CVE-2026-102764 BeyondTrust : 40 jours exploité par APT chinois

Les faits

Le 19 octobre 2026, les équipes de Mandiant et SecurityWeek ont publié les détails d'une campagne d'espionnage sophistiquée conduite par Armory Castle, un groupe APT lié à la Chine également suivi sous les identifiants UNC5221 et Warp Panda. Cette opération a exploité CVE-2026-102764, une vulnérabilité zero-day dans BeyondTrust Remote Support (RS), un outil de support à distance déployé dans des dizaines de milliers d'entreprises et d'organisations gouvernementales en Europe, en Amérique du Nord et en Asie-Pacifique.

La vulnérabilité est une validation impropre des origines de messages dans le composant de messagerie interne de BeyondTrust RS. Avec un score CVSS de 9.3, elle permet à un attaquant distant de réaliser des opérations arbitraires sur les fichiers de l'appliance RS sans authentification préalable. En pratique, Armory Castle a exploité cette faille pour déposer un webshell PHP custom baptisé SAWFLY dans les répertoires web accessibles de l'appliance, puis déployé un tunneleur réseau nommé BARECLAW pour maintenir un accès persistant et discret vers son infrastructure de commandement et contrôle (C2).

L'exploitation silencieuse a débuté le 29 août 2026. BeyondTrust n'a identifié le problème de sécurité que le 28 septembre 2026 — soit trente jours après le début de l'exploitation — un jour seulement après que l'attaque contre un fournisseur de dispositifs de sécurité soit devenue publique. La fenêtre d'exploitation zero-day a donc duré quarante jours pleins, du 29 août au 8 octobre 2026, date de publication du patch BT26-05-RS.

Mandiant, chargé de la réponse sur incident, a documenté la chaîne d'attaque complète. Les premières traces visibles dans les logs d'accès de l'appliance étaient des requêtes POST ciblant une ressource PHP inhabituelle — un chemin non référencé dans l'installation standard. Ces requêtes précédaient immédiatement la création du webshell SAWFLY dans les répertoires web de l'appliance. Une fois implanté, SAWFLY permettait l'exécution de commandes système arbitraires, l'accès aux identifiants de sessions de support actives, et le mouvement latéral vers les endpoints clients connectés via les tunnels de support ouverts.

Le tunneleur BARECLAW assurait la persistance en établissant des connexions chiffrées sortantes vers l'infrastructure C2 d'Armory Castle sur des ports non standards, contournant les règles de firewall conventionnelles. Post-exploitation, les opérateurs d'Armory Castle ont réalisé une escalade de privilèges, un dumping de credentials via LSASS, un mouvement latéral ciblant les ressources accessibles aux comptes de service BeyondTrust, et une exfiltration sélective de données. La discrétion de l'opération — quarante jours sans détection — est caractéristique des APT étatiques chinois qui privilégient la persistance discrète à long terme sur l'exfiltration massive immédiate.

Les cibles connues à ce stade incluent une instance hébergée par BeyondTrust et une instance autogérée. Les identités des organisations victimes n'ont pas été divulguées. Étant donné la nature d'UNC5221 / Armory Castle — un acteur d'espionnage ciblant principalement les secteurs défense, technologies avancées, administration publique et think tanks dans les pays occidentaux et alliés — la probabilité que d'autres victimes non encore identifiées existent est élevée selon les analystes de Mandiant.

La CISA américaine a émis une alerte d'urgence appelant toutes les organisations utilisant BeyondTrust Remote Support à appliquer le patch BT26-05-RS et à auditer leurs logs depuis le 29 août 2026. Les indicateurs de compromission (IoC) publiés par Mandiant incluent des hash SHA-256 des composants SAWFLY et BARECLAW ainsi que des adresses IP d'infrastructure C2 identifiées lors des investigations.

Cet incident s'inscrit dans un pattern récurrent : les outils de support et d'administration à distance — BeyondTrust, ConnectWise ScreenConnect, Ivanti Pulse Secure, Palo Alto GlobalProtect — sont devenus des cibles prioritaires pour les APT chinois depuis au moins 2022. Ces outils sont omniprésents dans les architectures d'entreprise, disposent généralement d'accès privilégiés à de nombreux endpoints, et font l'objet d'une surveillance de sécurité moins systématique que les périmètres web traditionnels. Leur compromission offre une position idéale pour une opération d'espionnage à longue durée avec accès quasi transparent au parc managé.

Les versions affectées vont des releases BeyondTrust RS 24.3.1 à 26.2.3 inclus. La version corrigée est intégrée dans le patch BT26-05-RS publié le 8 octobre 2026, disponible sur le portail de support BeyondTrust.

Impact et exposition

Toute organisation déployant BeyondTrust Remote Support en versions 24.3.1 à 26.2.3, avec une instance accessible depuis internet entre le 29 août et le 8 octobre 2026, doit considérer son appliance comme potentiellement compromise. La compromission expose les identifiants de sessions de support actives, les credentials des endpoints clients managés, et les données transitant par les sessions — informations particulièrement sensibles dans les contextes gouvernementaux et défense ciblés par Armory Castle.

Recommandations

• Appliquer immédiatement le patch BT26-05-RS sur toutes les instances BeyondTrust Remote Support
• Auditer les logs d'accès HTTP depuis le 29 août 2026 — chercher des requêtes POST vers des chemins PHP non standards et des fichiers aux noms aléatoires de 8-12 caractères dans les répertoires web
• Révoquer et renouveler tous les credentials stockés dans l'appliance RS (comptes de service, credentials d'endpoints clients, tokens d'intégration)
• Vérifier l'intégrité des fichiers de l'installation BeyondTrust RS via la commande fournie dans l'advisory BT26-05-RS
• Contacter l'ANSSI ou un prestataire PRIS certifié si des IoC Armory Castle sont détectés dans les logs