BeyondTrust corrige une zero-day de Remote Support exploitée par Armory Castle depuis août
Le 16 octobre 2026, BeyondTrust corrige CVE-2026-102764, un contournement d’authentification dans Remote Support exploité comme zero-day depuis fin août par l’acteur chinois Armory Castle. Si vous hébergez RS ou PRA vous-même et que l’appliance a été joignable depuis Internet, traitez-la comme compromise, pas seulement comme à patcher.
16 octobre 2026. BeyondTrust demande à ses clients de patcher CVE-2026-102764, une faille critique dans Remote Support (RS). Fin août 2026. L’exploitation a commencé, selon Mandiant, qui suit l’attaquant sous le nom Armory Castle. 1 400+ appliances exposées sur Internet, selon Shadowserver. Pourquoi c’est important : Remote Support est l’outil par lequel un helpdesk prend la main sur les postes d’une entreprise — une zero-day sur cet outil, c’est un accès initial au cœur du réseau, pas une simple brèche de périmètre.
Ce que fait la faille
CVE-2026-102764 est un contournement d’authentification (CWE-290). Un attaquant distant non privilégié peut effectuer des opérations sur les fichiers d’une appliance non corrigée, sans disposer d’aucun compte. La faille touche Remote Support 26.2.3 et les versions antérieures. Privileged Remote Access (PRA) partage le même code : BeyondTrust précise n’avoir identifié « aucun moyen d’exploiter » la faille sur PRA lors de ses tests internes, mais publie le correctif par prudence.
Le calendrier de correction est déséquilibré, et c’est le premier signal. Les clients SaaS de Remote Support et de Privileged Remote Access ont été corrigés dès le 8 octobre 2026, côté BeyondTrust. Les déploiements auto-hébergés, eux, doivent appliquer le correctif à la main si les mises à jour automatiques ne sont pas activées. Autrement dit : ceux qui paient pour le service cloud sont déjà protégés, ceux qui ont choisi l’on-premise sont encore exposés, parfois sans le savoir. Le correctif porte la référence BT26-05 dans le centre de sécurité de l’éditeur.
Le détail technique est volontairement mince — BeyondTrust n’a pas publié de score CVSS ni de vecteur détaillé dans son avis initial. Ce silence est cohérent avec une faille encore en cours d’exploitation : l’éditeur décrit un contournement d’authentification permettant des « opérations sur les fichiers », ce qui suffit à comprendre le risque. Sur une appliance de support à distance, un simple accès en écriture à des fichiers ouvre la voie à un webshell, puis à la compromission complète.
Armory Castle, un acteur qui collectionne les zero-day d’appliances
L’attribution change la gravité du dossier. Mandiant et Google Threat Intelligence Group (GTIG) rattachent l’exploitation à Armory Castle — anciennement UNC5221, Warp Panda chez CrowdStrike —, un acteur d’espionnage lié à la Chine. Ce n’est pas un nom de circonstance : Armory Castle exploite des zero-day sur les appliances de bordure depuis octobre 2023, avec un palmarès précis.
La liste est longue. Citrix NetScaler avec CVE-2023-4966. Ivanti Connect Secure avec CVE-2023-46805 et CVE-2024-21887, puis CVE-2025-0282. En janvier 2024, Volexity comptait plus de 2 100 appliances Ivanti backdoorées via le webshell GiftedVisitor. Le mode opératoire est toujours le même : une zero-day sur l’appliance, une élévation vers root, un webshell, puis une exploitation opportuniste massive dès que la faille devient publique.
C’est exactement ce qui se dessine ici. Mandiant décrit la chaîne : accès initial via CVE-2026-102764, élévation du compte du service web vers root en activant le bit SUID, déploiement du webshell Sawfly et du tunnel Bareclaw, effacement des journaux, puis déplacement latéral avec des identifiants Administrator compromis. « Après avoir établi un pied via le webshell, l’acteur est passé du compte de service web à un contrôle root de l’hôte », écrit Mandiant. « Cela lui a donné accès à chaque identifiant stocké ou relayé par l’appliance, et la capacité de modifier des fichiers qui survivent au redémarrage et à la réinitialisation. »
Pourquoi « patcher » ne suffit pas cette fois
Le point de bascule, c’est la nature de l’outil. Remote Support n’est pas un simple serveur : c’est une appliance qui stocke ou relaie les identifiants qu’elle utilise pour ouvrir des sessions sur les postes et serveurs du réseau. Quand un attaquant devient root sur cette appliance, il ne compromet pas une machine — il hérite de la clé de toutes les machines que l’équipe support était autorisée à joindre.
