BeyondTrust patches zero-day exploited in attacks since August
Mis à jour :
Exploitation active d’une vulnérabilité critique chez BeyondTrust
BeyondTrust a publié un correctif pour une faille critique de type “zero-day” affectant ses solutions Remote Support (RS) et Privileged Remote Access (PRA). Cette vulnérabilité est activement exploitée depuis fin août par le groupe de cyberespionnage soutenu par la Chine, identifié sous les noms « Armory Castle » (ex-UNC5221) ou « Warp Panda ».
Vulnérabilité
- CVE-2026-102764 : Contournement d’authentification (Authentication Bypass). Elle permet à un attaquant non authentifié d’effectuer des opérations sur les fichiers et d’élever ses privilèges jusqu’au niveau “root”.
- Impact : Accès total aux identifiants stockés ou gérés par l’équipement, persistance après redémarrage et capacité de mouvement latéral au sein du réseau.
Points clés
- Mode opératoire : Les attaquants utilisent la faille pour déployer des webshells (Sawfly) et des outils de tunneling (Bareclaw), effacent les journaux (logs) pour masquer leurs traces, puis utilisent des identifiants d’administrateur compromis pour s’étendre sur le réseau.
- Historique : Le groupe Armory Castle est spécialisé dans l’exploitation de failles zero-day sur des équipements réseau exposés (Edge appliances).
- Risque accru : Toute instance exposée sur Internet ayant utilisé une version vulnérable durant la période d’exploitation doit être considérée comme potentiellement compromise.
Recommandations
- Mise à jour immédiate : Appliquer le correctif sans délai pour toutes les installations auto-hébergées.
- Audit de sécurité : Considérer tout équipement précédemment exposé comme compromis. Une enquête forensique est recommandée pour détecter des signes d’intrusion (déploiement de webshells, création de comptes suspects, etc.).
- Installation SaaS : Les clients utilisant les versions SaaS de BeyondTrust ont déjà reçu le correctif (déployé le 8 octobre).