Falha zero-day no BeyondTrust abriu caminho para sistemas internos
Uma vulnerabilidade crítica no BeyondTrust Remote Support foi explorada antes de sua divulgação pública. Em uma investigação sobre uma invasão, especialistas observaram que os atacantes usaram a falha para enviar arquivos ao equipamento, manter acesso ao appliance e avançar em direção a credenciais e sessões de suporte remoto associadas a sistemas internos.
Identificada como CVE-2026-102764, a falha recebeu nota 9,3 de 10 no CVSS v4, classificação que indica gravidade crítica. O problema está relacionado à validação inadequada da origem de mensagens em um componente interno do Remote Support. Em determinadas condições, essa deficiência permite realizar operações de arquivo no equipamento.
O alerta de segurança da BeyondTrust, identificado como BT26-05, foi publicado em 15 de outubro. No entanto, de acordo com a investigação da Mandiant, a exploração já ocorria no fim de agosto, antes da divulgação. A atividade foi atribuída ao grupo rastreado como ARMORY CASTLE, descrito pela equipe de inteligência como um possível grupo de espionagem ligado à China. Essa atribuição corresponde à avaliação da Mandiant, baseada nos recursos e métodos observados, e não representa uma confirmação independente da identidade dos operadores.
Como a invasão pode avançar
Nos registros examinados, os invasores instalaram um webshell – um mecanismo que permite controlar remotamente o sistema comprometido – e adotaram técnicas para elevar privilégios e prolongar o acesso ao appliance. A análise também encontrou tentativas de remover vestígios da atividade.
Em uma fase posterior do incidente, os atacantes tentaram acessar credenciais armazenadas no equipamento e modificaram permissões de contas administrativas. Isso permitiu iniciar sessões remotas com dispositivos configurados como Jump Items, recurso usado para conectar o BeyondTrust a equipamentos internos. Durante essas sessões, foram acessados arquivos em endpoints da organização.
Esse cenário descreve uma investigação específica. A exploração da CVE não significa, por si só, que todos os sistemas afetados tenham sofrido as mesmas ações ou consequências. Ainda assim, como a plataforma pode intermediar conexões privilegiadas, uma falha nesse tipo de produto pode servir de ponto de partida para alcançar outros ambientes.
Versões afetadas e correção
A BeyondTrust informa que todas as versões do Remote Support até a 26.2.3 são afetadas. O patch BT26-05-RS pode ser aplicado às instalações entre as versões 24.3.1 e 26.2.3. Quem utiliza uma versão anterior à 24.3.1 precisa primeiro atualizar o produto para uma versão mais recente e, em seguida, aplicar a correção indicada.
A empresa afirma ter corrigido os ambientes SaaS de seus clientes em 9 de outubro de 2026. Nas instalações self-hosted, mantidas pela própria organização, é necessário confirmar se a atualização foi aplicada automaticamente ou instalá-la pela interface do appliance. A checagem deve incluir a versão efetivamente em execução, e não apenas a existência de uma rotina de atualização habilitada.
A correção impede a exploração da vulnerabilidade, mas não prova que um equipamento esteja livre de comprometimento anterior. Organizações que mantiveram appliances expostos durante o período de exploração devem avaliar o sistema com cautela até concluir uma investigação.
O que as equipes de segurança devem verificar
Além de atualizar o Remote Support, é importante revisar alterações inesperadas em contas administrativas, permissões e configurações. As equipes também devem investigar sessões remotas, transferências de arquivos e acessos a Jump Items que não correspondam às atividades de suporte autorizadas.
Os registros externos podem ser decisivos. Como um invasor com controle do appliance pode apagar ou modificar logs locais, vale consultar dados preservados em sistemas de syslog, firewalls, proxies reversos e WAFs. A comparação entre essas fontes ajuda a identificar conexões incomuns e a reconstruir a sequência de eventos.
Se houver indícios de invasão, a prioridade é preservar evidências antes de reiniciar o equipamento ou realizar mudanças que possam apagar informações úteis. Em seguida, a organização deve conter acessos suspeitos e avaliar se é necessário reconstruir o appliance a partir de uma imagem limpa. Restaurar o serviço sem investigar a origem do problema pode deixar mecanismos de persistência ativos.
A resposta também deve incluir a rotação de credenciais relacionadas ao equipamento, especialmente as que possam ter sido armazenadas nele ou usadas em sessões de suporte. Senhas e chaves associadas a contas privilegiadas merecem atenção especial. Quando possível, é recomendável invalidar sessões existentes e revisar os dispositivos alcançados por meio do Remote Support.
Para reduzir o risco futuro, as organizações podem limitar o acesso à interface de administração a redes confiáveis, restringir privilégios conforme a função de cada usuário e habilitar autenticação multifator. Também é importante manter inventário atualizado dos appliances, definir responsáveis por acompanhar alertas de segurança e testar os procedimentos de atualização antes de aplicá-los em ambientes críticos.
O caso evidencia o impacto potencial de uma falha em ferramentas de acesso remoto: elas conectam equipes técnicas a diversos sistemas e podem intermediar credenciais privilegiadas. No Brasil, organizações que utilizam o produto devem identificar todas as instâncias – especialmente as hospedadas em infraestrutura própria -, verificar se estão expostas à internet e confirmar a versão instalada. Até a publicação do alerta, não havia indicação de vítimas brasileiras nas informações consideradas; o risco local está associado à presença de instalações vulneráveis, e não a um incidente confirmado no país.