BeyondTrust ha corregido CVE-2026-102764, un fallo crítico (CVSS 9.3) en Remote Support que un grupo de espionaje chino explota desde el 29 de agosto. Afecta a los dispositivos autoalojados hasta la 26.2.3; los SaaS están parcheados. Si tu empresa o tu proveedor de IT lo aloja en servidor propio, aplica hoy el parche BT26-05-RS y busca indicios de intrusión.
Lo esencial
- CVE-2026-102764, CVSS 9.3. Es una validación incorrecta del origen de mensajes en un componente interno de Remote Support. Permite a un atacante remoto realizar operaciones con archivos en el dispositivo (BleepingComputer).
- Versiones afectadas: Remote Support 26.2.3 y anteriores. El parche BT26-05-RS cubre de la 24.3.1 a la 26.2.3. Si tienes una versión anterior a la 24.3.1, primero debes actualizar.
- Día cero desde el 29 de agosto de 2026, obra de Armory Castle (antes UNC5221 o Warp Panda), según The Hacker News.
- Clientes SaaS parcheados el 8 de octubre según BleepingComputer, y el 9 según The Hacker News y SecurityWeek.
- CISA lo añadió a su catálogo KEV de vulnerabilidades explotadas el 16 de octubre (CISA).
¿Me afecta si uso BeyondTrust?
Depende de cómo lo tengas. Si usas Remote Support en modalidad SaaS, BeyondTrust ya lo ha parcheado por ti. El riesgo está en los dispositivos autoalojados, los que tu equipo de IT o tu proveedor instala en servidores propios. Si no tienen actualizaciones automáticas, el parche hay que aplicarlo a mano.
Las fuentes difieren en un detalle. SecurityWeek dice que el ataque de agosto alcanzó un dispositivo alojado por BeyondTrust y otro autoalojado; The Hacker News habla de un único dispositivo autoalojado.
BeyondTrust también ha publicado parche para Privileged Remote Access (PRA), que comparte el código afectado. Sus pruebas internas no han encontrado forma de explotarlo ahí.
Remote Support (antes Bomgar) lo usan sobre todo departamentos de IT y proveedores de servicios gestionados (MSP). Si tienes un MSP que se conecta a tus equipos para darte soporte, la pregunta también va para él.
¿Qué hicieron los atacantes una vez dentro?
Los investigadores atribuyen la campaña a un grupo sospechoso de espionaje chino. Según Mandiant y GTIG, tras entrar desplegó la puerta trasera SAWFLY, un web shell en PHP, y el túnel BARECLAW. Escaló a root y robó credenciales del gestor de secretos del dispositivo. Después abrió sesiones remotas en equipos internos y borró registros.
Una herramienta de soporte remoto guarda las llaves para entrar en el resto de la red. Por eso Mandiant avisa: un dispositivo vulnerable accesible desde internet debe tratarse como potencialmente comprometido hasta que se revise.
Hay otro motivo para no esperar. Este grupo suele pasar a una explotación masiva y oportunista cuando el fallo se hace público, y Mandiant no descarta que ocurra aquí. Sus objetivos documentados incluyen servicios legales, proveedores SaaS, empresas de externalización de procesos (BPO) y tecnológicas.
Qué hacer hoy
- Pregunta a tu responsable de IT o a tu MSP si usáis BeyondTrust Remote Support o PRA, y si es SaaS o autoalojado.
- Si es autoalojado, pide confirmación por escrito de que el parche BT26-05-RS está aplicado. Si la versión es anterior a la 24.3.1, primero hay que actualizar.
- Limita el acceso externo al dispositivo y restringe las interfaces de administración a redes de confianza, como recomienda CISA.
- Si estuvo expuesto a internet, revisa si hay compromiso desde finales de agosto: sesiones remotas recientes, permisos de las cuentas de administración y registros borrados.
- Si hay indicios, aísla el equipo y reconstrúyelo desde un estado limpio. Luego aplica el parche, rota todas las credenciales que el dispositivo almacenaba o inyectaba, revoca las sesiones de soporte activas y revisa los registros de MFA nuevos en cuentas privilegiadas.
Qué significa para una pyme
Muchas pymes no saben si tienen este producto porque no lo han comprado ellas: lo usa su proveedor de IT. Eso lo convierte en un riesgo de cadena de suministro. Si tu MSP entra en tus equipos con un Remote Support autoalojado sin parchear, el atacante puede entrar por la misma puerta que tu soporte. Exígele confirmación de que está parcheado y revisado, no un «tranquilo, está todo bien».
Lo que más se subestima es esto: el parche cierra la puerta, pero no echa a quien ya entró. Si el dispositivo estuvo accesible desde internet desde agosto, aplicar BT26-05-RS y olvidarse no basta. Rotar credenciales es pesado, pero es la parte que importa, porque lo que robaron los atacantes fue justo el gestor de secretos.
Las fuentes no dan datos de víctimas en España. El riesgo depende de si usas el producto, no de dónde estés. Si necesitas que alguien revise contigo tus accesos remotos y lo que tus proveedores pueden tocar, es parte de lo que hacemos en ciberseguridad.
Preguntas frecuentes
¿Basta con aplicar el parche?
No si el dispositivo estaba expuesto a internet. Mandiant recomienda tratarlo como potencialmente comprometido hasta revisarlo, y CISA pide reconstruirlo y rotar credenciales si hay indicios.
¿Tengo que hacer algo si uso la versión SaaS?
BeyondTrust ya parcheó los clientes SaaS en octubre. El trabajo urgente es para los dispositivos autoalojados.
¿Afecta a Privileged Remote Access?
PRA comparte el código afectado y tiene parche, aunque BeyondTrust no ha encontrado forma de explotarlo ahí.
Fuentes
- CISA – CISA Urges Patching Critical Vulnerability in BeyondTrust Remote Support
- CISA – CISA Adds Two Known Exploited Vulnerabilities to Catalog
- The Hacker News – China-Linked Hackers Exploited BeyondTrust Zero-Day to Take Over Remote Support Servers
- BleepingComputer – BeyondTrust patches zero-day exploited in attacks since August
- SecurityWeek – Chinese APT Exploited BeyondTrust Vulnerability as Zero-Day
- The Record – Suspected Chinese espionage attackers abusing BeyondTrust IT support zero-day
