BeyondTrust Remote Support : la faille exploitée a son exploit public

L'outil de télémaintenance de vos équipes informatiques a souvent plus de droits que n'importe quel administrateur. C'est précisément ce qui en fait une cible. Le 15 octobre, BeyondTrust a révélé une faille critique dans Remote Support, sa solution d'assistance à distance, déjà exploitée par des attaquants depuis la fin du mois d'août.

Le 30 octobre, l'affaire a franchi un cap : Rapid7 a publié une analyse technique complète de CVE-2026-102764 et annoncé un module Metasploit qui automatise l'attaque. Ce qui était réservé à un groupe d'espionnage est désormais à la portée de n'importe quel attaquant.

Ce que l'on sait

D'après Google Threat Intelligence, le Centre canadien pour la cybersécurité, watchTowr et Rapid7 :

• Produit : BeyondTrust Remote Support en version auto-hébergée, versions 26.2.3 et antérieures.
• Gravité : score CVSS 3.1 de 9,8 sur 10, selon watchTowr.
• Nature : un défaut de validation de l'origine des messages internes. Selon Rapid7, un attaquant non authentifié peut écrire des fichiers sur l'appliance et exécuter du code, en passant par la connexion publique utilisée pour ouvrir une session d'assistance. Aucun compte ni aucune action d'un utilisateur n'est nécessaire.
• Exploitation : Google attribue les attaques, menées en zero-day à partir de fin août 2026, à ARMORY CASTLE, un groupe d'espionnage soupçonné d'être lié à la Chine. Deux instances sont citées : une hébergée par BeyondTrust et une auto-hébergée. Selon watchTowr, la CISA a ajouté la faille à son catalogue des vulnérabilités activement exploitées le 16 octobre.
• Exploit public : depuis le 30 octobre, l'analyse de Rapid7 et son module Metasploit décrivent la chaîne d'attaque de bout en bout.
• Cloud : selon Google et le Centre canadien, BeyondTrust a corrigé toutes les instances SaaS le 9 octobre. Les appliances auto-hébergées doivent être corrigées par leurs propriétaires.

Google avertissait dès le 15 octobre : les organisations doivent se préparer à une exploitation à grande échelle après la publication. La mise à disposition d'un exploit prêt à l'emploi rend ce scénario beaucoup plus probable.

Pourquoi c'est grave pour une entreprise

Une solution de télémaintenance n'est pas un serveur comme les autres. Par construction, elle est exposée sur Internet pour que les techniciens puissent intervenir, et elle ouvre des sessions sur les postes et serveurs de l'entreprise.

Selon Google, une fois l'appliance compromise, les attaquants ont :

• déposé un webshell et obtenu les droits root sur l'équipement ;
• extrait le coffre d'identifiants de l'appliance ;
• installé une persistance qui survit aux redémarrages ;
• élevé des droits dans l'application, jusqu'au rôle d'administrateur ;
• exfiltré des documents internes via la fonction de transfert de fichiers ;
• installé un tunnel pour rebondir vers le réseau interne ;
• effacé une partie des journaux.

En clair, compromettre cet outil, c'est obtenir les clés que vos équipes utilisent pour administrer le reste du système d'information.

Les versions et le correctif

Selon le Centre canadien pour la cybersécurité et Google :

• Versions 24.3.1 à 26.2.3 : appliquer le correctif BT26-05-RS, disponible depuis l'interface `/appliance`.
• Versions antérieures à 24.3.1 : passer d'abord à une version supportée, puis appliquer le correctif.
• Correctif introuvable dans l'interface : ouvrir un ticket auprès du support BeyondTrust en citant BT26-05.

Google rappelle un point essentiel : mettre à jour ferme la vulnérabilité, mais ne traite pas une compromission déjà survenue.

Les mesures à prendre maintenant

1. Inventorier. Recensez chaque instance BeyondTrust Remote Support, sa version et son mode d'hébergement, y compris celles opérées par un infogérant.
2. Préserver les preuves avant de corriger. Google recommande de réaliser un instantané de l'appliance virtuelle, mémoire comprise, avant tout changement ou redémarrage.
3. Corriger sans attendre les appliances auto-hébergées.
4. Considérer comme potentiellement compromise toute appliance vulnérable exposée sur Internet pendant la période à risque, et lancer une recherche de compromission à partir des indicateurs publiés par Google : fichiers PHP inconnus, comptes ou rôles modifiés, connexions administrateur inhabituelles, trous dans les journaux transmis à votre SIEM.
5. Reconstruire en cas de doute. Selon Beazley Security, un redémarrage ou une réinitialisation ne supprime pas la persistance observée.
6. Renouveler les identifiants après correction, pas avant. Changer les mots de passe stockés dans l'outil tant qu'un attaquant le contrôle revient à lui donner les nouveaux.
7. Réduire l'exposition. Limitez l'accès aux interfaces d'administration `/login` et `/appliance` à des réseaux de confiance, et restreignez les flux sortants de l'appliance.

Notre regard

Les outils d'accès à distance font partie des cibles préférées des attaquants : exposés, puissants, et rarement surveillés comme les serveurs critiques qu'ils sont. Lors de nos tests d'intrusion, nous voyons régulièrement des solutions de télémaintenance dont personne ne sait vraiment qui les administre, ni quels comptes elles peuvent ouvrir.

Si vous voulez vérifier que votre outil d'assistance à distance n'est pas devenu la porte d'entrée d'un attaquant, ou mener une recherche de compromission, contactez-nous.