Segui BeyondTrust ha divulgato CVE-2026-102764, una vulnerabilità critica in Remote Support (RS) sfruttata come zero-day da un sospetto attore di spionaggio informatico legato alla Cina. Il difetto ha un punteggio CVSS 4.0 di 9.3 e può permettere a un attaccante remoto non autenticato di eseguire operazioni di file arbitrarie su un apparato vulnerabile.
Google Threat Intelligence Group e Mandiant attribuiscono lo sfruttamento osservato ad ARMORY CASTLE, precedentemente tracciato come UNC5221 e anche associato al nome WARP PANDA. Il gruppo ha una storia di attacchi a dispositivi di sicurezza esposti a Internet e sfruttamento di vulnerabilità precedentemente sconosciute per ottenere accesso persistente ad ambienti di alto valore.
Gli attacchi sono iniziati già dal 29 agosto 2026, quando l’attore della minaccia ha sfruttato con successo un’istanza di Remote Support ospitata da BeyondTrust e un dispositivo autogestito. BeyondTrust successivamente ha riprodotto la vulnerabilità, sviluppato una correzione, e iniziato a distribuire la patch BT26-05 prima di divulgare pubblicamente il CVE il 15 ottobre 2026.
Lo sfruttamento riuscito può fornire agli attaccanti un punto d’appoggio su un apparato che media l’accesso remoto privilegiato e può contenere o fornire accesso a credenziali amministrative, segreti API, sessioni di supporto e endpoint interni. Mandiant ha osservato gli attaccanti nell’escalation dei privilegi a root, nel deploy di malware personalizzato, nel raccogliere credenziali, nel modificare i controlli di accesso e nel muoversi verso sistemi a valle.
Le organizzazioni possono sfruttare la piattaforma di rilevamento intelligente AI-Native di SOC Prime per accelerare la caccia alle minacce e l’ingegneria della rilevazione per vulnerabilità emergenti e campagne di sfruttamento attivo in ambienti SIEM, EDR, XDR e Data Lake.
Prime Architect può anche aiutare i team di sicurezza a trasformare l’intelligence sulle minacce tecniche in logica di rilevazione, query di ricerca, e regole specifiche dell’ambiente supportando un’analisi più rapida delle tecniche di attacco recentemente divulgate.
Analisi di CVE-2026-102764
CVE-2026-102764 riguarda le versioni di BeyondTrust Remote Support fino e inclusa la 26.2.3. BeyondTrust classifica il problema come una validazione impropria dell’origine in un componente di messaggistica interno sotto CWE-290. I componenti interessati non validavano sufficientemente l’origine dei messaggi ricevuti, permettendo a un attaccante remoto, in determinate condizioni, di eseguire operazioni sui file sull’apparecchio.
Il difetto ha ricevuto un punteggio CVSS 4.0 di 9.3 con un vettore di attacco accessibile in rete, bassa complessità d’attacco, nessun privilegio richiesto e nessuna interazione dell’utente. Lo sfruttamento riuscito può avere un impatto elevato sulla riservatezza, l’integrità e la disponibilità.
BeyondTrust sta attualmente trattenendo i dettagli tecnici di basso livello della vulnerabilità mentre le organizzazioni autogestite completano la mitigazione. Tuttavia, l’indagine di risposta agli incidenti di Mandiant fornisce un notevole approfondimento su come gli attaccanti hanno operato dopo aver sfruttato la debolezza.
ARMORY CASTLE ha sfruttato la vulnerabilità per mettere in scena file dannosi su apparecchi Remote Support di BeyondTrust. Mandiant ha osservato richieste POST mirare a una risorsa PHP insolita prima della creazione di una webshell personalizzata chiamata SAWFLY nelle directory accessibili dalla web dell’apparecchio.
SAWFLY, memorizzato come mangoapi.php, è una webshell PHP leggera progettata per nascondere la propria presenza fornendo al contempo esecuzione di comandi interattivi. Utilizza un livello di comunicazione Base32 personalizzato combinato con la crittografia RC4 e risponde solo quando le richieste in entrata contengono un parametro specifico. Le richieste che non superano questo controllo ricevono una risposta HTTP 404, aiutando la webshell a eludere crawler automatici e controlli di sicurezza di base.
