.png)
BeyondTrust corrige una vulnerabilidad crítica que permite manipular archivos en sus sistemas de soporte remoto
BeyondTrust ha publicado un aviso de seguridad por CVE-2026-102764, una vulnerabilidad crítica de validación incorrecta del origen de mensajes en su producto Remote Support. El fallo tiene una puntuación de 9,3 sobre 10 en CVSS v4.0 y, bajo determinadas condiciones, permite a un atacante remoto realizar operaciones sobre archivos del dispositivo afectado sin necesidad de autenticarse. El fabricante ha publicado una corrección y recomienda aplicarla de inmediato en las instalaciones autogestionadas que todavía no estén actualizadas.
La vulnerabilidad afecta a una herramienta utilizada por organizaciones para prestar asistencia técnica y administrar equipos a distancia. Por ello, un dispositivo vulnerable expuesto puede convertirse en un punto de entrada relevante para atacar la infraestructura corporativa.
Cómo funciona la vulnerabilidad
El origen del problema está en componentes internos de mensajería de BeyondTrust Remote Support que no validan adecuadamente la procedencia de los mensajes recibidos. Esta deficiencia se clasifica como CWE-290, autenticación incorrecta.
En determinadas condiciones, un atacante puede aprovechar esa falta de validación para ejecutar operaciones sobre archivos del dispositivo. La puntuación CVSS refleja un escenario de ataque por red, de baja complejidad, sin privilegios previos ni interacción del usuario, con un impacto potencial elevado sobre la confidencialidad, la integridad y la disponibilidad.
Alcance e impacto: el fabricante confirma explotación como zero-day
El caso va más allá de una vulnerabilidad teórica. BeyondTrust indica que un actor de espionaje presuntamente vinculado a China explotó el fallo como zero-day antes de su divulgación pública. Según la cronología publicada por la empresa, el primer incidente identificado se produjo el 29 de agosto de 2026.
En su actualización del 16 de octubre, BeyondTrust afirmó que solo tenía constancia de dos clientes afectados: una instancia alojada por el fabricante y un dispositivo autogestionado. La empresa también señaló que no había observado actividad del atacante desde agosto. Estas cifras corresponden a la investigación del proveedor y no permiten descartar otros posibles afectados fuera de su visibilidad.
Tras obtener acceso, el actor habría instalado una web shell para operar a través del servidor web del dispositivo, escalado privilegios, accedido a credenciales almacenadas y eliminado registros locales para dificultar la investigación. Estos comportamientos se describen en el análisis del incidente publicado por BeyondTrust; no deben interpretarse como consecuencias inevitables de cualquier explotación de la CVE.
Versiones afectadas y cómo mitigar el riesgo
El aviso oficial de BeyondTrust identifica como afectadas todas las versiones de Remote Support hasta la 26.2.3, inclusive. La corrección se distribuye mediante el parche BT26-05-RS para las versiones 24.3.1 a 26.2.3. Las instalaciones anteriores a la 24.3.1 deben actualizarse a una versión más reciente para poder aplicar el parche.
Las medidas recomendadas son:
Aplicar el parche inmediatamente en las instalaciones autogestionadas y comprobar que la actualización se ha completado. Los clientes SaaS de Remote Support ya habían recibido la corrección automáticamente, según el fabricante.
Revisar los registros y buscar indicios de intrusión, como sesiones administrativas desconocidas, scripts inesperados en directorios web, cambios de permisos no autorizados o interrupciones anómalas en el envío de logs.
Reforzar la exposición de red, limitando las interfaces administrativas a redes de confianza y restringiendo las conexiones entrantes y salientes a las estrictamente necesarias.
Preservar registros externos en un SIEM u otro sistema centralizado. Si existen indicios de compromiso, deben investigarse también las credenciales almacenadas en el dispositivo y valorar su rotación.
Actualizar también Privileged Remote Access (PRA) en instalaciones autogestionadas. Aunque BeyondTrust no confirmó una vía de explotación de esta vulnerabilidad en PRA, publicó un parche preventivo porque comparte código con Remote Support.
Fuentes
1. BeyondTrust PSIRT — Aviso de seguridad BT26-05. Fuente primaria: puntuación CVSS, versiones afectadas y corregidas, descripción técnica y medidas de mitigación.
2. BeyondTrust — ARMORY CASTLE and BT26-05: What Security Teams Need to Know. Análisis del fabricante sobre la explotación como zero-day, los dos clientes identificados, las técnicas posteriores al acceso y las recomendaciones de investigación.
3. NVD — CVE-2026-102764. Referencia para contrastar la clasificación y los datos de la vulnerabilidad.
Comentarios