Grupo vinculado a China explota una vulnerabilidad zero-day de BeyondTrust
Los piratas informáticos de Armory Castle utilizaron una vulnerabilidad crítica de BeyondTrust para comprometer servidores de soporte remoto. Las organizaciones que utilizan la plataforma deben actuar de inmediato.
Resumen
- El grupo APT vinculado a China Armory Castle explotó una nueva vulnerabilidad zero-day en BeyondTrust Remote Support.
- La falla, CVE-2026-102764, tiene una puntuación CVSS de 9,3 y afecta componentes internos de mensajería.
- El ataque se dirigió a servidores de soporte remoto, posiblemente permitiendo el control total del sistema.
- BeyondTrust ha publicado parches; se insta a las organizaciones a actualizar inmediatamente.
- Este incidente resalta los riesgos asociados al uso de herramientas de acceso remoto de terceros en entornos empresariales.
A finales de agosto de 2026, actores de amenazas vinculados a China explotaron una vulnerabilidad desconocida previamente en BeyondTrust Remote Support. El grupo, conocido como Armory Castle (también llamado UNC5221 o Warp Panda), aprovechó esta falla para obtener acceso no autorizado a servidores de soporte remoto.
La vulnerabilidad, ahora identificada como CVE-2026-102764, reside en un componente interno de mensajería y tiene una puntuación CVSS alta de 9,3. Permite a los atacantes evitar la validación del origen, lo que potencialmente puede llevar al compromiso completo del servidor. Este caso representa otro ejemplo de adversarios patrocinados por estados que apuntan a soluciones empresariales de acceso remoto con fines de infiltración persistente en redes.
Resumen de la vulnerabilidad
- CVE-2026-102764 es una falla de validación incorrecta del origen en el sistema interno de mensajería de BeyondTrust Remote Support.
- Se explotó como un zero-day, lo que significa que no existía ningún parche en el momento del ataque.
- La vulnerabilidad permite a los atacantes ejecutar comandos arbitrarios en sistemas afectados.
- Una puntuación CVSS de 9,3 indica gravedad crítica y alta capacidad de explotación.
Impacto y recomendaciones
- Las organizaciones que usan BeyondTrust Remote Support deben verificar que están ejecutando versiones parcheadas.
- Revisar registros de red en busca de actividad inusual durante los intentos de explotación.
- Implementar segmentación de red para limitar el movimiento lateral desde servidores de soporte comprometidos.
- Monitorear indicadores de compromiso (IOCs) asociados con las operaciones de Armory Castle.
- Considerar una supervisión más estricta sobre todas las herramientas de administración remota de terceros debido al riesgo elevado.
Fuentes
Fuentes
Novedades de seguridad por correo
Un correo resumen cuando publicamos nuevos artículos de seguridad (resumen más enlaces para leer más). Date de baja cuando quieras desde el pie del mensaje. Consulta nuestra Política de privacidad.