La webshell inizialmente veniva eseguita sotto un account di servizio del sito senza privilegi. Per ottenere accesso root, gli attaccanti hanno copiato /bin/sh in /usr/bin/dbus-authd, cambiato il proprietario del file in root, e abilitato il bit di permesso SUID. Eseguire questo binario modificato forniva quindi un’esecuzione di comandi a livello root persistente.
L’accesso root ha dato ad ARMORY CASTLE un controllo significativo sull’apparecchio BeyondTrust e sui dati di accesso privilegiato. Mandiant ha osservato l’attore abusare dell’utility amministrativa legittima /ns/sbin/bt-secrets per tentare di recuperare password, chiavi API, e altre credenziali memorizzate nel vault di segreti nativo dell’apparecchio.
Gli attaccanti hanno anche preso misure per mantenere l’accesso attraverso riavvii e ripristini di configurazione. Hanno creato uno script di avvio chiamato zz-root-persist sotto /home/bomgar/sbin/post_boot.d e modificato il template dei sudoers dell’apparecchio in modo che l’account di servizio compromesso ricevesse privilegi root senza password.
Un altro strumento personalizzato, BARECLAW, è stato distribuito per stabilire un tunneling coperto attraverso il dispositivo compromesso. BARECLAW è un proxy SOCKS5 basato su C che opera su WebSockets e può supportare autenticazione, offuscazione del traffico, restrizioni di destinazione, proxying a monte, e TLS.
Gli attaccanti hanno modificato la configurazione di HAProxy dell’apparecchio in modo che le richieste esterne a un percorso WebSocket appositamente scelto fossero reindirizzate in modo trasparente a BARECLAW in ascolto su localhost. Questo permetteva al tunneler di rimanere nascosto dalla scansione delle porte esterne di base pur essendo comunque raggiungibile tramite l’infrastruttura legittima HTTPS dell’apparecchio.
L’attività post-compromissione si è estesa oltre l’apparato stesso. ARMORY CASTLE ha utilizzato le autorizzazioni di amministrazione di BeyondTrust rubate o modificate per avviare sessioni di Remote Support contro endpoint interni, richiedere accesso al file-system, e scaricare documenti interni utili per il riconoscimento.
L’attore della minaccia ha anche intrapreso estese misure anti-forensi. Mandiant ha osservato la cancellazione dei log di autenticazione, dei record del server web, dei log delle applicazioni, dei log PHP e dei record associati all’accesso al vault delle credenziali. Questi comportamenti sottolineano l’importanza di inoltrare la telemetria dell’apparato a un SIEM esterno o a un repository di log che gli attaccanti non possano cancellare dopo una compromissione a livello di host.
BeyondTrust attribuisce l’attività ad ARMORY CASTLE con fiducia da moderata a elevata, coerente con la valutazione di Mandiant. Il gruppo ha precedentemente sfruttato vulnerabilità in prodotti edge e di accesso remoto, inclusi Citrix NetScaler e Ivanti Connect Secure, come parte di operazioni di spionaggio a lungo termine.
La divulgazione corrente non include un exploit PoC pubblico per CVE-2026-102764. BeyondTrust ha esplicitamente trattenuto i dettagli dello sfruttamento per ridurre il rischio di attacchi emulativi mentre gli apparati autogestiti vulnerabili rimangono senza patch.
Per il rilevamento di CVE-2026-102764, i difensori dovrebbero investigare file PHP insoliti, creazione di file inattesa in directory accessibili dalla web, binari SUID inspiegabili, modifiche ai template di HAProxy o sudoers, modifiche sospette al ruolo amministrativo e interruzioni nella trasmissione dei log dell’apparato.
