CISA gives feds 3 days to patch actively exploited BeyondTrust flaw
Mis à jour :
Vulnérabilité critique dans BeyondTrust Remote Support : un impératif de mise à jour immédiate
La CISA (Cybersecurity and Infrastructure Security Agency) des États-Unis a ordonné aux agences fédérales de sécuriser leurs instances de BeyondTrust Remote Support dans un délai de trois jours, suite à l’exploitation active d’une faille de sécurité critique.
Points clés :
- Nature de la vulnérabilité : Il s’agit d’une injection de commande système permettant une exécution de code à distance (RCE).
- Impact potentiel : L’exploitation réussie, sans authentification ni interaction utilisateur, peut entraîner une compromission du système, incluant l’accès non autorisé, l’exfiltration de données et la perturbation des services.
- Ampleur du problème : Environ 11 000 instances de BeyondTrust Remote Support étaient potentiellement exposées en ligne, dont près de 8 500 sur site.
- Exploitation active : Des acteurs malveillants exploitent déjà cette vulnérabilité, suggérant que les systèmes non corrigés sont susceptibles d’être compromis.
- Historique : Ce n’est pas la première fois que des vulnérabilités dans les produits BeyondTrust sont exploitées pour cibler des agences gouvernementales américaines, notamment par des groupes liés à des cyber-espionnages d’État.
Vulnérabilités identifiées :
- CVE-2026-1731 : Vulnérabilité d’exécution de code à distance (RCE) due à une faiblesse d’injection de commande OS. Affecte les versions 25.3.1 ou antérieures de Remote Support et 24.3.4 ou antérieures de Privileged Remote Access.
Recommandations :
- Mise à jour immédiate : Les agences fédérales doivent appliquer les correctifs fournis par BeyondTrust. Les instances SaaS ont été corrigées le 2 février 2026, tandis que les clients sur site doivent installer manuellement les correctifs.
- Action de la CISA : La CISA a ajouté cette vulnérabilité à son catalogue des vulnérabilités connues et exploitées (KEV) et a mandaté une action corrective urgente.
- Alternatives si la correction est impossible : En cas d’indisponibilité des correctifs, les agences sont invitées à suivre les directives opérationnelles contraignantes (BOD 22-01) pour les services cloud ou à cesser l’utilisation du produit.