v4, avec des vecteurs indiquant un accès réseau sans authentification requise (AV:N/AC:L/AT:N/PR:N/UI:N), ce qui en fait une vulnérabilité de la plus haute gravité dans le contexte des outils d'accès distant privilégié.

La nature technique de la vulnérabilité CVE-2026-102764 réside dans un mécanisme d'upload de fichiers accessible sans authentification préalable sur les serveurs RS et PRA. Un attaquant distant et non authentifié peut envoyer une requête HTTP spécialement forgée à un endpoint exposé de l'application BeyondTrust pour déposer un fichier arbitraire sur le système de fichiers du serveur. En combinant cette capacité d'upload avec un fichier de type web shell ou script exécutable, l'attaquant peut obtenir une exécution de code à distance avec les droits root du processus serveur BeyondTrust, qui s'exécute généralement avec des privilèges système élevés par conception.

La vulnérabilité a été découverte par des chercheurs de Armory Castle, un groupe de recherche en sécurité qui a rapporté la faille à BeyondTrust via un processus de divulgation responsable coordonnée. BeyondTrust a développé et déployé un correctif pour ses instances SaaS avant la divulgation publique du 15 octobre. Pour les déploiements on-premise, le patch a été mis à disposition simultanément à la divulgation publique. Armory Castle a été cité dans les médias spécialisés comme attribuant une campagne d'exploitation au groupe APT Warp Panda, supposément lié à un État-nation, bien que cette attribution n'ait pas été confirmée officiellement.

L'advisory BT26-03 de BeyondTrust couvre plusieurs vulnérabilités : CVE-2026-102764 (CVSS v4 : 9.3, l'upload non authentifié menant à root) et des failles complémentaires scorées 8.5 en CVSS v4. La criticité particulière de CVE-2026-102764 tient à la combinaison de l'absence d'authentification requise et du niveau de droits obtenu : un accès root sur un serveur BeyondTrust Remote Support constitue un compromis particulièrement grave, ces serveurs étant généralement hautement privilégiés sur le réseau interne et disposant d'accès à de nombreux systèmes gérés.

Un module Metasploit exploitant CVE-2026-102764 a été soumis et accepté dans le framework Metasploit en fin octobre 2026, référencé dans le pull request #19877 du dépôt rapid7/metasploit-framework. La disponibilité d'un module Metasploit public réduit considérablement la barre technique nécessaire à l'exploitation : tout attaquant disposant de Metasploit peut désormais tenter d'exploiter cette vulnérabilité sur des serveurs BeyondTrust non patchés exposés sur Internet. Le Centre de Cybersécurité belge (CCB) a également émis une alerte le jour de la divulgation, soulignant l'urgence pour les organisations utilisant BeyondTrust d'appliquer le correctif immédiatement.

Les versions on-premise affectées incluent BeyondTrust Remote Support et Privileged Remote Access dans les builds antérieures au patch BT26-03. BeyondTrust n'a pas communiqué publiquement de liste exhaustive de numéros de build affectés dans ses communications publiques, mais l'advisory indique que toutes les versions antérieures à la correction sont vulnérables. Les clients utilisant l'offre SaaS BeyondTrust Cloud ont bénéficié du patch appliqué automatiquement.

Cette vulnérabilité s'inscrit dans un contexte préoccupant pour BeyondTrust, qui avait déjà dû corriger en février 2026 CVE-2026-1731 (CVSS 9.9, pre-auth RCE dans RS et PRA, advisory BT26-02, découvert par Hacktron AI). La récurrence de vulnérabilités critiques dans la même famille de produits en moins d'un an soulève des questions légitimes sur la robustesse du cycle de développement sécurisé de BeyondTrust.

BeyondTrust Remote Support et PRA sont utilisés par des entreprises de toutes tailles ainsi que par des administrations publiques. Un serveur BeyondTrust compromis peut donner accès à des centaines ou milliers de systèmes gérés, aux credentials stockés dans la solution, et à l'historique complet des sessions de support. La compromission de l'instance BeyondTrust Remote Support de SolarWinds en 2024 avait déjà illustré ce vecteur d'attaque. CVE-2026-102764, avec son exploitation sans authentification, représente un risque encore plus direct. Les outils d'accès distant privilégié sont des cibles de premier choix pour les groupes APT étatiques précisément parce qu'ils constituent un point d'accès centralisé à de nombreux systèmes critiques — leur compromission peut déboucher sur une attaque de la chaîne d'approvisionnement si la solution est utilisée pour gérer des accès vers des clients ou partenaires.

Impact et exposition

Toute organisation déployant BeyondTrust Remote Support ou Privileged Remote Access en mode on-premise sur une version antérieure au patch BT26-03 est directement exposée. L'exploitation ne requiert aucune authentification préalable ni interaction utilisateur, ce qui signifie qu'un serveur BeyondTrust exposé sur Internet peut être compromis par n'importe quel attaquant connaissant l'exploit.

La disponibilité d'un module Metasploit public depuis fin octobre 2026 a encore accru le risque : des scripts automatisés ciblant les serveurs BeyondTrust exposés sont à prévoir. Les organisations utilisant BeyondTrust dans des environnements critiques (défense, finance, santé, infrastructure) sont des cibles particulièrement attractives pour les groupes APT.

Pour les instances SaaS, aucune action n'est requise. Pour les déploiements on-premise, l'urgence est maximale. Une compromission d'un serveur BeyondTrust peut également constituer un vecteur d'attaque de la chaîne d'approvisionnement si la solution est utilisée pour gérer des accès vers des clients ou partenaires.

Recommandations immédiates

  • Appliquer immédiatement le patch BeyondTrust Advisory BT26-03 pour Remote Support et Privileged Remote Access on-premise
  • Vérifier la version installée dans l'interface admin BeyondTrust et confirmer l'application du patch via le numéro de build affiché
  • Si le patch ne peut pas être appliqué immédiatement : restreindre l'accès au serveur BeyondTrust aux seules adresses IP légitimes via règles firewall
  • Auditer les logs d'accès du serveur BeyondTrust pour identifier toute requête anormale vers les endpoints d'upload depuis des IPs non autorisées
  • Vérifier l'intégrité du système de fichiers du serveur pour détecter d'éventuels fichiers uploadés par un attaquant (web shells, scripts)
  • Pour les instances SaaS BeyondTrust Cloud : confirmer avec BeyondTrust que le patch a bien été appliqué sur votre tenant spécifique

⚠️ Module Metasploit disponible publiquement

Un module Metasploit exploitant CVE-2026-102764 est disponible publiquement depuis fin octobre 2026. L'exploitation est désormais accessible à tout attaquant, y compris sans expertise avancée. Les serveurs BeyondTrust non patchés exposés sur Internet doivent être considérés comme potentiellement compromis et nécessitent une investigation forensique immédiate.

Comment savoir si je suis vulnérable ?

Connectez-vous à l'interface d'administration BeyondTrust Remote Support ou PRA (/login) avec un compte administrateur. Accédez à Management > Software Management et vérifiez le numéro de build affiché. Comparez-le avec le build minimum corrigé indiqué dans l'advisory BT26-03 disponible sur le Trust Center BeyondTrust. Si votre build est antérieur, appliquez le patch immédiatement. Vérifiez également les logs d'accès HTTP pour des requêtes POST anormales vers des endpoints d'upload depuis des adresses IP non reconnues.

Votre infrastructure est-elle exposée ?

Ayi NEDJIMI réalise des audits ciblés pour identifier et corriger vos vulnérabilités.

Demander un audit