SandIA (Buenos Aires, 16 de octubre de 2026).- El grupo de ciberespionaje vinculado a China conocido como Armory Castle explotó como zero-day una falla en BeyondTrust Remote Support a fines de agosto de 2026, según publicó The Hacker News.
La vulnerabilidad explotada y su gravedad
La falla fue registrada como CVE-2026-102764, con una puntuación CVSS de 9.3. Se trata de un caso de validación de origen inadecuada en un componente de mensajería interno, que un atacante remoto podía usar para realizar operaciones de archivos sobre un appliance afectado. BeyondTrust explicó en su alerta que los componentes internos de Remote Support no validaban correctamente el origen de los mensajes recibidos.
Parches disponibles y versiones afectadas
Los parches fueron enviados a todos los clientes de Remote Support SaaS el 9 de octubre de 2026, según la compañía. Los clientes autoalojados que operan versiones entre la 24.3.1 y la 26.2.3 deben actualizar manualmente al parche BT26-05-RS. Quienes tengan una versión anterior a la 24.3.1 deberán migrar a una versión más nueva para poder aplicar la corrección.
La cronología del ataque según BeyondTrust
Según la línea de tiempo difundida por BeyondTrust, Armory Castle explotó la falla como zero-day contra un único appliance autoalojado de Remote Support el 29 de agosto de 2026. Luego, el 27 de septiembre de 2026, se hizo pública la explotación exitosa de otro proveedor de dispositivos de seguridad, lo que motivó una investigación interna para buscar actividad similar en sus propios sistemas.
El historial del grupo y los detalles de Mandiant
Armory Castle tiene antecedentes de explotación de zero-days en dispositivos Citrix NetScaler e Ivanti Connect Secure, con el objetivo de penetrar en sectores como servicios legales, proveedores de SaaS, externalización de procesos de negocio, tecnología y gobiernos, para recolectar inteligencia a largo plazo. Está activo desde octubre de 2023. Mandiant, propiedad de Google, indicó que tras el compromiso se despliega un web shell liviano en PHP llamado SAWFLY para acceso remoto interactivo y comunicación cifrada de comando y control. Los atacantes usan nodos de salida de VPN comerciales y routers domésticos y de pequeña oficina comprometidos para mezclarse con el tráfico normal.