Un remote-support trusted diventa il punto d’appoggio dell’attaccante
Mandiant ha attribuito ad ARMORY CASTLE lo sfruttamento di CVE-2026-102764 in BeyondTrust Remote Support come zero-day a fine agosto 2026, con l’obiettivo di stabilire accesso persistente e furtivo sui dispositivi compromessi. Il prodotto pensato per dare accesso amministrativo remoto è diventato così un punto d’appoggio dentro l’ambiente del cliente.
La falla consente il caricamento arbitrario di file sull’appliance. Su un sistema che broca sessioni di supporto e gode di fiducia elevata nella rete, questo basta per nascondere presenza, mantenere l’accesso e muoversi verso altri sistemi passando da un canale considerato legittimo. Mandiant ha anche rilasciato regole di detection per cercare i segni dell’abuso.
Per chi usa appliance di remote support o RMM, il rischio non si esaurisce nella patch del singolo box. Se il punto di accesso privilegiato è già stato toccato, l’attaccante può aver ereditato una via stabile verso la rete del cliente, e il problema diventa anche di contenimento e verifica della fiducia interna.
ARMORY CASTLE Exploits BeyondTrust | Google Cloud Blog
ARMORY CASTLE exploited zero day vulnerabilities in BeyondTrust Remote Support appliances to establish persistent, stealthy access to compromised devices