BeyondTrust Remote Support : l’origine d’un message interne n’était plus une garantie

Avis du 15 octobre 2026 ; exploitation en zero-day observée fin août. BeyondTrust décrit CVE-2026-102764 comme une validation insuffisante de l’origine des messages reçus par un composant interne de Remote Support. Sous certaines conditions, un acteur distant pouvait provoquer des opérations sur les fichiers de l’appliance. Mandiant a retrouvé, dans une réponse à incident, une exploitation antérieure à la divulgation, suivie d’une élévation de privilèges et de la pose d’outils de persistance.

Pourquoi un message interne est une frontière de sécurité

Une appliance de support à distance reçoit nécessairement des requêtes externes, mais ses services internes peuvent modifier des fichiers que l’interface publique ne peut pas atteindre. Le serveur doit donc garantir non seulement ce que demande un message, mais qui est autorisé à le transmettre. Le problème signalé par BeyondTrust se situe dans cette preuve d’origine : le composant n’effectuait pas une validation suffisante avant de traiter certains messages. La primitive documentée est l’opération sur un fichier ; l’avis ne publie ni le format du message ni un PoC détaillé permettant de reconstruire à coup sûr le paquet déclencheur.

La distinction protège l’analyse d’une extrapolation facile. Une écriture de fichier peut devenir une webshell si elle cible un chemin exécuté par le serveur, mais cette transition demande une destination accessible et des permissions adaptées. Mandiant rapporte une chaîne réellement observée, pas une propriété automatique de toute opération sur fichier. Son rapport décrit la création de la webshell SAWFLY dans un chemin Web, puis l’utilisation de BARECLAW pour établir un tunnel. Il documente également l’usage d’utilitaires propres à l’appliance, de modèles de démarrage et de routes de proxy internes pour monter en privilèges et maintenir l’accès.

Ce que montrent les traces de l’incident

Mandiant a identifié la première exploitation dans les journaux d’accès et les journaux système d’une partition /home protégée par LUKS. L’acteur qu’elle nomme ARMORY CASTLE avait exploité la faille comme zero-day en août 2026. L’équipe a observé des suppressions de logs et d’artefacts ; une recherche basée uniquement sur un indicateur de fichier présent au moment de l’analyse aurait donc été insuffisante. Le rapport constitue une observation directe de compromission, tandis que l’attribution de l’acteur à un ensemble plus large relève de l’évaluation de Mandiant.

Pour rechercher cette classe de problème dans un audit autorisé, il faut suivre chaque transition entre entrée publique et bus de messages internes, identifier les champs d’identité ou de provenance, puis vérifier qu’ils sont produits par un composant de confiance et non simplement repris d’une requête distante. Un test de sécurité compare la même opération lorsqu’elle vient d’un service interne autorisé et lorsqu’elle est soumise par un client non autorisé. Il faut ensuite mesurer la portée des opérations fichiers obtenues, sans présumer la RCE tant qu’un chemin d’exécution n’est pas démontré.

Versions et réponse

BeyondTrust indique que les clients SaaS ont reçu un correctif le 9 octobre 2026 ; les déploiements auto-hébergés doivent appliquer le patch BT26-05-RS sur les versions concernées ou passer à 26.3.1 et suivantes. Le bulletin liste les versions jusqu’à 26.2.3 comme affectées. Les organisations doivent distinguer le correctif du produit de la recherche d’une intrusion antérieure : SAWFLY, BARECLAW, les changements de configuration et les journaux altérés demandent un examen séparé.

L’enseignement dépasse Remote Support : un message qui circule entre composants d’une appliance n’est pas fiable par sa seule position « interne ». Il faut établir sa provenance à la frontière, puis limiter l’effet qu’un composant peut produire sur le système de fichiers.

Sources principales : avis BeyondTrust BT26-05, enquête Mandiant.