Una vulnerabilidad crítica en el software de soporte remoto de BeyondTrust está siendo explotada activamente por hackers para instalar peligrosos backdoors en sistemas comprometidos. La falla, identificada como CVE-2026-1731, tiene una puntuación CVSS de 9.9 y permite a los atacantes ejecutar comandos del sistema sin necesidad de iniciar sesión. BeyondTrust publicó un aviso de seguridad el 6 de febrero de 2026

Una vulnerabilidad crítica en el software de soporte remoto de BeyondTrust está siendo explotada activamente por hackers para instalar puertas traseras peligrosas en sistemas comprometidos.

La falla, registrada como CVE-2026-1731, tiene una puntuación CVSS de 9.9 y permite a los atacantes ejecutar comandos del sistema sin necesidad de iniciar sesión.

BeyondTrust publicó un aviso de seguridad el 6 de febrero de 2026, confirmando que CVE-2026-1731 es una vulnerabilidad de inyección de comandos del sistema (CWE-78) en el componente thin-scc-wrapper, que está expuesto directamente a la red a través de WebSocket.

Los sectores afectados por esta campaña incluyen servicios financieros, salud, servicios legales, educación superior y empresas tecnológicas en Estados Unidos, Francia, Alemania, Australia y Canadá.

Los analistas de Unit 42 de Palo Alto Networks identificaron explotación activa en más de 10,600 instancias expuestas, rastreando una campaña amplia que escaló rápidamente desde el acceso inicial hasta el control total.

La Agencia de Ciberseguridad e Infraestructura de EE.UU. (CISA) añadió CVE-2026-1731 a su Catálogo de Vulnerabilidades Explotadas Conocidas (KEV) el 13 de febrero de 2026, ordenando una remediación urgente para agencias federales y recomendando a las organizaciones del sector privado actuar de inmediato.

Dos puertas traseras son el núcleo de esta campaña. SparkRAT es un troyano de acceso remoto de código abierto, basado en Go, visto por primera vez en 2023 en campañas vinculadas al grupo de amenazas DragonSpark.

VShell es una puerta trasera para Linux conocida por su ejecución en memoria sin archivos y su capacidad para mezclarse como un servicio del sistema normal, lo que dificulta su detección.

CVE-2026-1731 tiene conexión histórica con CVE-2024-12356, una falla anterior de BeyondTrust explotada por Silk Typhoon (APT27) en el ataque de 2024 al Departamento del Tesoro de EE.UU.

La misma debilidad recurrente —validación insuficiente de entradas— aparece en ambas vulnerabilidades, lo que indica que las plataformas de acceso remoto siguen siendo un objetivo principal para actores de amenazas sofisticados.

Dentro de la cadena de infección

El ataque comienza cuando un actor de amenazas abre una conexión WebSocket al dispositivo y envía un valor malformado remoteVersion con el formato a[$(cmd)]0 durante la fase de handshake.

El script thin-scc-wrapper procesa este valor usando contextos aritméticos de bash, que tratan la entrada como expresiones ejecutables en lugar de números simples, lo que provoca que el comando inyectado se ejecute silenciosamente.

Los atacantes siguen esto con la implementación de una web shell, instalando una puerta trasera en PHP compacta a través de la función eval() y un shell multivector llamado aws.php.

Un dropper en bash luego instala una puerta trasera protegida por contraseña en el directorio raíz web, inyecta temporalmente una directiva maliciosa en la configuración de Apache y sobrescribe inmediatamente el archivo de configuración en disco para ocultar toda evidencia.

BeyondTrust recomienda a los clientes con autoalojamiento aplicar manualmente los parches disponibles —Remote Support 25.3.2 y Privileged Remote Access 25.1.1— y actualizar versiones anteriores a 21.3 (RS) o 22.1 (PRA) antes de aplicar el parche.