CVE-2026-102764 : BeyondTrust zero-day CVSS 9.3, APT chinois

Les faits

Le 15-16 octobre 2026, BeyondTrust et Mandiant ont conjointement divulgué un incident majeur : un acteur de menace étatique chinois a exploité une vulnérabilité zero-day dans BeyondTrust Remote Support pendant sept semaines consécutives avant que la compromission ne soit détectée. La faille, référencée CVE-2026-102764 et notée CVSS 9.3, est un bypass d'authentification permettant à un attaquant distant non authentifié d'effectuer des opérations arbitraires sur les fichiers de l'appliance.

BeyondTrust Remote Support est une solution de support à distance déployée dans les environnements d'entreprise et gouvernementaux pour permettre aux équipes IT de prendre le contrôle à distance de postes et serveurs. Sa nature de « clé maîtresse » pour les accès privilégiés en fait une cible de très haute valeur pour les acteurs d'espionnage étatique : compromettre l'outil PAM, c'est potentiellement accéder à tous les systèmes qu'il gère, les connexions malveillantes passant pour du trafic d'administration légitime dans les logs réseau.

Techniquement, la vulnérabilité réside dans un composant de messagerie interne de l'appliance qui ne vérifiait pas correctement l'origine des messages entrants. Ce défaut de validation permettait à un attaquant de forger des requêtes se faisant passer pour un processus interne légitime, contournant ainsi le mécanisme d'authentification sans aucune interaction utilisateur requise. La chaîne d'exploitation ne nécessitait aucune technique d'ingénierie sociale, aucun accès préalable, ni aucune credential.

La première exploitation documentée remonte au 29 août 2026, selon les données forensiques de Mandiant et du Google Threat Intelligence Group (GTIG). L'acteur est identifié sous le nom de code ARMORY CASTLE, également connu sous les identifiants UNC5221 et WARP PANDA dans différentes taxonomies de threat intelligence. Ce cluster APT à nexus chinois est déjà lié à des campagnes précédentes d'exploitation de zero-days sur des équipements réseau edge : Ivanti Connect Secure en 2024, Cisco ASA et Juniper JunOS en 2025.

Une fois l'accès initial obtenu, ARMORY CASTLE a opéré avec la méthodologie caractéristique des opérations d'espionnage étatique de long terme : escalade de privilèges jusqu'au niveau root, déploiement du webshell Sawfly et du tunneleur Bareclaw pour établir persistance et canal de communication covert chiffré, puis récolte systématique des credentials administrateur et modification des permissions sur des comptes existants.

Ce qui est particulièrement préoccupant dans cette campagne : les attaquants ont utilisé la fonctionnalité native de transfert de fichiers de BeyondTrust Remote Support elle-même pour exfiltrer des documents internes. Cette technique living-off-the-land rend le trafic malveillant indiscernable du trafic légitime dans les logs réseau et les solutions DLP basées sur l'analyse des flux. Les documents exfiltrés comprenaient selon Mandiant des plans d'architecture réseau, des credentials supplémentaires et de la documentation projet sensible.

La couverture des traces a été méthodique : suppression systématique des journaux système sur l'appliance compromise, nettoyage des artefacts de session, effacement des indicateurs d'activité sur les comptes modifiés. Cette rigueur opérationnelle explique pourquoi la compromission n'a pas été détectée pendant sept semaines malgré une activité quotidienne des attaquants sur les systèmes ciblés.

La CISA a ajouté CVE-2026-102764 au catalogue KEV le 16 octobre 2026, soit le jour même de la divulgation publique — signal fort de la gravité de la menace. BeyondTrust recommande aux administrateurs de considérer toute appliance ayant été accessible depuis le 29 août 2026 comme potentiellement compromise et d'effectuer une réponse à incident complète, pas seulement une application de patch. Ce conseil inhabituel de la part d'un éditeur sur son propre produit reflète la durée et la profondeur de l'exploitation documentée.

Cet incident s'inscrit dans une tendance lourde observée depuis 2024 : les APT étatiques, notamment à nexus chinois, privilégient l'exploitation de zero-days sur les équipements de gestion des accès privilégiés plutôt que les attaques par phishing. Ivanti, Cisco ASA, Juniper, et maintenant BeyondTrust — la liste des solutions de sécurité transformées en vecteurs d'attaque ne cesse de s'allonger.

Impact et exposition

Toute organisation déployant BeyondTrust Remote Support Appliance dans une version non patchée est directement à risque. Étant donné la durée d'exploitation zero-day (7 semaines depuis le 29 août), les organisations ayant utilisé BeyondTrust Remote Support depuis fin août sans mise à jour doivent considérer une investigation forensique complète. Les secteurs prioritairement ciblés par l'espionnage étatique chinois — défense, aérospatiale, semiconducteurs, énergie, administrations, organismes de recherche — présentent un profil de risque particulièrement élevé.

Recommandations

• Immédiat : appliquer le patch BeyondTrust publié le 15 octobre 2026 sur toutes les appliances Remote Support.
• Traiter toute appliance accessible depuis le 29 août 2026 comme potentiellement compromise : lancer une réponse à incident incluant l'analyse forensique des logs et la recherche des IOC Sawfly et Bareclaw publiés par Mandiant et GTIG.
• Auditer toutes les permissions administrateur : vérifier l'absence de comptes créés ou modifiés entre le 29 août et le 15 octobre 2026.
• Isoler temporairement l'appliance BeyondTrust du réseau interne le temps de l'investigation si l'application du patch ne peut pas être immédiate.
• Signaler tout indicateur de compromission au CERT-FR (entités françaises) ou à la CISA (entités américaines).