CVE-2026-102764 permet à un attaquant distant non authentifié de prendre le contrôle total d'une appliance BeyondTrust Remote Support, et le groupe d'espionnage chinois Armory Castle l'a exploitée en zero-day dès la fin du mois d'août 2026, avant même que l'éditeur n'en ait connaissance. BeyondTrust a publié un correctif le 15 octobre 2026, après avoir déployé en urgence une mise à jour sur l'ensemble de ses environnements SaaS début octobre.
CVE-2026-102764 : une faille critique dans BeyondTrust Remote Support
Selon l'avis de sécurité officiel BT26-05 publié par BeyondTrust, CVE-2026-102764 est une faille de validation d'origine incorrecte (CWE-290) dans un composant de messagerie interne de Remote Support (RS), le logiciel d'accès à distance et de support utilisé par de nombreuses entreprises, anciennement connu sous le nom de Bomgar. Le score CVSS v4.0 atteint 9,3 sur 10, avec un vecteur indiquant un accès réseau sans authentification ni interaction utilisateur. L'exploitation permet d'écrire des fichiers arbitraires sur l'appliance, ce qui débouche sur un contrôle complet du système hôte et donc sur l'ensemble des identifiants que l'appliance centralise pour les techniciens de support.
À retenir : aucune authentification n'est nécessaire pour exploiter CVE-2026-102764. Toute appliance Remote Support joignable depuis le réseau de l'attaquant est potentiellement vulnérable, sans action de la victime.
Quels produits et versions sont concernés ?
La vulnérabilité touche BeyondTrust Remote Support, dans toutes les versions prises en charge jusqu'à la version 26.2.3 incluse. Le correctif BT26-05-RS s'applique aux déploiements situés entre les versions 24.3.1 et 26.2.3 :
| Déploiement | Mesure corrective |
|---|---|
| SaaS (hébergé par BeyondTrust) | Correctif déjà appliqué par l'éditeur le 9 octobre 2026, aucune action requise |
| Auto-hébergé, versions 24.3.1 à 26.2.3 | Appliquer le correctif BT26-05-RS sans délai |
| Auto-hébergé, versions antérieures à 24.3.1 | Migrer d'abord vers une version prise en charge, puis appliquer le correctif |
BeyondTrust précise que la mise à jour ferme la vulnérabilité mais ne remédie pas, seule, à une éventuelle compromission déjà en cours : une vérification des journaux reste nécessaire même après le correctif.
Qui est Armory Castle, le groupe derrière l'exploitation ?
Google Threat Intelligence Group (GTIG), la division de renseignement sur les menaces de Mandiant et Google, attribue cette exploitation au groupe qu'il désigne par le nom Armory Castle, suivi jusqu'ici sous l'identifiant UNC5221. Certains médias le rapprochent également de l'alias Warp Panda, une appellation qui n'apparaît toutefois pas dans la publication de GTIG consultée pour cet article et qu'il convient donc de considérer avec prudence. GTIG qualifie Armory Castle d'acteur « probablement lié à la Chine » (suspected PRC-nexus), actif depuis au moins octobre 2023 et connu pour cibler en priorité les équipements d'infrastructure exposés sur internet : pare-feux, passerelles VPN et, désormais, outils de support à distance.
Comment l'attaque s'est-elle déroulée ?
D'après GTIG, Armory Castle a déployé deux outils principaux après avoir exploité CVE-2026-102764. Le premier, nommé SAWFLY, est un webshell PHP léger et volontairement obfusqué, déposé sous un nom de fichier anodin : il ne répond que si un paramètre précis est présent dans la requête, et renvoie une erreur 404 dans tous les autres cas, ce qui le rend difficile à repérer lors d'un scan automatisé. Ses communications avec les serveurs des attaquants sont chiffrées de bout en bout.
Le second outil, BARECLAW, est un tunnel SOCKS5 écrit en langage C et relayé via WebSocket, qui permet aux attaquants de faire transiter leur trafic à travers l'appliance compromise comme s'ils se trouvaient à l'intérieur du réseau de la victime.
