Vulnerabilità · 16 ore fa

Un remote-support trusted diventa il punto d’appoggio dell’attaccante

Mandiant ha attribuito ad ARMORY CASTLE lo sfruttamento di CVE-2026-102764 in BeyondTrust Remote Support come zero-day a fine agosto 2026, con l’obiettivo di stabilire accesso persistente e furtivo sui dispositivi compromessi. Il prodotto pensato per dare accesso amministrativo remoto è diventato così un punto d’appoggio dentro l’ambiente del cliente.

La falla consente il caricamento arbitrario di file sull’appliance. Su un sistema che broca sessioni di supporto e gode di fiducia elevata nella rete, questo basta per nascondere presenza, mantenere l’accesso e muoversi verso altri sistemi passando da un canale considerato legittimo. Mandiant ha anche rilasciato regole di detection per cercare i segni dell’abuso.

Per chi usa appliance di remote support o RMM, il rischio non si esaurisce nella patch del singolo box. Se il punto di accesso privilegiato è già stato toccato, l’attaccante può aver ereditato una via stabile verso la rete del cliente, e il problema diventa anche di contenimento e verifica della fiducia interna.

Cronologia

• 15 ott CVE-2026-102764 pubblicato

Fonti

1 fonte che coprono questa storia

• Mandiant 15 ott

  ARMORY CASTLE Exploits BeyondTrust | Google Cloud Blog

  ARMORY CASTLE exploited zero day vulnerabilities in BeyondTrust Remote Support appliances to establish persistent, stealthy access to compromised devices

Entità

• CVE-2026-102764
• ARMORY CASTLE

Part of the PlainSec briefing for 2026-10-16

Editions

• Briefing for 2026-10-16

Storie correlate

• Un filtro mail compromesso può aprire l’intero cluster
• Langflow, un account autenticato basta per eseguire comandi sul server
• Il VPN patchato diventa una testa di ponte per il root