Una vulnerabilidad crítica identificada como CVE-2026-1731 está siendo explotada activamente, permitiendo a los atacantes obtener control total del dominio sobre los sistemas afectados.

Los actores de amenazas están aprovechando esta falla para ejecutar comandos del sistema operativo de forma remota sin necesidad de autenticación.

La vulnerabilidad, descubierta en implementaciones autohospedadas de BeyondTrust, permite a atacantes no autenticados ejecutar comandos arbitrarios del sistema operativo mediante solicitudes HTTP especialmente diseñadas, ejecutándolos con los privilegios del usuario del sitio.

Las instancias de BeyondTrust en la nube ya han sido parcheadas automáticamente desde el 2 de febrero de 2026. Sin embargo, los clientes con implementaciones autohospedadas deben aplicar las actualizaciones manualmente para mitigar los riesgos de explotación.

Detalles técnicos

El análisis de Arctic Wolf reveló que los atacantes desplegaron binarios de SimpleHelp Remote Access como parte de su actividad post-explotación.

Estos binarios fueron creados a través de procesos de BeyondTrust Bomgar ejecutándose bajo la cuenta SYSTEM y guardados en el directorio ProgramData, comúnmente con el nombre remote access.exe.

Los atacantes utilizaron comandos como net user y net group para crear cuentas de dominio privilegiadas, otorgándose efectivamente derechos de Enterprise Admin o Domain Admin.

Para reconocimiento, se ejecutó la función AdsiSearcher para enumerar equipos de Active Directory, junto con comandos de descubrimiento de red como net share, ipconfig /all y systeminfo.

Los investigadores de Arctic Wolf observaron el uso de PSExec y solicitudes de configuración de sesión SMBv2 de Impacket, lo que sugiere una propagación coordinada de la herramienta SimpleHelp en múltiples hosts de la red.

Los expertos en seguridad recomiendan encarecidamente parchear todas las versiones vulnerables de inmediato. Todos los clientes de BeyondTrust basados en la nube ya están protegidos.

CISA aconseja que las implementaciones autohospedadas que ejecuten versiones anteriores a RS 21.3 o PRA 22.1 deben actualizarse primero antes de aplicar el parche.

Los administradores deben revisar los sistemas en busca de binarios no autorizados de SimpleHelp, cuentas de administrador sospechosas y tráfico de red inusual relacionado con sesiones SMB.