CVE-2026-102764 : BeyondTrust Remote Support zero-day exploité par ARMORY CASTLE depuis août

Les faits

Le 15 octobre 2026, BeyondTrust a divulgué publiquement la vulnérabilité CVE-2026-102764 affectant sa solution Remote Support. La faille, classée CVSS 9.3, réside dans un composant de messagerie interne de l'application qui ne valide pas correctement l'origine des messages reçus — une faiblesse cataloguée sous CWE-290 (improper origin validation). Un attaquant distant non authentifié peut en tirer parti pour réaliser des opérations arbitraires sur les fichiers de l'appliance, sans interaction utilisateur requise.

Ce qui rend cette divulgation particulièrement grave, c'est que l'exploitation en environnement réel avait débuté plusieurs semaines avant la publication. Selon les analyses de Mandiant et du Google Threat Intelligence Group, les premières intrusions documentées remontent au 29 août 2026. Le groupe désigné ARMORY CASTLE — également suivi sous les identifiants UNC5221 et WARP PANDA — avait compromis au moins une instance Remote Support hébergée par BeyondTrust ainsi qu'une appliance auto-hébergée chez un client tiers.

ARMORY CASTLE est un acteur aligné sur les intérêts de l'État chinois, spécialisé dans l'exploitation de zero-days sur les appliances réseau et les solutions d'accès distant. Ce groupe avait précédemment ciblé Ivanti Connect Secure, FortiGate et d'autres équipements de périmètre. Sa présence sur BeyondTrust confirme une stratégie cohérente : cibler les outils de gestion d'accès privilégiés, souvent déployés avec des droits étendus sur l'infrastructure sous-jacente. La compromission d'une appliance Remote Support ouvre un accès direct à tous les systèmes administrés via cet outil.

Une fois la faille exploitée, les attaquants ont escaladé leurs privilèges jusqu'au niveau root sur les appliances compromises. Mandiant a observé le déploiement de malwares personnalisés, la collecte de credentials, la modification des contrôles d'accès et le pivotement vers des systèmes aval. Ce schéma dépasse la simple prise de pied opportuniste : il s'agit d'une intrusion persistante typique du cyberespionnage étatique à long terme.

BeyondTrust a reproduit la vulnérabilité en interne, développé le correctif BT26-05 et commencé à le distribuer avant la divulgation publique. Les clients hébergés sur l'infrastructure SaaS BeyondTrust ont reçu le patch automatiquement à partir du 9 octobre 2026. Les opérateurs d'appliances auto-hébergées doivent l'appliquer manuellement via la console d'administration.

La CISA a ajouté CVE-2026-102764 à son catalogue Known Exploited Vulnerabilities (KEV) dans les 48 heures suivant la divulgation publique, imposant aux agences fédérales américaines un délai de remédiation de 21 jours. Ce signal KEV constitue une directive de fait pour l'ensemble des opérateurs d'infrastructures critiques.

BeyondTrust Remote Support est massivement déployé dans les services financiers, la santé, les administrations et les opérateurs télécoms. La nature de l'outil — accès direct aux postes et serveurs des utilisateurs — en fait une cible de premier choix pour des acteurs cherchant à pivoter dans un SI. Une seule appliance compromise peut potentiellement donner accès à des centaines de systèmes administrés.

CVE-2026-102764 s'inscrit dans une tendance documentée sur les 18 derniers mois : Ivanti (CVE-2026-104935), Cisco SEG (CVE-2026-76519), FortiMail (CVE-2026-104286) et maintenant BeyondTrust. Les APT étatiques chinois ciblent systématiquement les appliances de périmètre et d'accès distant comme vecteur d'entrée initial. Cette réalité impose une remise en question fondamentale de la confiance accordée aux outils de défense eux-mêmes.

Impact et exposition

Toutes les organisations opérant BeyondTrust Remote Support en version 26.2.3 ou antérieure sont exposées. Les environnements les plus à risque sont ceux où l'appliance est accessible depuis Internet sans restriction d'IP source, sans MFA sur tous les comptes, et sans segmentation réseau. Le contexte ARMORY CASTLE indique une campagne de cyberespionnage ciblée : secteurs gouvernementaux, défense, industries stratégiques et infrastructures critiques constituent les cibles prioritaires selon les rapports Mandiant.

Recommandations

• Appliquer immédiatement le patch BT26-05 sur toutes les appliances auto-hébergées BeyondTrust Remote Support ≤ 26.2.3.
• Auditer les logs depuis le 1er août 2026 : connexions depuis IP inhabituelles, modifications de configuration, création de comptes, déploiement de fichiers non autorisés.
• Restreindre l'accès réseau à l'interface d'administration aux seuls sous-réseaux autorisés ; couper l'accès Internet direct si non indispensable.
• Activer la MFA sur tous les comptes BeyondTrust Remote Support sans exception.
• Considérer l'appliance comme potentiellement compromise si elle était accessible depuis Internet entre le 29 août et le 9 octobre 2026 sans le patch BT26-05.