Mandiant est explicite sur la conséquence : « toute appliance joignable depuis Internet sur une version vulnérable pendant la fenêtre d’exploitation doit être traitée comme potentiellement compromise jusqu’à ce qu’elle ait été examinée ». Le correctif ferme la porte pour l’avenir ; il ne prouve rien sur le passé. Un attaquant déjà root a pu effacer les journaux — et Armory Castle le fait, précisément, avant de se déplacer latéralement.
Le risque de rebond est réel. Mandiant avertit que Armory Castle a, dans ses campagnes passées, « mené une exploitation opportuniste à grande échelle après la divulgation publique de vulnérabilités qu’il avait exploitées sélectivement en zero-day ». La publication du 16 octobre peut donc déclencher une vague de tentatives sur les appliances encore non corrigées — d’où l’urgence, et pas seulement pour les clients BeyondTrust.
2026, l’année des appliances de bordure
Cette CVE n’est pas un incident isolé : elle s’inscrit dans une séquence qui s’accélère. Sur les douze derniers mois, les appliances d’accès à distance et de bordure ont été la cible privilégiée des acteurs d’espionnage, et le blog d’ETTAYEB en a documenté une partie. Ivanti Connect Secure a subi une nouvelle zero-day dès le 13 octobre 2026. Palo Alto Networks a corrigé une RCE dans l’interface de gestion de PAN-OS le 14 octobre. Cisco, Fortinet et Juniper ont tous publié des correctifs d’urgence sur leurs gammes d’appliances réseau cette année. Le point commun est frappant : ce sont les équipements que l’on place en bordure et que l’on oublie de segmenter.
La leçon de fond n’est pas « patchez plus vite » — c’est « réduisez la surface ». Une appliance de support à distance n’a pas vocation à être joignable depuis Internet sans restriction. Chaque incident de cette série commence par une interface de gestion ou un port exposé au-delà du nécessaire, et se termine par une élévation à root et un webshell. BeyondTrust n’échappe pas à la règle : l’éditeur fournit ses outils à plus de 20 000 clients, dont 75 % des entreprises du Fortune 100 et des agences gouvernementales, ce qui en fait une cible à très haute valeur.
L’historique récent de l’éditeur confirme le risque. En 2025, le groupe Silk Typhoon a exploité deux zero-days — CVE-2024-12356 et CVE-2024-12686 — pour percer les systèmes SaaS de BeyondTrust et compromettre 17 instances, dont celle du Trésor américain. Plus récemment, CVE-2026-1731, une RCE critique sur les mêmes appliances, a été exploitée pour déployer un ransomware. La récurrence est le message : ces outils sont désormais un terrain de chasse permanent.
Ce qu’il faut faire maintenant
La réponse tient en deux gestes, dans cet ordre : vérifier avant de patcher, puis patcher. L’ordre compte, car le patch efface l’indice le plus précieux — l’état de l’appliance avant correction.
Premièrement, identifiez l’exposition. Relevez les appliances Remote Support et Privileged Remote Access de votre parc, et déterminez lesquelles ont été joignables depuis Internet sur une version 26.2.3 ou antérieure entre fin août et le 8 octobre. Shadowserver suit plus de 1 400 instances exposées : votre appliance a des chances d’y figurer si elle n’était pas derrière un accès restreint.
Deuxièmement, cherchez les traces hors de l’appliance. Les journaux de l’appliance elle-même ne sont plus fiables une fois l’attaquant root. Croisez les flux réseau et les collecteurs centralisés : des connexions sortantes inhabituelles, des sessions ouvertes sur des postes en aval, ou la présence d’un fichier qui survit au redémarrage. Un tunnel comme Bareclaw laisse du trafic réseau, même si les logs locaux ont été vidés.
Troisièmement, patchez. Appliquez le correctif BT26-05 sur toutes les instances auto-hébergées, RS comme PRA, sans attendre la prochaine fenêtre de maintenance. Côté SaaS, les clients sont déjà corrigés depuis le 8 octobre : confirmez-le dans la console, ne le supposez pas.
Verdict
Traitez CVE-2026-102764 comme un incident de compromission potentielle, pas comme un bulletin à appliquer. Si vous hébergez Remote Support ou Privileged Remote Access vous-même, vérifiez d’abord si l’appliance a été joignable depuis Internet sur une version vulnérable — et si c’est le cas, lancez une investigation forensique avant de patcher, car le patch efface l’état que vous devez examiner. Si vous êtes client SaaS, le correctif du 8 octobre vous couvre déjà : vérifiez simplement que votre instance est bien à jour. Dans les deux cas, considérez que Armory Castle va probablement tenter une exploitation opportuniste à grande échelle maintenant que la faille est publique — la fenêtre pour agir est de quelques jours, pas de quelques semaines.