In sintesi
Se gestite internamente BeyondTrust Remote Support, applicate oggi la patch BT26-05 e partite dal presupposto che un'appliance esposta possa essere già compromessa. CVE-2026-102764 (CVSS 9.3) consente a un attaccante non autenticato di scrivere file sull'appliance; un gruppo legato alla Cina l'ha sfruttata come zero-day da fine agosto 2026. La CISA ha fissato una scadenza al 19 ottobre. Gli strumenti di accesso remoto vanno inseriti nel modello di minaccia della vostra infrastruttura cloud e DevOps.
Cosa hanno reso noto BeyondTrust e Google?
Il 15 ottobre 2026 BeyondTrust ha pubblicato l'advisory BT26-05 su CVE-2026-102764, una falla di Remote Support, la piattaforma di assistenza IT da remoto venduta in passato con il nome Bomgar. Un componente di messaggistica interno non verifica correttamente da dove arriva un messaggio, quindi un attaccante senza credenziali può eseguire operazioni sui file dell'appliance. BeyondTrust la classifica 9.3 secondo CVSS v4.0.
Lo stesso giorno Google Threat Intelligence Group e Mandiant hanno pubblicato i risultati della loro attività di incident response. Attribuiscono gli attacchi ad ARMORY CASTLE, un attore di spionaggio ritenuto legato alla Cina, tracciato in precedenza come UNC5221 e noto per zero-day su dispositivi perimetrali come Ivanti Connect Secure. Lo sfruttamento è iniziato intorno al 29 agosto, contro un'appliance ospitata da BeyondTrust e una self-hosted. BeyondTrust aveva distribuito la correzione ai clienti cloud entro il 9 ottobre, prima della divulgazione pubblica. La CISA ha inserito la CVE nel catalogo Known Exploited Vulnerabilities il 16 ottobre.
Come hanno usato l'appliance gli attaccanti?
Il report di Mandiant descrive una presa di controllo completa, non un colpo mordi e fuggi. Gli attaccanti hanno caricato una web shell PHP che Google chiama SAWFLY, copiato un binario di shell con bit SUID per ottenere i privilegi di root e aggiunto modifiche a sudoers tramite uno script di avvio, così che l'accesso sopravvivesse a riavvii e reset della configurazione. Hanno poi usato l'utility dei segreti dell'appliance stessa per estrarre il vault delle credenziali e cancellato i relativi log.
Con le credenziali di amministratore si sono collegati alla console web, hanno esteso i permessi di un account a tutti i Jump Item, aperto sessioni di assistenza verso endpoint interni e prelevato documenti dai desktop degli utenti con il trasferimento file integrato nel prodotto. Un tunnel personalizzato, BARECLAW, nascosto dietro una route HAProxy modificata, offriva loro un canale SOCKS5 nella rete che sembrava normale traffico web. Google afferma che finora solo poche organizzazioni risultano colpite, ma avverte che questo attore è già passato in passato a uno sfruttamento ampio e opportunistico appena una falla diventa pubblica.
Chi è esposto?
Qualsiasi organizzazione che gestisce in proprio BeyondTrust Remote Support 26.2.3 o precedente, soprattutto se il portale pubblico di assistenza o i percorsi di amministrazione /login e /appliance sono raggiungibili da Internet. Le appliance self-hosted dalla 24.3.1 in poi possono installare BT26-05 dall'interfaccia /appliance; le versioni più vecchie devono prima essere aggiornate. Privileged Remote Access condivide il codice interessato; BeyondTrust dichiara di non aver trovato un percorso di sfruttamento, ma ha rilasciato una patch precauzionale.
Il rischio riguarda anche aziende che il prodotto non lo usano direttamente. Managed service provider, help desk IT in outsourcing e software house raggiungono spesso i computer dei clienti tramite BeyondTrust. Se l'appliance del vostro fornitore è stata compromessa, l'attaccante ha ereditato le sessioni e le credenziali memorizzate che portano nel vostro ambiente.
Cosa significa per i team negli Stati Uniti e nell'UE
Le piattaforme di assistenza remota e di accesso privilegiato sono diventate un bersaglio prediletto per lo stesso motivo per cui sono utili: un solo sistema custodisce percorsi fidati e pre-approvati verso centinaia di macchine. I team che sviluppano e gestiscono software dovrebbero trattarle come sistemi di identità di produzione: console di amministrazione dietro SSO con MFA resistente al phishing, ruoli «nessun accesso» di default estesi solo tramite policy, credenziali iniettate da un vault esterno anziché salvate sull'appliance e syslog inviato fuori dal sistema, così che un attaccante non possa cancellarlo in silenzio.
La seconda lezione riguarda gli accessi dei fornitori. Chiedete a ogni fornitore con accesso remoto ai vostri sistemi quale strumento usa, in quale versione e se ha applicato BT26-05.
Cosa cambia la falla BeyondTrust per le aziende in Italia?
