Falla de BeyondTrust explotada desde agosto ya tiene parche
La CVE-2026-102764 afecta a Remote Support 26.2.3 y anteriores; Google la atribuye a un grupo vinculado con China y CISA urge a parchar.
La Agencia de Ciberseguridad e Infraestructura de EE. UU. (CISA) sumó el 16 de octubre a su catálogo de vulnerabilidades explotadas la CVE-2026-102764. Es un fallo que permite saltarse la autenticación en BeyondTrust Remote Support, según CISA. El programa, antes llamado Bomgar, lo usan las empresas para dar soporte remoto a los equipos de sus usuarios. CISA informa que hay atacantes que ya lo aprovechan.
Para quien opera un servidor propio, lo primero es la versión. La falla afecta a la 26.2.3 y las anteriores, y existe parche. Las instalaciones que aloja la propia BeyondTrust ya están corregidas, según CISA.
| Dato | Detalle |
|---|---|
| CVE | CVE-2026-102764, omisión de autenticación |
| Producto | BeyondTrust Remote Support |
| Versiones afectadas | 26.2.3 y anteriores |
| Parche | BT26-05-RS (aviso BT26-05), para la 24.3.1 y posteriores |
Quien use una versión previa a la 24.3.1 debe actualizar primero, indica CISA. La agencia pide, para los equipos propios:
- Parche: aplicar BT26-05-RS de inmediato.
- Acceso: limitar la exposición externa a lo necesario y dejar las interfaces administrativas en redes de confianza.
- Si hay sospecha de compromiso: aislar el equipo, reconstruirlo desde un estado conocido como bueno, rotar todas las credenciales que almacenaba y revocar las sesiones activas.
La insistencia en reconstruir y no solo parchar tiene una razón. Google Threat Intelligence y Mandiant publicaron el 15 de octubre que un grupo al que llaman ARMORY CASTLE, antes rastreado como UNC5221 y sospechoso de hacer espionaje para intereses chinos, la usó como día cero (una falla explotada antes de que exista parche) desde fines de agosto de 2026. Según Mandiant, una vez dentro el grupo subió a administrador, se llevó credenciales guardadas, borró registros y modificó permisos para no perder el acceso. Esa atribución corre por cuenta de Google y Mandiant, porque la alerta de CISA no la formula. CrowdStrike lo nombra WARP PANDA, según BleepingComputer.
Ese medio reporta además que la empresa parchó primero sus instalaciones alojadas. La fecha difiere entre fuentes: el 9 de octubre para Google, el 8 para BleepingComputer. Su producto de acceso privilegiado, Privileged Remote Access, comparte el código afectado; BeyondTrust dijo que sus pruebas no hallaron forma de explotarlo ahí, y también publicó parche. Shadowserver rastrea más de 1 400 instancias de Remote Support visibles en internet, sin precisar cuántas siguen sin corregir.
Queda sin respuesta cuántas organizaciones fueron comprometidas y si hay afectados en México: ninguna fuente lo informa. El aviso BT26-05 de BeyondTrust respondió 403 a la consulta automatizada de esta redacción y no pudo leerse.
