Suivre BeyondTrust a divulgué CVE-2026-102764, une vulnérabilité critique dans Remote Support (RS) qui a été exploitée comme une zero-day par un acteur de cyberespionnage soupçonné d’avoir des liens avec la Chine. La faille a un score CVSS 4.0 de 9,3 et peut permettre à un attaquant distant non authentifié d’effectuer des opérations de fichiers arbitraires sur un appareil vulnérable.
Google Threat Intelligence Group et Mandiant attribuent l’exploitation observée à ARMORY CASTLE, précédemment suivi sous le nom UNC5221 et également associé au nom WARP PANDA. Le groupe a un historique de ciblage des appareils de sécurité exposés à Internet et d’exploitation de vulnérabilités inconnues pour obtenir un accès persistant à des environnements de grande valeur.
Les attaques ont commencé dès le 29 août 2026, lorsque l’acteur de la menace a exploité avec succès une instance de Remote Support hébergée par BeyondTrust et un appareil auto-hébergé. BeyondTrust a ensuite reproduit la vulnérabilité, développé un correctif et commencé à distribuer le patch BT26-05 avant de divulguer publiquement le CVE le 15 octobre 2026.
Une exploitation réussie peut fournir aux attaquants un point d’appui sur un appareil qui facilite un accès distant privilégié et peut contenir ou donner accès à des identifiants administratifs, secrets API, sessions de support et points de terminaison internes. Mandiant a observé les attaquants élever des privilèges à la racine, déployer des malwares personnalisés, collecter des identifiants, modifier les contrôles d’accès et pivoter vers des systèmes en aval.
Les organisations peuvent exploiter la plateforme AI-Native Detection Intelligence de SOC Prime pour accélérer la chasse aux menaces et le développement de détection pour les vulnérabilités émergentes et les campagnes d’exploitation active à travers les environnements SIEM, EDR, XDR et Data Lake.
Prime Architect peut également aider les équipes de sécurité à transformer les renseignements techniques sur les menaces en logique de détection, requêtes de chasse et règles spécifiques à l’environnement tout en soutenant une analyse plus rapide des techniques d’attaque récemment révélées.
Analyse de CVE-2026-102764
CVE-2026-102764 affecte les versions de BeyondTrust Remote Support allant jusqu’à la version 26.2.3 incluse. BeyondTrust classe le problème comme une validation d’origine incorrecte dans un composant de messagerie interne sous CWE-290. Les composants affectés n’ont pas suffisamment validé l’origine des messages reçus, permettant à un attaquant distant, dans les bonnes conditions, d’effectuer des opérations de fichiers sur l’appareil.
La faille a reçu un score CVSS 4.0 de 9,3 avec un vecteur d’attaque accessible par le réseau, une complexité d’attaque faible, aucun privilège requis et aucune interaction utilisateur. Une exploitation réussie peut avoir un impact élevé sur la confidentialité, l’intégrité et la disponibilité.
BeyondTrust retient actuellement les détails techniques de bas niveau de la vulnérabilité pendant que les organisations auto-hébergées complètent la remédiation. Cependant, l’enquête d’incident Mandiant fournit un aperçu substantiel sur la façon dont les attaquants ont opéré après avoir exploité la faiblesse.
ARMORY CASTLE a exploité la vulnérabilité pour mettre en scène des fichiers malveillants sur des appareils BeyondTrust Remote Support. Mandiant a observé des requêtes POST visant une ressource PHP inhabituelle avant la création d’un webshell personnalisé nommé SAWFLY dans les répertoires web accessibles de l’appareil.
SAWFLY, stocké sous le nom mangoapi.php, est un webshell PHP léger conçu pour dissimuler sa présence tout en fournissant une exécution de commande interactive. Il utilise une couche de communication Base32 personnalisée combinée à un chiffrement RC4 et ne répond que lorsque les requêtes entrantes contiennent un paramètre spécifique. Les requêtes qui échouent à ce contrôle reçoivent une réponse HTTP 404, aidant le webshell à échapper aux crawlers automatisés et à la numérisation de sécurité de base.
