SandIA (Buenos Aires, 17 de octubre de 2026).- El grupo de ciberespionaje Armory Castle explotó una vulnerabilidad 'zero-day' crítica en el software BeyondTrust Remote Support. La falla permitió accesos no autorizados a servidores corporativos e intervenciones en sistemas estatales.
Explotación de la vulnerabilidad CVE-2026-102764
De acuerdo con lo publicado por The Hacker News, la brecha de seguridad identificada como CVE-2026-102764 registra un puntaje de severidad de 9.3 en la escala CVSS. El fallo corresponde a una validación incorrecta de origen en los componentes de mensajería interna del programa. Esta falla técnica permitió a los atacantes ejecutar operaciones no autorizadas con archivos en los dispositivos afectados desde finales de agosto de 2026.
El informe de Mandiant y Google Threat Intelligence Group reveló que el grupo Armory Castle utilizó el fallo para desplegar un código malicioso denominado SAWFLY. Este programa proporcionó acceso remoto interactivo y comandos cifrados bidireccionales. Además, los investigadores indicaron que los atacantes utilizaron nodos de salida de redes privadas virtuales y enrutadores comprometidos para ocultar sus maniobras en el tráfico de red habitual.
Respuesta técnica y correcciones disponibles
La empresa BeyondTrust informó que la vulnerabilidad afectó a servidores locales de soporte técnico que utilizaban versiones comprendidas entre la 24.3.1 y la 26.2.3. Según la compañía, los clientes de la modalidad en la nube recibieron actualizaciones automáticas el 9 de octubre de 2026. No obstante, los usuarios con instalaciones en infraestructura propia deben instalar manualmente el parche BT26-05-RS para mitigar el riesgo.
Según la cronología provista por la firma, el ataque inicial contra un servidor local se detectó el 29 de agosto de 2026. La investigación formal comenzó el 27 de septiembre de 2026 tras la publicación de incidentes similares en otras plataformas de ciberseguridad. BeyondTrust advirtió que el grupo responsable suele seleccionar objetivos de alto valor y aplica herramientas de inteligencia artificial para desarrollar cadenas de vulnerabilidades personalizadas.
Medidas del gobierno de los Estados Unidos
Por su parte, la Agencia de Ciberseguridad y Seguridad de Infraestructura de los Estados Unidos, conocida como CISA, emitió una alerta oficial el 16 de octubre de 2026. El organismo sumó el fallo al catálogo de vulnerabilidades explotadas conocidas y exigió a las agencias federales de dicho país aplicar las correcciones antes del 19 de octubre de 2026 para resguardar la seguridad institucional.