L'essentiel
Si vous hébergez vous-même BeyondTrust Remote Support, appliquez le correctif BT26-05 aujourd'hui et considérez qu'une appliance exposée est peut-être déjà compromise. CVE-2026-102764 (CVSS 9.3) permet à un attaquant non authentifié d'écrire des fichiers sur l'appliance ; un groupe lié à la Chine l'a exploitée comme zero-day dès fin août 2026. La CISA a fixé une échéance au 19 octobre. Les outils d'accès à distance ont leur place dans le modèle de menace de votre infrastructure cloud et DevOps.
Qu'ont révélé BeyondTrust et Google ?
Le 15 octobre 2026, BeyondTrust a publié le bulletin BT26-05 consacré à CVE-2026-102764, une faille de Remote Support, la plateforme de support informatique à distance autrefois commercialisée sous le nom Bomgar. Un composant de messagerie interne ne vérifie pas correctement la provenance d'un message : un attaquant sans identifiants peut donc effectuer des opérations sur les fichiers de l'appliance. BeyondTrust lui attribue un score de 9.3 en CVSS v4.0.
Le même jour, Google Threat Intelligence Group et Mandiant ont publié les conclusions de leur réponse à incident. Ils attribuent les attaques à ARMORY CASTLE, un acteur d'espionnage présumé lié à la Chine, suivi auparavant sous le nom UNC5221 et connu pour des zero-days sur des équipements de bordure comme Ivanti Connect Secure. L'exploitation a commencé vers le 29 août, contre une appliance hébergée par BeyondTrust et une appliance auto-hébergée. BeyondTrust avait déployé le correctif chez ses clients cloud dès le 9 octobre, avant la divulgation publique. La CISA a ajouté la CVE à son catalogue Known Exploited Vulnerabilities le 16 octobre.
Comment les attaquants ont-ils exploité l'appliance ?
Le rapport de Mandiant décrit une prise de contrôle complète, pas un coup rapide. Les attaquants ont téléversé un web shell PHP que Google nomme SAWFLY, copié un binaire de shell avec le bit SUID pour obtenir les droits root et ajouté, via un script de démarrage, des modifications de sudoers afin que l'accès survive aux redémarrages et aux réinitialisations de configuration. Ils ont ensuite lancé l'utilitaire de secrets de l'appliance elle-même pour vider son coffre d'identifiants, puis effacé les journaux correspondants.
Munis d'identifiants administrateur, ils se sont connectés à la console web, ont élevé les droits d'un compte jusqu'à tous les Jump Items, ouvert des sessions de support vers des postes internes et récupéré des documents sur les bureaux des utilisateurs grâce au transfert de fichiers intégré. Un tunnel sur mesure, BARECLAW, caché derrière une route HAProxy modifiée, leur offrait un accès SOCKS5 au réseau qui ressemblait à du trafic web ordinaire. Google indique que seul un petit nombre d'organisations sont touchées à sa connaissance, mais rappelle que cet acteur est déjà passé à une exploitation large et opportuniste dès qu'une faille devenait publique.
Qui est exposé ?
Toute organisation qui exploite elle-même BeyondTrust Remote Support 26.2.3 ou antérieur, en particulier si le portail public de support ou les chemins d'administration /login et /appliance sont accessibles depuis Internet. Les appliances auto-hébergées en version 24.3.1 ou ultérieure peuvent installer BT26-05 depuis l'interface /appliance ; les versions plus anciennes doivent d'abord être mises à niveau. Privileged Remote Access partage le code concerné ; BeyondTrust dit n'y avoir trouvé aucun chemin d'exploitation mais a livré un correctif préventif.
Le risque concerne aussi des entreprises qui n'utilisent pas le produit elles-mêmes. Infogéreurs, centres de support externalisés et éditeurs de logiciels accèdent souvent aux postes de leurs clients via BeyondTrust. Si l'appliance de votre prestataire a été compromise, l'attaquant a hérité des sessions et des identifiants stockés qui mènent à votre environnement.
Ce que cela signifie pour les équipes aux États-Unis et dans l'UE
Les plateformes de télémaintenance et d'accès à privilèges sont devenues une cible de choix pour la raison même qui les rend utiles : un seul boîtier détient des chemins de confiance, préapprouvés, vers des centaines de machines. Les équipes qui développent et exploitent du logiciel doivent les traiter comme des systèmes d'identité de production : consoles d'administration derrière un SSO avec MFA résistante au phishing, rôles « aucun accès » par défaut élargis uniquement par politique, identifiants injectés depuis un coffre externe plutôt que stockés sur l'appliance, et journaux syslog envoyés hors du boîtier pour qu'un attaquant ne puisse pas les effacer discrètement.
Deuxième leçon : les accès des prestataires. Demandez à chaque fournisseur disposant d'un accès distant à vos systèmes quel outil il utilise, dans quelle version, et s'il a appliqué BT26-05.
Que change la faille BeyondTrust pour les entreprises en France ?
