La faille BeyondTrust Remote Support CVE-2026-102764 permet à un attaquant non authentifié de prendre le contrôle de l’appliance de prise en main à distance, et elle a déjà été exploitée comme zero-day. Si vous ou votre infogérant utilisez cet outil (anciennement Bomgar) en version auto-hébergée, appliquez le correctif BT26-05 aujourd’hui, puis vérifiez qu’aucun accès n’a été détourné.
Ce que permet la faille BeyondTrust Remote Support
BeyondTrust a publié le 15 octobre l’avis BT26-05. D’après l’analyse de Mandiant et du Google Threat Intelligence Group, la vulnérabilité touche toutes les versions supportées jusqu’à la 26.2.3 et autorise des opérations sur les fichiers de l’appliance sans aucune authentification. L’attaquant peut ensuite obtenir le contrôle de l’hôte et accéder à tous les identifiants que l’appliance stocke ou relaie.
C’est là que le risque devient sérieux pour une PME : un outil de prise en main à distance est, par construction, une porte d’entrée vers tous les postes et serveurs qu’il administre. Compromettre l’appliance revient à hériter des droits de votre support informatique.
Un zero-day exploité depuis l’été par un groupe d’espionnage
Mandiant a observé l’exploitation de CVE-2026-102764 dès la fin août 2026, bien avant sa publication, par ARMORY CASTLE, un acteur d’espionnage soupçonné d’être lié à la Chine et déjà connu pour ses attaques contre les équipements de bordure. Une fois dans la place, le groupe a suivi un scénario précis :
- connexion au portail d’administration avec un compte administrateur compromis ;
- élévation des rôles « Jump Item » du compte, de « No Access » à « Administrator », pour un accès permanent aux machines gérées ;
- ouverture de sessions de support vers des postes internes et exfiltration de documents via le transfert de fichiers natif ;
- installation d’un tunnel discret (BARECLAW) et modification de la configuration du proxy de l’appliance pour l’exposer sur Internet ;
- suppression des journaux tout au long de l’intrusion.
Google prévient que ce groupe a l’habitude de lancer une exploitation massive et opportuniste dès qu’une faille qu’il utilisait en secret devient publique. Les prochains jours sont donc les plus exposés.
Êtes-vous concerné par BeyondTrust Remote Support ?
La version SaaS a été corrigée par l’éditeur le 9 octobre : aucune action n’est nécessaire sur l’appliance elle-même, mais la revue des comptes et des identifiants reste recommandée. Les appliances auto-hébergées (virtuelles ou matérielles) doivent être corrigées par vous ou par votre prestataire. Pensez aussi à vos fournisseurs : un infogérant qui vous dépanne via BeyondTrust fait entrer ce risque chez vous, comme nous l’avons détaillé dans notre article sur l’encadrement de l’accès des prestataires.
Le point le plus délicat concerne les appliances déjà compromises. Selon Mandiant, l’attaquant efface les journaux présents sur l’appareil et sa persistance survit à un redémarrage comme à une réinitialisation de configuration. Appliquer le correctif ferme la porte, mais n’expulse pas un intrus déjà installé. C’est pourquoi l’éditeur et Google recommandent de conserver une copie de l’appliance avant toute intervention, de bloquer son adresse publique au pare-feu si un doute existe, puis de la reconstruire à partir d’une image propre plutôt que de tenter un nettoyage.
Enfin, l’ordre des opérations compte : renouveler les mots de passe avant d’avoir corrigé ou reconstruit l’appliance revient à les confier directement à l’attaquant qui la contrôle encore.
Que faire maintenant
- Identifiez vos instances BeyondTrust Remote Support (ou Bomgar), en SaaS ou auto-hébergées, et leur version ; posez la question par écrit à votre infogérant.
- Appliquez le correctif BT26-05-RS depuis l’interface /appliance (version 24.3.1 ou ultérieure) ; mettez d’abord à niveau les versions plus anciennes, puis appliquez le correctif.
- Restreignez l’accès aux interfaces /login et /appliance à vos seules adresses IP d’administration, et activez la double authentification sur le compte Admin intégré.
- Vérifiez les journaux depuis fin août : rôles « Jump Item » passés à Administrator, nouveaux comptes API, transferts de fichiers inhabituels, interruptions de l’envoi syslog.
- Renouvelez les identifiants stockés ou saisis via l’appliance après le correctif, et reconstruisez-la à partir d’une image saine si un indice de compromission apparaît.
Ce type d’abus d’un outil d’administration légitime passe sous le radar d’un antivirus classique, comme lors de la faille N-central qui visait les RMM.
Un changement de rôle anormal ou une session de support ouverte à 3 h du matin se détecte et se contient avec une surveillance continue : découvrez notre SOC managé 24/7 pour PME et ETI.
Ce qu’il faut retenir
- CVE-2026-102764 permet de prendre le contrôle d’une appliance BeyondTrust Remote Support sans authentification.
- La faille est exploitée comme zero-day depuis fin août par un groupe d’espionnage.
- Le SaaS est corrigé ; les appliances auto-hébergées doivent recevoir le correctif BT26-05.
- Corriger ne suffit pas : contrôlez les rôles, les journaux et renouvelez les identifiants.
- Interrogez vos prestataires : leur outil de télémaintenance est aussi votre surface d’attaque.