In Italia il D.Lgs. 138/2024, che recepisce la direttiva NIS2, ha esteso a molte più organizzazioni l'obbligo di notificare gli incidenti significativi al CSIRT Italia dell'Agenzia per la Cybersicurezza Nazionale (ACN), con una pre-notifica entro 24 ore. Un'intrusione passata dallo strumento di assistenza remota di un fornitore è proprio il rischio di filiera che la NIS2 chiede di gestire e documentare. Se dall'appliance sono usciti dati personali, ad esempio documenti prelevati dai desktop dei dipendenti, l'articolo 33 del GDPR impone inoltre di notificare la violazione al Garante per la protezione dei dati personali entro 72 ore. Banche e assicurazioni devono valutare l'incidente anche ai sensi del regolamento DORA.
Per le PMI che affidano la gestione IT a un system integrator o a un MSP la conseguenza pratica è immediata: chiedete per iscritto lo stato della patch, l'esito della ricerca degli indicatori e l'elenco delle credenziali ruotate, e conservate le risposte per audit ed eventuali notifiche.
Cosa fare questa settimana
- Applicare la patch. Installate BT26-05 su ogni appliance Remote Support e Privileged Remote Access self-hosted; aggiornate prima le versioni non supportate.
- Limitare i percorsi di amministrazione. Restringete
/logine/appliancea intervalli IP fidati o a una VPN e mettete davanti al portale un reverse proxy o un WAF con logging completo degli URI. - Cercare gli indicatori. Usate gli hash e le regole YARA pubblicati da Google per SAWFLY e BARECLAW; cercate file
.phpsconosciuti, modifiche alla configurazione HAProxy e al template sudoers ed eventiuser_changedche hanno esteso ruoli Jump Item. - Ruotare i segreti dopo la patch. Password di amministrazione di appliance e portale, secret dei client API, chiavi di firma SAML, voci del vault e credenziali delle integrazioni, oltre a tutto ciò che è stato digitato nelle sessioni di assistenza durante la finestra di esposizione.
- Ricostruire nel dubbio. Se un'appliance esposta su Internet è rimasta senza patch da fine agosto e mostra un indicatore, fate uno snapshot per l'analisi forense e reinstallatela da un'immagine pulita; un reset non rimuove la persistenza a livello di host.
- Verificare i fornitori. Fatevi confermare lo stato della patch da MSP, system integrator e fornitori che raggiungono i vostri sistemi tramite BeyondTrust, tenendo presenti le scadenze di notifica NIS2 e GDPR.
Domande frequenti
Che cos'è CVE-2026-102764?
CVE-2026-102764 è una falla di validazione dell'origine in un componente di messaggistica interno di BeyondTrust Remote Support, la piattaforma di assistenza remota nota in passato come Bomgar. Consente a un attaccante remoto non autenticato di eseguire operazioni arbitrarie sui file dell'appliance, ad esempio caricare una web shell. È classificata 9.3 (critica) secondo CVSS v4.0 ed è stata divulgata il 15 ottobre 2026.
Chi l'ha sfruttata e da quando?
Google Threat Intelligence Group e Mandiant attribuiscono lo sfruttamento ad ARMORY CASTLE, un gruppo di spionaggio ritenuto legato alla Cina, tracciato in precedenza come UNC5221. Lo sfruttamento come zero-day è iniziato intorno al 29 agosto 2026, contro un'appliance ospitata da BeyondTrust e una self-hosted. Secondo Google finora risultano colpite solo poche organizzazioni.
Quali versioni sono colpite e come si corregge?
Sono colpite le versioni di BeyondTrust Remote Support 26.2.3 e precedenti. La correzione è la patch BT26-05. Le istanze cloud (SaaS) sono state aggiornate da BeyondTrust entro il 9 ottobre. Le appliance self-hosted dalla 24.3.1 in poi possono applicarla dall'interfaccia /appliance; le versioni più vecchie devono prima passare a una release supportata. Privileged Remote Access condivide codice con il prodotto e BeyondTrust ha rilasciato una patch precauzionale anche per PRA self-hosted.
Basta la patch se eravamo esposti?
No. Nelle intrusioni osservate l'attaccante ha ottenuto i privilegi di root, aggiunto modifiche a sudoers persistenti ai riavvii, estratto il vault delle credenziali dell'appliance e cancellato i log. Questa persistenza può sopravvivere alla patch e perfino a un reset della configurazione. Se un'appliance esposta su Internet è rimasta senza patch durante la finestra di esposizione, Mandiant consiglia di considerarla potenzialmente compromessa, cercare gli indicatori pubblicati e ricostruirla da un'immagine pulita se la compromissione è confermata.
Un'intrusione tramite BeyondTrust va notificata in Italia?
Dipende dal caso. Un soggetto rientrante nel D.Lgs. 138/2024 deve inviare al CSIRT Italia dell'ACN una pre-notifica entro 24 ore per un incidente significativo. Se sono stati compromessi dati personali, l'articolo 33 del GDPR impone inoltre la notifica al Garante entro 72 ore. La valutazione va fatta con il DPO o l'ufficio legale.
Fonti
Google Threat Intelligence Group / Mandiant — ARMORY CASTLE Exploits BeyondTrust (October 15, 2026)
BeyondTrust — Security Advisory BT26-05 (October 15, 2026)
CISA — CISA Adds Two Known Exploited Vulnerabilities to Catalog (October 16, 2026)
Cybersecurity Dive — China-nexus espionage actor targets BeyondTrust support tool in zero-day campaign (October 16, 2026)
SecurityWeek — Chinese APT Exploited BeyondTrust Vulnerability as Zero-Day (October 2026)