En bref

  • CVE-2026-102764 : faille critique (CVSS 9.3 v4.0) dans BeyondTrust Remote Support ≤ 26.2.3, exploitée en zero-day le 29 août 2026 par l'APT Armory Castle (Chine).
  • 47 jours d'exploitation silencieuse avant la divulgation publique du 15 octobre 2026 — l'acteur a eu accès à des appliances BeyondTrust, volé des credentials et supprimé les logs.
  • Patch BT26-05 disponible. BeyondTrust SaaS patché le 9 octobre 2026. CISA KEV inscrit le 16 octobre. Les instances auto-hébergées non patchées restent exposées.

Les faits

Le 15 octobre 2026, BeyondTrust a publié l'avis de sécurité BT26-05 révélant CVE-2026-102764, une vulnérabilité critique dans BeyondTrust Remote Support, la solution d'accès distant sécurisé utilisée par des milliers d'organisations pour le support technique, l'administration système et l'accès privilégié. La faille est classée CVSS 9.1 (v3.1) et 9.3 (v4.0) — dans les deux cas, elle dépasse le seuil des vulnérabilités critiques nécessitant un patch immédiat.

La nature technique de la faille fait l'objet de descriptions légèrement divergentes entre les sources. Les éléments convergents : il s'agit d'un problème de validation d'origine incorrecte dans le composant de messagerie interne de BeyondTrust Remote Support, permettant à un attaquant distant et non authentifié d'uploader des fichiers arbitraires sur l'appliance et d'obtenir un contrôle root du système hôte. Les versions affectées sont toutes les versions Remote Support 26.2.3 et antérieures.

L'élément le plus grave de cet incident n'est pas la faille elle-même, mais son exploitation en zero-day pendant 47 jours. BeyondTrust confirme dans son avis BT26-05 que CVE-2026-102764 a été exploitée pour la première fois le 29 août 2026, contre une instance SaaS hébergée par BeyondTrust et un appliance auto-hébergé chez un client. La faille n'a été divulguée publiquement que le 15 octobre 2026 — soit presque sept semaines après la première exploitation confirmée.

L'attribution est établie par Mandiant et le Google Threat Intelligence Group (GTIG) avec un niveau de confiance modéré à élevé : l'acteur est Armory Castle, précédemment suivi sous les noms UNC5221 et WARP PANDA. Ce groupe est lié à l'appareil de renseignement chinois et est connu pour ses opérations d'espionnage à long terme ciblant les solutions d'accès distant — Ivanti, Citrix, BeyondTrust — utilisées comme têtes de pont dans les réseaux gouvernementaux et d'infrastructures critiques.

La chaîne post-exploitation documentée par Mandiant est particulièrement inquiétante. Après avoir pris le contrôle root de l'appliance BeyondTrust, Armory Castle a procédé à une collecte systématique de credentials — clés API, identifiants de session, comptes de service stockés dans l'appliance — puis à la suppression méthodique des logs : logs système, logs du serveur web, logs applicatifs. L'objectif est double : effacer les traces de la compromission et éviter toute détection lors d'un audit de sécurité ultérieur.

BeyondTrust a poussé le patch à l'ensemble de ses clients SaaS Remote Support le 9 octobre 2026, soit six jours avant la divulgation publique. Pour les déploiements auto-hébergés (on-premise), le patch BT26-05 couvre les versions 24.3.1 à 26.2.3. Les versions antérieures à 24.3.1 nécessitent une mise à niveau vers une version patché avant d'appliquer BT26-05.

La CISA a ajouté CVE-2026-102764 à son catalogue KEV (Known Exploited Vulnerabilities) le 16 octobre 2026, fixant une deadline au 19 octobre 2026 pour les agences civiles fédérales américaines. Ce délai de trois jours reflète la gravité de la menace et l'exploitation confirmée par un acteur étatique.

BeyondTrust Remote Support est utilisé dans de nombreux environnements critiques en France : administrations, opérateurs d'importance vitale (OIV), prestataires de services managés (MSP). Dans ces contextes, une compromission de l'appliance BeyondTrust équivaut à une compromission de l'ensemble des systèmes qu'elle administre — avec des credentials valides pour chacun d'eux.

À la date du 5 novembre 2026, Mandiant indique n'avoir pas confirmé d'exploitation massive à grande échelle au-delà des incidents initiaux. Cette prudence s'explique par le fait que les cibles d'Armory Castle sont typiquement sélectionnées et de haute valeur, plutôt qu'opportunistes. Les organisations gouvernementales, les ambassades, les prestataires IT des ministères et les opérateurs télécoms sont à considérer en priorité.

Impact et exposition

Toute organisation utilisant BeyondTrust Remote Support en version 26.2.3 ou antérieure et n'ayant pas appliqué le patch BT26-05 est exposée. Sur les déploiements SaaS, BeyondTrust confirme le patch automatique du 9 octobre 2026 — mais il faut vérifier la version effective de l'instance. Pour les déploiements on-premise, l'audit est impératif. BeyondTrust Privileged Remote Access (PRA) n'est pas concerné par cette CVE spécifique.

Recommandations

  • Patch immédiat : appliquer BT26-05 sur toutes les instances Remote Support on-premise. Vérifier la version via l'interface d'administration (Admin → Software Management).
  • Audit de logs : examiner les logs d'accès des 10 dernières semaines (depuis le 29 août 2026) pour détecter des connexions anormales, des uploads de fichiers non planifiés ou des suppressions de logs.
  • Rotation des credentials : si l'appliance a pu être compromise, considérer la rotation systématique de tous les credentials stockés dans BeyondTrust (comptes de service, clés API, certificats).
  • Isolation réseau : restreindre l'accès à l'interface d'administration BeyondTrust aux seules adresses IP autorisées via un pare-feu applicatif.

Alerte critique

CVE-2026-102764 avec CVSS 9.3 et exploitation confirmée par un APT étatique chinois exige un patch immédiat. BeyondTrust Remote Support gère des accès privilégiés — sa compromission peut ouvrir l'intégralité de votre infrastructure. Ne tardez pas : CISA a accordé 3 jours aux agences fédérales américaines pour patcher.

Comment savoir si mon appliance BeyondTrust a été compromise par Armory Castle ?

Les indicateurs de compromission (IoC) publiés par Mandiant incluent des requêtes HTTP POST anormales vers des endpoints non documentés de l'interface de messagerie interne, la présence de fichiers web shell dans les répertoires d'upload de l'appliance, et des suppressions de logs au niveau système (vérifier les gaps dans /var/log/ et les journaux d'audit Windows si applicable). La suppression des logs est elle-même un indicateur : une appliance saine ne devrait pas présenter de lacunes dans ses journaux. Contactez votre CSIRT ou un prestataire de réponse à incident pour une analyse forensique complète.

Votre infrastructure est-elle exposée ?

Ayi NEDJIMI réalise des audits de sécurité ciblés pour identifier et corriger vos vulnérabilités avant qu'elles ne soient exploitées.

Demander un audit