CVE-2026-102764

Nome do Software Vulnerável e Versões Afetadas BeyondTrust Remote Support versões anteriores a 26.2.3

Descrição Componentes internos do software não validam adequadamente a origem das mensagens recebidas, resultando em uma falha de upload de arquivo não autenticado. Isso permite que um invasor realize operações de arquivo arbitrárias no appliance, podendo resultar no comprometimento total do host e acesso de nível root. Em incidentes reais, o grupo ARMORY CASTLE explorou isso como um zero-day para implantar a webshell SAWFLY via uma requisição POST para /app 84304470%2Ephp e o tunelador SOCKS5-over-WebSocket BARECLAW usando o caminho /uidchanarge. Os invasores escalaram privilégios criando um shell root SUID e extraíram dados sensíveis do cofre do appliance usando o binário CLI bt-secrets. Além disso, o ator modificou o haproxy.conf para rotear tráfego para um backend webskd3 na porta 19800 para manter um backdoor furtivo.

Recomendações Aplicar o patch BT26-05 para versões até 26.2.3. Para versões anteriores a 24.3.1, atualizar o software antes de aplicar o patch BT26-05-RS. Rotacionar todas as credenciais de cofre, API e administrador após a aplicação do patch ou reconstrução do appliance. Como mitigação temporária, restringir o acesso à internet ao appliance e monitorar o haproxy.conf em busca de entradas de ACL desconhecidas ou rotas de backend não padronizadas.