Mitigazione di CVE-2026-102764
BeyondTrust ha rilasciato la patch BT26-05 ai clienti colpiti prima della divulgazione coordinata. Al 9 ottobre 2026, l’azienda aveva applicato la correzione a tutte le istanze clienti di Remote Support SaaS. I clienti SaaS non devono patchare manualmente l’apparecchio stesso.
I clienti di Remote Support autogestito che eseguono la versione 24.3.1 fino alla 26.2.3 dovrebbero immediatamente installare la patch BT26-05-RS tramite l’interfaccia di gestione dell’apparecchio. Le organizzazioni che eseguono una versione più vecchia della 24.3.1 devono prima aggiornare a una release supportata prima di applicare la patch di sicurezza.
Anche se BeyondTrust ha confermato che Remote Support è vulnerabile, Privileged Remote Access condivide porzioni del codice colpito. Il fornitore non ha identificato un metodo di sfruttamento riuscito per il problema contro PRA ma ha rilasciato una patch corrispondente come precauzione e raccomanda ai clienti PRA autogestiti di applicarla.
Le organizzazioni dovrebbero considerare qualsiasi apparato Remote Support accessibile da Internet che è rimasto vulnerabile durante la finestra di sfruttamento come potenzialmente compromesso fino a quando non è stato completamente investigato. L’installazione della patch previene lo sfruttamento futuro ma non rimuove malware o persistenza stabilita prima della mitigazione.
Mandiant raccomanda di conservare le prove forensi prima di riavviare o ricostruire un apparecchio sospetto. Per gli apparecchi virtuali, questo include la cattura della memoria dove possibile, la creazione di uno snapshot, e l’esportazione del disco. Le organizzazioni dovrebbero inoltre preservare i record del firewall esterno, WAF, reverse-proxy e SIEM coprendo l’intera finestra di esposizione.
Gli apparati confermati o potenzialmente compromessi dovrebbero essere isolati al perimetro. Le organizzazioni possono anche limitare il traffico in uscita mantenendo l’accesso solo all’infrastruttura essenziale per aggiornamenti e licenze di BeyondTrust.
Se la compromissione a livello host è confermata o non può essere esclusa, Mandiant raccomanda di ricostruire l’apparecchio da un’immagine pulita e completamente patchata anziché tentare di rimuovere singoli componenti malevoli. La persistenza a livello host osservata nella campagna può sopravvivere ai riavvii e ai ripristini di configurazione.
La rotazione delle credenziali dovrebbe avvenire solo dopo che l’apparecchio compromesso è stato patchato, isolato o ricostruito. Altrimenti, nuove credenziali possono immediatamente diventare accessibili a un attaccante che mantiene il controllo del sistema.
Le credenziali prioritarie per la rotazione includono gli amministratori dell’apparecchio, gli amministratori di Remote Support, i segreti del client API, le chiavi SAML, gli account di bind del servizio directory, le credenziali del Vault di Remote Support, i segreti di integrazione e le credenziali immesse durante le sessioni di supporto potenzialmente compromesse.
Per rilevare lo sfruttamento di CVE-2026-102764, i team di sicurezza dovrebbero correlare richieste web ed eventi di creazione di file con cambiamenti di account, attività di sessione di supporto, trasferimenti di file inaspettati, connessioni WebSocket sospette, e lacune nei log inoltrati esternamente.
Gli IOC pubblicati per CVE-2026-102764 includono il nome file del webshell SAWFLY mangoapi.php con SHA-256 dc14e215269a93fdbc4c1a80b984c23faf7af0911c6dbb85309796a6f2ae95fb, il binario BARECLAW ingredi_ws con SHA-256 1f19b9a27d79c11bda00a1e8faf74a7fdd683d38ccef1b60df2fd0307e3aa462, e il percorso di staging app_84304470.php.
Ulteriori indicatori comportamentali includono la creazione di /usr/bin/dbus-authd con permessi SUID, lo script di avvio zz-root-persist, modifiche sospette a /ns/config/sudoers.template, modifiche inaspettate a /ns/config/haproxy.conf, e il percorso WebSocket /uidchanarge.
