CISA confirma explotación activa de falla crítica en BeyondTrust

El fabricante liberó el parche BT26-05-RS para un bypass de autenticación en Remote Support (ex Bomgar). The Hacker News atribuye la explotación previa al parche a un actor vinculado a China; CSA Labs sigue la campaña bajo el nombre interno 'Armory Castle'.

Qué pasó

CISA emitió una alerta urgiendo el parcheo de CVE-2026-102764, una vulnerabilidad crítica de bypass de autenticación en BeyondTrust Remote Support (producto conocido anteriormente como Bomgar), que afecta a instalaciones autoalojadas en versión 26.2.3 y anteriores. El fabricante liberó la Security Advisory BT26-05 con el parche BT26-05-RS; las organizaciones que corren versiones anteriores a 24.3.1 deben primero actualizar a una versión soportada antes de poder aplicar el parche.

Según CISA, actores de amenaza ya están explotando la falla activamente para obtener acceso inicial al appliance y, desde ahí, establecer persistencia, escalar privilegios y moverse lateralmente hacia la red del cliente. El CVE fue incorporado al catálogo KEV el 16 de octubre de 2026, lo que en Estados Unidos activa plazo de remediación obligatorio para agencias federales (BOD 22-01) — esa obligación no aplica en Chile, pero la inclusión en KEV es la señal más confiable de que la explotación es real y no teórica.

The Hacker News reporta que la explotación habría comenzado como día cero, antes de la publicación del parche, y la atribuye a un actor vinculado a China especializado en tomar control de appliances de soporte remoto. CSA Labs publicó una nota de investigación paralela que rastrea la misma campaña bajo el nombre interno 'Armory Castle', centrada en la toma de control del appliance. Ninguna de las dos fuentes primarias (CISA, CSA Labs) confirma públicamente la atribución geopolítica; esa pieza específica depende de una sola fuente derivada, por lo que la tratamos como indicio, no como hecho confirmado.

Por qué importa acá

No tenemos evidencia de una organización chilena específicamente afectada por esta campaña, y no la inventamos. Lo que sí es relevante para un lector en Chile:

• BeyondTrust Remote Support es una herramienta de acceso remoto privilegiado (PAM/soporte técnico) usada típicamente por mesas de ayuda, MSPs y áreas de TI para conectarse a estaciones y servidores de clientes o de la propia organización. Por diseño, un appliance de este tipo concentra credenciales y rutas de acceso hacia activos críticos — es exactamente el tipo de producto que, si se compromete, no da acceso a un solo sistema sino a todo lo que ese appliance administra.
• Evaluación, confianza media: es razonable asumir que existen instalaciones de BeyondTrust Remote Support en empresas chilenas (banca, retail, salud, gobierno) dado su uso extendido en mesas de ayuda corporativas a nivel regional, pero no tenemos una cifra ni un listado verificado de clientes chilenos. La alternativa que no podemos descartar es que la base instalada local sea marginal frente a otras herramientas de soporte remoto (TeamViewer, AnyDesk, ConnectWise). Lo que confirmaría esta evaluación: un reporte de ANCI o un hallazgo propio de un appliance expuesto con huella chilena.
• Si una organización bajo la Ley 21.663 (OIV) opera este producto de forma autoalojada y detecta indicios de explotación, el deber de reporte a ANCI aplica al incidente, no a la sola existencia de la vulnerabilidad. No citamos plazos específicos porque no los verificamos para este caso puntual.
• La lección trasladable, independiente de si hay o no víctimas chilenas hoy: cualquier appliance de soporte remoto expuesto a internet sin restricción de origen es un objetivo de alto valor, y ese patrón sí es local y verificable hoy mismo revisando el propio inventario.

Anatomía del ataque

Mapeo a marcos públicos, para que puedas cruzarlo con tu propia matriz de cobertura.

• T1190 — El bypass de autenticación en la interfaz del appliance Remote Support expuesto a internet es el vector de entrada descrito por CISA.
• T1068 — CISA describe escalamiento de privilegios posterior al acceso inicial; el mecanismo exacto no es público, se trata como hipótesis consistente con la naturaleza administrativa del appliance.
• T1098 — Evaluación de confianza media: en appliances PAM comprometidos es común que el atacante cree o modifique cuentas administrativas para persistir; no confirmado específicamente para esta campaña.
• T1021 — CISA reporta movimiento lateral posterior al compromiso del appliance, consistente con el uso del propio canal de soporte remoto para pivotear hacia la red del cliente.

title: Sesion administrativa BeyondTrust sin MFA previo
id: 3b9f2a1d-6c4e-4f82-9a71-8e2d5b6c9f04
status: experimental
description: Detecta la creacion de una sesion con privilegios administrativos en la consola de BeyondTrust Remote Support que no esta precedida por un evento de desafio MFA en la ventana esperada, patron conductual consistente con un posible bypass de autenticacion relacionado a CVE-2026-102764. Requiere que el appliance envie su log de auditoria al SIEM con eventos de sesion y de MFA diferenciados.
references:
  - https://www.cisa.gov/news-events/alerts/2026/10/16/cisa-urges-patching-critical-vulnerability-beyondtrust-remote-support
  - https://www.beyondtrust.com/trust-center/security-advisories/bt26-05
author: Vantis
date: 2026-10-20
logsource:
  product: beyondtrust
  service: remote-support-audit
detection:
  admin_session:
    EventType: 'AdminSessionStart'
  mfa_challenge:
    EventType: 'MFAChallengeIssued'
  condition: admin_session and not mfa_challenge
fields:
  - SourceIP
  - AccountName
  - SessionId
falsepositives:
  - Integraciones SSO legitimas que delegan el desafio MFA a un IdP externo y no generan el evento MFAChallengeIssued localmente en el appliance
  - Cuentas de servicio con excepcion de MFA aprobada formalmente
level: high

index=beyondtrust sourcetype=bt_remote_support_audit EventType="AdminSessionStart"
| join type=left SessionId
    [ search index=beyondtrust sourcetype=bt_remote_support_audit EventType="MFAChallengeIssued"
      | rename SessionId as mfa_SessionId ]
| where isnull(mfa_SessionId)
| table _time, SourceIP, AccountName, SessionId

CommonSecurityLog
| where DeviceVendor == "BeyondTrust" and Activity == "AdminSessionStart"
| join kind=leftouter (
    CommonSecurityLog
    | where DeviceVendor == "BeyondTrust" and Activity == "MFAChallengeIssued"
    | project SessionId_mfa = DeviceCustomString1
) on $left.DeviceCustomString1 == $right.SessionId_mfa
| where isempty(SessionId_mfa)
| project TimeGenerated, SourceIP, DestinationUserName, DeviceCustomString1

Fuentes

• CISACISA Urges Patching Critical Vulnerability in BeyondTrust Remote Support · 2026-10-16
• CISACISA Adds Two Known Exploited Vulnerabilities to Catalog · 2026-10-16
• BeyondTrustBeyondTrust Security Advisory BT26-05 · 2026-10-16
• The Hacker NewsChina-Linked Hackers Exploited BeyondTrust Zero-Day to Take Over Remote Support Servers · 2026-10-16
• CSA LabsBeyondTrust Remote Support Zero-Day: Armory Castle Appliance Takeover · 2026-10-18

Relacionado