Le webshell s’exécutait initialement sous un compte de service de site non privilégié. Pour obtenir un accès root, les attaquants ont copié /bin/sh vers /usr/bin/dbus-authd, ont changé le propriétaire du fichier en root et ont activé le bit de permission SUID. L’exécution de ce binaire modifié a ensuite permis une exécution de commande persistante au niveau root.
L’accès root a donné à ARMORY CASTLE un contrôle significatif sur l’appareil BeyondTrust et ses données d’accès privilégié. Mandiant a observé l’acteur abusant de l’utilitaire administratif légitime /ns/sbin/bt-secrets pour tenter de récupérer des mots de passe, des clés API, et d’autres identifiants stockés dans le coffre-fort natif de l’appareil.
Les attaquants ont également pris des mesures pour maintenir l’accès à travers les redémarrages et les réinitialisations de configuration. Ils ont créé un script de démarrage appelé zz-root-persist sous /home/bomgar/sbin/post_boot.d et modifié le modèle sudoers de l’appareil de sorte que le compte de service compromis obtienne des privilèges root sans mot de passe.
Un autre outil personnalisé, BARECLAW, a été déployé pour établir un tunneling furtif à travers le dispositif compromis. BARECLAW est un proxy SOCKS5 basé en C qui fonctionne sur WebSockets et peut prendre en charge l’authentification, l’obfuscation du trafic, les restrictions de destination, le proxying en amont et le TLS.
Les attaquants ont modifié la configuration HAProxy de l’appareil afin que les requêtes externes vers un chemin WebSocket spécialement choisi soient redirigées de manière transparente vers BARECLAW écoutant sur localhost. Cela a permis au tunnelier de rester caché du scanning de port externe de base tout en étant toujours accessible via l’infrastructure HTTPS légitime de l’appareil.
L’activité post-compromission s’est étendue au-delà de l’appareil lui-même. ARMORY CASTLE a utilisé des permissions administratives BeyondTrust volées ou modifiées pour initier des sessions de Remote Support contre des points finaux internes, demander un accès au système de fichiers et télécharger des documents internes utiles pour la reconnaissance.
L’acteur de la menace s’est également engagé dans des pratiques anti-forensiques étendues. Mandiant a observé la suppression de journaux d’authentification, de registres de serveur web, de journaux d’application, de journaux PHP, et de registres associés à l’accès aux coffres-forts d’identifiants. Ces comportements soulignent l’importance d’une transmission des télémétries d’appareil à un SIEM externe ou à un dépôt de journaux que les attaquants ne peuvent pas effacer après la compromission au niveau de l’hôte.
BeyondTrust attribue l’activité à ARMORY CASTLE avec une confiance modérée à élevée, en accord avec l’évaluation de Mandiant. Le groupe a précédemment exploité des vulnérabilités dans des produits d’accès à distance et des produits de bordure, y compris Citrix NetScaler et Ivanti Connect Secure, dans le cadre d’opérations d’espionnage à long terme.
La divulgation actuelle n’inclut pas un PoC public pour CVE-2026-102764. BeyondTrust a explicitement retenu les détails d’exploitation pour réduire le risque d’attaques par imitation tandis que des appareils auto-hébergés vulnérables restent non patchés.
Pour la détection de CVE-2026-102764, les défenseurs devraient enquêter sur des fichiers PHP inhabituels, des créations de fichiers inattendues dans des répertoires web accessibles, des binaires SUID inexpliqués, des modifications à HAProxy ou aux modèles sudoers, des changements de rôle d’administrateur suspects, et des interruptions dans la transmission des journaux de l’appareil.
Mitigation de CVE-2026-102764
BeyondTrust a publié le patch BT26-05 aux clients affectés avant la divulgation coordonnée. Au 9 octobre 2026, la société avait appliqué le correctif à toutes les instances SaaS de Remote Support clients. Les clients SaaS n’ont pas besoin de patcher manuellement l’appareil lui-même.