I team di sicurezza dovrebbero anche rivedere gli eventi di audit di BeyondTrust per incrementi inattesi delle autorizzazioni su Jump Item o Team, nuovi account API o utenti creati, accessi di amministratori sospetti, sessioni di trasferimento file inspiegabili e modifiche nelle destinazioni di logging esterne.
Poiché ARMORY CASTLE ha sistematicamente cancellato i log locali durante l’intrusione osservata, le organizzazioni non dovrebbero fare affidamento esclusivamente sulle prove residenti sull’apparecchio. L’inoltro centralizzato dei log, la telemetria della rete perimetrale, i log del reverse-proxy, e la telemetria degli endpoint a valle sono essenziali per ricostruire una potenziale compromissione.
BeyondTrust raccomanda anche di limitare l’accesso alle interfacce /login e /appliance, di applicare MFA resistente al phishing per gli amministratori, di ridurre al minimo gli account privilegiati locali, di limitare i permessi API e di applicare un filtro predefinito di negazione per il traffico in uscita dove operativamente possibile.
La piattaforma di rilevamento intelligente AI-Native di SOC Prime può aiutare i team di sicurezza a operazionalizzare le ultime informazioni sulle minacce riguardanti l’attività di ARMORY CASTLE e accelerare la ricerca comportamentale attraverso telemetria di identità, rete, endpoint e dispositivi.
FAQ
Cos’è CVE-2026-102764 e come funziona?
CVE-2026-102764 è una vulnerabilità critica in BeyondTrust Remote Support causata da una convalida inadeguata delle origini dei messaggi all’interno di un componente di messaggistica interno. Un attaccante remoto non autenticato può sfruttare la debolezza per eseguire operazioni sui file su un apparecchio vulnerabile. Negli attacchi osservati, ARMORY CASTLE ha utilizzato il difetto per stabilire un punto d’appoggio iniziale prima di distribuire webshell, elevare i privilegi e ottenere il controllo a livello root.
Quando è stato scoperto per la prima volta CVE-2026-102764?
BeyondTrust ha osservato che ARMORY CASTLE ha sfruttato con successo lo zero-day il 29 agosto 2026. La caccia proattiva alle minacce dell’azienda ha identificato l’attività il 28 settembre, riprodotto la vulnerabilità lo stesso giorno e iniziato a sviluppare una correzione. La patch è stata rilasciata ai clienti l’8 ottobre, le distribuzioni SaaS sono state completamente patchate il 9 ottobre, e la divulgazione pubblica coordinata è avvenuta il 15 ottobre 2026.
Qual è l’impatto di CVE-2026-102764 sui sistemi?
Lo sfruttamento riuscito può abilitare operazioni sui file arbitrarie su un apparecchio BeyondTrust Remote Support e stabilire un percorso per una compromissione più profonda. Negli attacchi documentati, ARMORY CASTLE ha distribuito la webshell SAWFLY, elevato i privilegi a root, tentato di estrarre credenziali, creato un accesso amministrativo persistente, distribuito il tunneler BARECLAW, modificato le configurazioni dell’apparato e spostato verso sistemi interni.
CVE-2026-102764 può ancora influenzarmi nel 2026?
Sì. Gli apparati BeyondTrust Remote Support autogestiti che eseguono la versione 26.2.3 o precedenti rimangono a rischio a meno che non sia stata applicata la patch BT26-05. Gli apparecchi vecchi della versione 24.3.1 devono prima essere aggiornati. Le istanze SaaS di Remote Support sono state patchate da BeyondTrust entro il 9 ottobre 2026.
Come posso proteggermi da CVE-2026-102764?
Installa immediatamente la patch BT26-05, investiga sugli apparecchi che erano accessibili da Internet mentre erano vulnerabili, conserva la telemetria esterna e forense, e ricostruisci i sistemi dove la compromissione è confermata o non può essere esclusa. Ruota le credenziali privilegiate solo dopo il contenimento, limita le interfacce di amministrazione dell’apparato, impone l’MFA e continua a monitorare la guida di BeyondTrust per dettagli aggiornati su CVE-2026-102764.