Au-delà de ces deux outils, GTIG a observé une série d'actions destinées à consolider l'accès et à effacer les traces. Les attaquants ont élevé leurs privilèges en copiant un interpréteur système vers un emplacement doté des droits root, puis extrait les identifiants gérés par l'appliance via un utilitaire interne de BeyondTrust avant de supprimer systématiquement les journaux correspondants.
Ils ont aussi mis en place un script de persistance exécuté à chaque démarrage, pour conserver un accès administrateur même après un redémarrage. Enfin, des comptes d'administration compromis ont servi à élargir leurs privilèges et à exfiltrer des inventaires logiciels via la fonction native de transfert de fichiers de Remote Support.
Ces comportements recoupent plusieurs techniques du référentiel MITRE ATT&CK, à titre de repère d'analyse plutôt que d'attribution officielle de GTIG :
| Comportement observé | Technique MITRE ATT&CK |
|---|---|
| Exploitation de CVE-2026-102764 | T1190 — Exploit Public-Facing Application |
| Webshell SAWFLY | T1505.003 — Server Software Component: Web Shell |
| Tunnel SOCKS5 BARECLAW | T1090 — Proxy |
| Vidage des identifiants puis suppression des journaux | T1070.002 — Indicator Removal: File Deletion |
| Script de persistance au démarrage | T1053 — Scheduled Task/Job |
À la date de publication, CVE-2026-102764 ne figure pas encore au catalogue des vulnérabilités connues pour être exploitées de la CISA (CISA KEV), à ne pas confondre avec une autre faille BeyondTrust, CVE-2026-1731, déjà inscrite à ce catalogue en février 2026 pour des attaques de rançongiciel distinctes.
Comment se protéger contre cette faille ?
L'urgence immédiate, pour toute organisation utilisant BeyondTrust Remote Support en auto-hébergé, est d'appliquer le correctif BT26-05-RS. Les clients SaaS ont déjà été protégés automatiquement par BeyondTrust depuis le 9 octobre 2026, mais doivent malgré tout examiner leurs journaux d'activité sur la période d'exposition, en particulier depuis fin août 2026.
Les équipes de détection peuvent s'appuyer sur plusieurs indicateurs rapportés par GTIG : la présence de fichiers webshell inhabituels dans les répertoires de Remote Support, des requêtes HTTP renvoyant systématiquement une erreur 404 sauf en présence d'un paramètre précis, des modifications non planifiées de la configuration du proxy applicatif de l'appliance, ou encore la présence d'un compte de service disposant soudainement de droits d'exécution élevés sans ticket de changement associé. Un schéma de compromission aide à visualiser cette chaîne d'attaque, de l'exploitation initiale jusqu'à l'exfiltration, pour la partager avec une équipe de réponse à incident.
À retenir : un correctif appliqué ne suffit pas à lui seul. Si l'appliance a été exposée entre fin août et le 9 (SaaS) ou le 15 octobre 2026 (auto-hébergé), une recherche de compromission reste recommandée avant de considérer l'incident clos.
Plus largement, cette campagne illustre une tendance déjà observée chez plusieurs groupes APT : cibler en priorité les équipements périphériques (VPN, pare-feux, outils d'accès à distance) plutôt que les postes de travail, parce qu'ils sont souvent moins surveillés et donnent un accès direct et privilégié au réseau interne. La base de données CVE de ForenShield permet de suivre les nouvelles failles touchant ce type d'équipements au fil de leur publication.
Points clés
- CVE-2026-102764 (CVSS 9,3) permet un contrôle total non authentifié de BeyondTrust Remote Support, jusqu'à la version 26.2.3.
- Le groupe chinois Armory Castle (ex-UNC5221) l'a exploitée en zero-day dès fin août 2026, selon Google Threat Intelligence Group.
- Les attaquants ont déployé le webshell SAWFLY et le tunnel SOCKS5 BARECLAW, puis effacé leurs traces et installé une persistance au démarrage.
- BeyondTrust a corrigé ses environnements SaaS le 9 octobre 2026 et publié le correctif BT26-05-RS pour les déploiements auto-hébergés le 15 octobre 2026.
- Une recherche de chevaux de Troie d'accès distant et d'indicateurs de compromission reste nécessaire même après l'application du correctif.