En France, l'ANSSI et le CERT-FR rappellent régulièrement que les équipements exposés sur Internet et les outils d'administration à distance sont parmi les premières portes d'entrée des intrusions. La transposition de la directive NIS2 élargit fortement le nombre d'entités tenues de notifier leurs incidents importants à l'ANSSI, avec une alerte précoce sous 24 heures, et une compromission passée par l'outil de support d'un prestataire est exactement le risque de chaîne d'approvisionnement que NIS2 vise. Si des données personnelles ont été exfiltrées, par exemple des documents récupérés sur les postes des salariés, l'article 33 du RGPD impose en plus de notifier la CNIL dans les 72 heures. Les acteurs financiers doivent par ailleurs qualifier l'incident au titre de DORA.
Pour les PME et ETI qui confient leur informatique à une ESN ou à un infogéreur, la conséquence pratique est immédiate : demandez par écrit l'état du correctif, le résultat de la recherche d'indicateurs et la liste des identifiants renouvelés, et conservez ces réponses pour l'audit et une éventuelle notification.
Ce qu’il faut faire cette semaine
- Corriger. Appliquez BT26-05 sur chaque appliance Remote Support et Privileged Remote Access auto-hébergée ; mettez d'abord à niveau les versions non supportées.
- Restreindre les chemins d'administration. Limitez
/loginet/applianceà des plages d'adresses IP de confiance ou à un VPN, et placez devant le portail un reverse proxy ou un WAF journalisant l'URI complète. - Chercher. Utilisez les empreintes et règles YARA publiées par Google pour SAWFLY et BARECLAW ; recherchez des fichiers
.phpinconnus, des modifications de la configuration HAProxy et du modèle sudoers, ainsi que des événementsuser_changedayant élargi des rôles Jump Item. - Renouveler les secrets après le correctif. Mots de passe d'administration de l'appliance et du portail, secrets des clients API, clés de signature SAML, entrées du coffre et identifiants d'intégration, plus tout ce qui a été saisi dans des sessions de support pendant la période d'exposition.
- Reconstruire en cas de doute. Si une appliance exposée à Internet est restée sans correctif depuis fin août et présente un indicateur, prenez un instantané pour l'analyse forensique et redéployez à partir d'une image saine ; une réinitialisation ne supprime pas la persistance au niveau de l'hôte.
- Vérifier vos prestataires. Faites confirmer l'état du correctif par les infogéreurs, ESN et fournisseurs qui accèdent à vos systèmes via BeyondTrust, et gardez en tête les délais de notification NIS2 et RGPD.
Questions fréquentes
Qu'est-ce que CVE-2026-102764 ?
CVE-2026-102764 est une faille de validation de l'origine dans un composant de messagerie interne de BeyondTrust Remote Support, la plateforme de support à distance anciennement appelée Bomgar. Elle permet à un attaquant distant non authentifié d'effectuer des opérations arbitraires sur les fichiers de l'appliance, par exemple téléverser un web shell. Elle est notée 9.3 (critique) en CVSS v4.0 et a été divulguée le 15 octobre 2026.
Qui l'a exploitée, et depuis quand ?
Google Threat Intelligence Group et Mandiant attribuent l'exploitation à ARMORY CASTLE, un groupe d'espionnage présumé lié à la Chine, suivi auparavant sous le nom UNC5221. L'exploitation en zero-day a commencé vers le 29 août 2026, contre une appliance hébergée par BeyondTrust et une appliance auto-hébergée. Selon Google, seul un petit nombre d'organisations sont touchées à ce jour.
Quelles versions sont concernées et comment corriger ?
BeyondTrust Remote Support 26.2.3 et antérieures sont concernées. Le correctif est BT26-05. Les instances cloud (SaaS) ont été corrigées par BeyondTrust au 9 octobre. Les appliances auto-hébergées en 24.3.1 ou ultérieure peuvent l'appliquer depuis l'interface /appliance ; les versions plus anciennes doivent d'abord passer à une version supportée. Privileged Remote Access partage du code avec le produit et BeyondTrust a aussi publié un correctif préventif pour PRA auto-hébergé.
Le correctif suffit-il si nous étions exposés ?
Non. Dans les intrusions observées, l'attaquant a obtenu les droits root, ajouté des modifications de sudoers persistantes après redémarrage, vidé le coffre d'identifiants de l'appliance et effacé les journaux. Cette persistance peut survivre au correctif et même à une réinitialisation de la configuration. Si une appliance exposée à Internet est restée sans correctif pendant la période d'exposition, Mandiant conseille de la considérer comme potentiellement compromise, de rechercher les indicateurs publiés et de la reconstruire à partir d'une image saine si la compromission est confirmée.
Une intrusion via BeyondTrust doit-elle être notifiée en France ?
Cela dépend du cas. Une entité soumise à NIS2 doit notifier à l'ANSSI un incident important, avec une alerte précoce sous 24 heures. Si des données personnelles ont été compromises, l'article 33 du RGPD impose en outre une notification à la CNIL dans les 72 heures. L'évaluation est à mener avec votre DPO ou votre service juridique.
Sources
Google Threat Intelligence Group / Mandiant — ARMORY CASTLE Exploits BeyondTrust (October 15, 2026)
BeyondTrust — Security Advisory BT26-05 (October 15, 2026)
CISA — CISA Adds Two Known Exploited Vulnerabilities to Catalog (October 16, 2026)
Cybersecurity Dive — China-nexus espionage actor targets BeyondTrust support tool in zero-day campaign (October 16, 2026)
SecurityWeek — Chinese APT Exploited BeyondTrust Vulnerability as Zero-Day (October 2026)