Une vulnérabilité BeyondTrust exploitée depuis août

Il s'agit de la vulnérabilité référencée CVE-2026-102764. Elle permet à un tiers sans privilèges élevés de contourner les mécanismes d'authentification des appliances affectées - jusqu'à la version 26.2.3 de Remote Support - pour réaliser des opérations de lecture/écriture de fichiers.

BeyondTrust a corrigé la vulnérabilité le 8 octobre pour ses clients SaaS. Le correctif doit être toutefois déployé manuellement par les utilisateurs d'appliances on-premises si les mises à jour automatiques n'ont pas été activées.

Dans un billet de blog, l'éditeur explique que la vulnérabilité a notamment été exploitée par un acteur malveillant spécialisé dans l'espionnage et lié à la Chine, Armory Castle, aussi désigné sous le nom de Warp Panda et UNC5221. Cette activité apparaît avoir commencé le 29 août. BeyondTrust a été informé d'un tel incident le 17 septembre et commencé à enquêter dans la foulée.

Mandiant explique de son côté qu'Armory Castle a exploité la vulnérabilité pour établir une première tête de pont puis élever ses privilèges et entamer son déplacement latéral. Il a exploité deux maliciels faits-maison récemment découverts : Sawfly, un webshell, et Bareclaw, un outil d'encapsulation de son trafic réseau. « En outre, l'acteur a régulièrement effacé les logs et artefacts des appliances afin de maintenir son accès et échapper à la détection ».

Sans surprise, l'assaillant s'est également attaché à essayer de collecter les secrets stockés dans la base de données dédiée au sein de l'appliance.

Pour Mandiant, il est important de considérer que « toute appliance accessible depuis Internet dans une version vulnérable durant la fenêtre d'exploitation a potentiellement été compromise ». Après application des correctifs, une rotation des secrets s'avère indispensable.