Les clients de Remote Support auto-hébergés exécutant la version 24.3.1 à 26.2.3 devraient installer immédiatement le patch BT26-05-RS via l’interface de gestion de l’appareil. Les organisations exécutant une version antérieure à 24.3.1 doivent d’abord passer à une version prise en charge avant d’appliquer le correctif de sécurité.
Bien que BeyondTrust ait confirmé que Remote Support est vulnérable, Privileged Remote Access partage des portions du code affecté. Le vendeur n’a pas identifié de méthode d’exploitation réussie pour le PRA mais a publié un correctif correspondant par précaution et recommande que les clients PRA auto-hébergés l’appliquent.
Les organisations devraient considérer tout appareil Remote Support accessible via Internet qui est resté vulnérable pendant la fenêtre d’exploitation comme potentiellement compromis jusqu’à ce qu’il ait été minutieusement enquêté. L’installation du correctif empêche l’exploitation future mais n’élimine pas les malwares ou la persistance établis avant la remédiation.
Mandiant recommande de conserver les preuves forensiques avant de redémarrer ou de reconstruire un appareil suspect. Pour les appareils virtuels, cela inclut la capture de la mémoire si possible, la création d’un instantané et l’exportation du disque. Les organisations doivent également préserver les journaux de pare-feu externes, WAF, de reverse-proxy, et SIEM couvrant toute la fenêtre d’exposition.
Les appareils confirmés ou potentiellement compromis devraient être isolés au périmètre. Les organisations peuvent également restreindre le trafic sortant tout en maintenant l’accès uniquement à l’infrastructure de mise à jour et de licence essentielle de BeyondTrust.
Si la compromission au niveau de l’hôte est confirmée ou ne peut être exclue, Mandiant recommande de reconstruire l’appareil à partir d’une image propre et entièrement patchée plutôt que de tenter de supprimer des composants malveillants individuels. La persistance au niveau de l’hôte observée dans la campagne peut survivre aux redémarrages et aux réinitialisations de configuration.
La rotation des identifiants ne devrait avoir lieu qu’après que l’appareil compromis a été patché, isolé ou reconstruit. Sinon, de nouveaux identifiants pourraient devenir immédiatement accessibles à un attaquant qui maintient le contrôle du système.
Les identifiants prioritaires pour la rotation incluent les administrateurs d’appareil, les administrateurs de Remote Support, les secrets des clients API, les clés SAML, comptes de liaison de service d’annuaire, identifiants de Remote Support Vault, secrets d’intégration, et identifiants saisis durant des sessions de support potentiellement compromises.
Pour détecter l’exploitation de CVE-2026-102764, les équipes de sécurité devraient corréler les requêtes web et les événements de création de fichiers avec les changements de compte, l’activité de session de support, les transferts de fichiers inattendus, les connexions WebSocket suspectes, et les gaps dans la transmission des journaux externalisés.
Les IOCs publiés pour CVE-2026-102764 incluent le nom de fichier du webshell SAWFLY mangoapi.php avec SHA-256 dc14e215269a93fdbc4c1a80b984c23faf7af0911c6dbb85309796a6f2ae95fb, le binaire BARECLAW ingredi_ws avec SHA-256 1f19b9a27d79c11bda00a1e8faf74a7fdd683d38ccef1b60df2fd0307e3aa462, et le chemin de mise en scène app_84304470.php.
Des indicateurs comportementaux supplémentaires incluent la création de /usr/bin/dbus-authd avec des permissions SUID, le script de démarrage zz-root-persist, des changements suspects à /ns/config/sudoers.template, des modifications inattendues à /ns/config/haproxy.conf, et le chemin WebSocket /uidchanarge.
Les équipes de sécurité devraient également examiner les événements d’audit BeyondTrust pour des augmentations inattendues des permissions d’élément Jump ou d’équipe, des comptes ou utilisateurs d’API nouvellement créés, des connexions d’administrateurs suspectes, des sessions de transfert de fichiers inexpliquées, et des changements aux destinations de journalisation sortante.
