BeyondTrust corrige zero-day que deu acesso root a invasores por dois meses

A BeyondTrust finalmente corrigiu uma falha crítica de bypass de autenticação em seus appliances Remote Support e Privileged Remote Access, rastreada como CVE-2026-102764, e o problema é enorme. Atacantes exploram esse zero-day silenciosamente desde o fim de agosto, transformando um appliance de suporte sem patch em uma porta de entrada que termina em controle root total do host.

A campanha é atribuída a um grupo de espionagem com suspeita de ligação com a China, identificado pela Mandiant como Armory Castle. O roteiro é brutal e eficiente: obter acesso inicial pela falha, escalar para root habilitando permissões Set User ID, instalar o web shell Sawfly e o tunneler Bareclaw, apagar logs para encobrir o rastro e depois se mover pela rede usando credenciais de administrador roubadas.

Clientes SaaS receberam a correção automaticamente em 8 de outubro, mas instalações self-hosted ainda exigem ação manual. Se o seu appliance estava acessível pela internet em uma versão vulnerável durante a janela de exploração, trate-o como comprometido até que se prove o contrário. É hora de auditar, isolar e reforçar o acesso remoto, e não de torcer para que nada aconteça.