CVE-2026-102764 : BeyondTrust zero-day CVSS 9.3 exploité

Les faits

Le 15 octobre 2026, BeyondTrust a divulgué publiquement la CVE-2026-102764, une vulnérabilité critique (CVSS 9.3) affectant son produit phare BeyondTrust Remote Support, anciennement commercialisé sous le nom Bomgar. Cette faille résulte d'une validation incorrecte des origines de messages dans un composant de messagerie interne : elle permet à un attaquant non authentifié d'effectuer des opérations arbitraires sur les fichiers des appliances Remote Support.

Ce qui rend cette divulgation particulièrement préoccupante : l'exploitation dans la nature avait débuté 47 jours plus tôt, le 29 août 2026. Pendant près de sept semaines, un acteur étatique chinois a exploité cette faille en silence, ciblant des instances hébergées par BeyondTrust et des déploiements auto-hébergés, sans qu'aucune alerte publique ne soit émise à destination des organisations clientes.

L'attribution a été établie par Google Threat Intelligence Group et Mandiant, qui associent l'acteur au cluster ARMORY CASTLE, un groupe de cyberespionnage nexus-Chine précédemment suivi sous les désignations UNC5221 et WARP PANDA. Ce groupe est connu pour ses opérations de longue durée ciblant des infrastructures d'accès privilégié en Occident, notamment dans les secteurs de la défense, de l'énergie et des administrations publiques. L'identifiant advisory interne BeyondTrust est BT26-05.

Techniquement, CVE-2026-102764 exploite l'absence de contrôle strict sur les origines des messages dans le composant de messaging interne de Remote Support. Toutes les versions jusqu'à la 26.2.3 incluse sont concernées, qu'il s'agisse d'instances cloud hébergées par BeyondTrust ou de déploiements on-premise. La surface d'attaque est large : Remote Support est conçu pour être accessible depuis Internet, exposant mécaniquement des dizaines de milliers d'appliances dans le monde.

Dans les incidents documentés par Mandiant, ARMORY CASTLE a suivi un schéma d'exploitation reproductible. Après avoir obtenu l'accès initial via CVE-2026-102764, les attaquants ont déployé le webshell SAWFLY sur les appliances compromises. Ce webshell léger leur a permis d'exécuter des commandes arbitraires et de maintenir la persistance entre les sessions. En parallèle, ils ont installé le backdoor BARECLAW, utilisé pour établir des tunnels entrants via HAProxy, une technique classique pour contourner les règles de filtrage réseau orientées sortant et rendre le trafic de command-and-control difficile à distinguer du trafic légitime.

La chaîne d'attaque ne s'arrête pas à l'appliance elle-même. Mandiant a documenté une escalade de privilèges permettant aux attaquants d'atteindre le niveau root sur les systèmes compromis. ARMORY CASTLE a ensuite procédé à la modification des comptes administrateurs de Remote Support, créant des comptes backdoor persistants résistants aux rotations de mots de passe classiques. L'outil BeyondTrust stockant des clés et certificats utilisés pour chiffrer les sessions de support distant, leur exfiltration potentielle représente un risque de compromission différée de l'ensemble du parc géré par l'appliance.

BeyondTrust indique avoir reproduit la vulnérabilité, développé le correctif BT26-05 et commencé à le distribuer avant la divulgation publique du 15 octobre. Les instances cloud ont été mises à jour automatiquement. Les déploiements auto-hébergés nécessitent une intervention manuelle urgente. Aucune communication proactive générale vers les organisations clientes n'a été confirmée pendant les 47 jours d'exploitation silencieuse. Selon SecurityWeek et SOCRadar, BeyondTrust a notifié discrètement un nombre limité de clients directement affectés sans émettre d'alerte générale avant le patch.

A la date du 31 octobre 2026, la CVE-2026-102764 n'est pas encore inscrite au catalogue KEV (Known Exploited Vulnerabilities) de la CISA, bien que l'exploitation active soit confirmée par deux équipes de threat intelligence majeures. Une inscription au KEV est probable dans les prochains jours, ce qui entraînerait une obligation de remédiation sous 21 jours pour les agences fédérales américaines. Sources : Mandiant, Google Threat Intelligence Group, SecurityWeek, SOCRadar.

Impact et exposition

BeyondTrust Remote Support est déployé dans des milliers d'organisations mondiales, principalement des entreprises de taille intermédiaire et grandes entreprises dont les équipes IT utilisent l'outil pour l'assistance à distance sur postes de travail, serveurs et équipements réseau. La solution est particulièrement répandue dans les secteurs réglementés : santé, finance, défense, collectivités publiques. Le vecteur est pré-authentification : aucun compte n'est nécessaire pour exploiter la faille, seule l'accessibilité réseau de l'appliance est requise.

Les organisations utilisant BeyondTrust comme outil central de helpdesk sont particulièrement exposées : une compromission de l'appliance donne potentiellement accès à l'ensemble des sessions de support distant, et donc à tous les systèmes servis par cette appliance. La compromission d'un outil PAM (Privileged Access Management) est l'une des formes d'intrusion les plus dévastatrices dans un SI d'entreprise.

Recommandations

• Appliquer immédiatement le patch BT26-05 sur toutes les instances auto-hébergées en version 26.2.3 et inférieures
• Auditer les logs depuis le 29 août 2026 : rechercher des IOC liés aux webshells SAWFLY et au backdoor BARECLAW, des connexions sortantes anormales et des créations de comptes administrateurs non planifiées
• Réinitialiser tous les comptes administrateurs de l'appliance et révoquer les certificats potentiellement exposés
• Vérifier l'intégrité des binaires installés en comparant les hashes avec ceux publiés officiellement par BeyondTrust
• Isoler temporairement les instances non encore patchées et restreindre leur accès au réseau interne uniquement