Parce qu’ARMORY CASTLE a systématiquement supprimé les journaux locaux pendant l’intrusion observée, les organisations ne devraient pas se fier exclusivement aux preuves résidentes sur l’appareil. La transmission centralisée des journaux, la télémétrie du réseau périmétrique, les journaux de reverse-proxy, et la télémétrie des points de terminaison en aval sont essentiels pour reconstituer une potentielle compromission.
BeyondTrust recommande également de restreindre l’accès aux interfaces /login et /appliance, d’appliquer une MFA résistante au phishing pour les administrateurs, de minimiser les comptes locaux privilégiés, de limiter les permissions API, et d’appliquer un filtrage sortant par défaut-refus là où cela est opérationnellement faisable.
La plateforme AI-Native Detection Intelligence de SOC Prime peut aider les équipes de sécurité à opérationnaliser les dernières informations sur les menaces concernant l’activité d’ARMORY CASTLE et à accélérer la chasse comportementale à travers la télémétrie des identités, du réseau, des points de terminaison, et des appareils.
FAQ
Qu’est-ce que CVE-2026-102764 et comment fonctionne-t-il ?
CVE-2026-102764 est une vulnérabilité critique dans BeyondTrust Remote Support causée par une validation inadéquate des origines des messages dans un composant de messagerie interne. Un attaquant distant non authentifié peut abuser de cette faiblesse pour effectuer des opérations de fichiers sur un appareil vulnérable. Dans les attaques observées, ARMORY CASTLE a utilisé la faille pour établir un premier point d’appui avant de déployer des webshells, d’élever des privilèges, et de gagner un contrôle au niveau root.
Quand CVE-2026-102764 a-t-il été découvert pour la première fois ?
BeyondTrust a observé qu’ARMORY CASTLE a exploité avec succès le zero-day le 29 août 2026. La chasse proactive aux menaces de la société a identifié l’activité le 28 septembre, reproduit la vulnérabilité le même jour, et commencé à développer un correctif. Le patch a été publié pour les clients le 8 octobre, les déploiements SaaS ont été entièrement patchés par le 9 octobre, et la divulgation publique coordonnée a eu lieu le 15 octobre 2026.
Quel est l’impact de CVE-2026-102764 sur les systèmes ?
Une exploitation réussie peut permettre l’exécution d’opérations de fichiers arbitraires sur un appareil BeyondTrust Remote Support et ouvrir une voie vers une compromission plus profonde. Dans les attaques documentées, ARMORY CASTLE a déployé le webshell SAWFLY, a élevé les privilèges à root, a tenté d’extraire des identifiants, a créé un accès administratif persistant, a déployé le tunnelier BARECLAW, a modifié les configurations des appareils, et s’est diversifié vers les systèmes internes.
CVE-2026-102764 peut-elle encore m’affecter en 2026 ?
Oui. Les appareils BeyondTrust Remote Support auto-hébergés exécutant la version 26.2.3 ou antérieure restent à risque à moins que le patch BT26-05 n’ait été appliqué. Les appareils plus anciens que 24.3.1 doivent d’abord être mis à niveau. Les instances de Remote Support SaaS ont été patchées par BeyondTrust d’ici le 9 octobre 2026.
Comment puis-je me protéger de CVE-2026-102764 ?
Installez immédiatement le patch BT26-05, enquêtez sur les appareils qui étaient accessibles via Internet pendant qu’ils étaient vulnérables, conservez la télémétrie externe et forensic, et reconstruisez les systèmes où une compromission est confirmée ou ne peut être exclue. Faites la rotation des identifiants privilégiés seulement après l’endiguement, restreignez les interfaces d’administration des appareils, appliquez la MFA, et continuez de suivre les guides BeyondTrust pour des détails mis à jour sur CVE-2026-102764.
