veilletech.fr
17 oct. Feed du jour
#01 SÉCURITÉ Faille

BeyondTrust : zéro-day exploité, patch BT26-05-RS

Le correctif ferme la porte, il ne vide pas la pièce.

Le groupe chinois Armory Castle a exploité en zéro-day, dès le 29 août 2026, CVE-2026-102764 (CVSS 9,3) dans BeyondTrust Remote Support : une validation d'origine absente dans un composant interne permet d'agir sur les fichiers de l'appareil. La CISA l'a ajoutée au catalogue KEV le 16 octobre ; le patch BT26-05-RS couvre les versions auto-hébergées 24.3.1 à 26.2.3.

3 min de lectureintermédiairevidéo 1:20
Partager
Sommaire5 sections
  1. Ce qui se passe
  2. Versions et correctif
  3. Ce que l'attaquant fait après l'entrée
  4. Que faire
  5. À retenir

Ce qui se passe

BeyondTrust a publié le jeudi 15 octobre 2026 l'avis BT26-05 pour CVE-2026-102764, score CVSS 9,3, dans Remote Support (ex-Bomgar), son appliance d'assistance à distance. Un composant interne accepte des messages sans vérifier d'où ils viennent : un attaquant distant peut, dans certaines conditions, agir sur les fichiers de l'appareil. La CISA décrit la même faille comme un contournement d'authentification par usurpation et l'a inscrite au catalogue des failles exploitées (KEV) le 16 octobre, en même temps que CVE-2025-61624 côté Fortinet.

Date Événement
29 août 2026 Armory Castle exploite la faille en zéro-day sur un seul appareil auto-hébergé
27 septembre L'exploitation d'un autre équipementier de sécurité devient publique : BeyondTrust ouvre une enquête
9 octobre Correctif déployé chez tous les clients SaaS
15 octobre Avis BT26-05
16 octobre Ajout au KEV de la CISA

L'auteur est Armory Castle (ex-UNC5221, alias Warp Panda), un groupe lié à la Chine actif depuis octobre 2023, déjà vu sur Citrix NetScaler et Ivanti Connect Secure. Selon BeyondTrust, il emploie un zéro-day contre des cibles choisies, puis passe à l'exploitation large dès que la faille est publique.

Versions et correctif

Ce que l'attaquant fait après l'entrée

D'après Mandiant et Google Threat Intelligence Group :

  1. dépôt d'un web shell PHP léger, SAWFLY, avec canal de commande chiffré ;
  2. copie de /bin/sh vers /usr/bin/dbus-authd avec le bit SUID, pour devenir root ;
  3. lecture des secrets de l'appliance avec l'utilitaire /ns/sbin/bt-secrets, et root sans mot de passe pour le compte de service du site, obtenu par les modèles de configuration ;
  4. ouverture de sessions de support sur les machines de la liste Jump Item, donc accès complet à leurs fichiers ;
  5. tunnel BARECLAW (proxy SOCKS5 en C), rendu joignable depuis Internet en modifiant /ns/config/haproxy.conf ;
  6. effacement des journaux système, web et applicatifs.

L'accès passe par des VPN commerciaux et des routeurs domestiques compromis.

Que faire

Tout appareil exposé à Internet sous une version vulnérable pendant la période d'exploitation est à considérer comme potentiellement compromis jusqu'à examen. La CISA recommande :

  1. appliquer BT26-05-RS (ou monter de version si nécessaire) ;
  2. limiter l'accès externe aux seuls services utiles, et les interfaces d'administration aux réseaux de confiance ;
  3. si un doute existe : isoler l'appareil, en prendre un instantané, envoyer son syslog vers le SIEM, chercher sessions privilégiées inconnues, scripts inconnus, trous dans les journaux et changements de comptes ou de politiques de session ;
  4. reconstruire depuis un état sain, réappliquer le patch, renouveler tous les identifiants que l'appareil stockait ou injectait, révoquer les sessions de support actives et contrôler les nouveaux enrôlements d'authentification multifacteur sur les comptes privilégiés.

Source : The Hacker News, 16 octobre 2026 ; voir aussi l'alerte de la CISA, l'avis BT26-05 et l'analyse de Mandiant.