Se han detectado nuevos intentos de sondeo dirigidos a la vulnerabilidad CVE-2026-102764 en BeyondTrust Remote Support, lo que sugiere que los ataques podrían evolucionar desde el espionaje selectivo hacia un despliegue masivo. La empresa Previdian informó sobre dos sondeos provenientes de una dirección IP ubicada en Hong Kong contra dispositivos señuelo en Europa y Estados Unidos, aunque hasta el momento no se ha observado una explotación exitosa de esta actividad.

Nuevas sondas dirigidas al CVE-2026-102764 han despertado la preocupación de que los ataques contra BeyondTrust Remote Support puedan extenderse más allá del espionaje selectivo.

Previdian informó sobre dos sondas contra dispositivos señuelo en Estados Unidos y Europa, ambas procedentes de una misma dirección IP geolocalizada en Hong Kong.

La empresa afirmó que no ha observado una explotación exitosa derivada de esta actividad, por lo que el escaneo masivo a gran escala sigue siendo una advertencia más que un hallazgo confirmado.

Estos hallazgos añaden urgencia para las organizaciones que utilizan dispositivos vulnerables expuestos a internet. BeyondTrust califica el fallo como crítico, con una puntuación CVSS de 9.3. Afecta a las versiones 26.2.3 y anteriores de Remote Support, a menos que se haya aplicado el parche requerido.

Según el informe compartido por Previdian, las solicitudes se dirigieron a POST /api/start_session e incluyeron los parámetros issue_menu=1&id=1&c2cjs=1&platform=thin. El tráfico se parecía a un módulo de Metasploit de BeyondTrust que se encuentra actualmente bajo revisión. Sin embargo, la empresa subrayó que no era una coincidencia exacta.

Esa similitud sugiere que los atacantes podrían estar probando métodos de explotación desarrollados públicamente contra sistemas expuestos. No obstante, la muestra reportada sigue siendo pequeña.

Vulnerabilidad Crítica de BeyondTrust

Dos solicitudes de una sola fuente no establecen una campaña generalizada, ni identifican al operador, ni prueban que un exploit funcional haya llegado a los sistemas de producción. Previdian describió la actividad como una posible señal temprana de ataques oportunistas más amplios.

La vulnerabilidad subyacente implica un componente de mensajería interna que no comprobaba correctamente el origen de los mensajes entrantes.

BeyondTrust afirma que un atacante remoto podría aprovechar esta debilidad para realizar operaciones de archivos en un dispositivo afectado. Su aviso de seguridad BT26-05 documenta las versiones afectadas y los requisitos del parche.

Mandiant vinculó previamente una explotación exitosa a finales de agosto de 2026 con ARMORY CASTLE, un grupo de espionaje presuntamente vinculado a China y anteriormente rastreado como UNC5221. Esos ataques ocurrieron antes de la divulgación pública, lo que los convierte en ataques de día cero. La explotación exitosa permitió la carga de archivos arbitrarios.

Ya se ha informado anteriormente sobre la explotación de día cero de BeyondTrust, incluyendo el despliegue de la shell web SAWFLY PHP y la escalada a privilegios de root.

Su informe relacionado sobre hackers chinos que explotan BeyondTrust detalló intentos de acceder a credenciales almacenadas y sistemas gestionados a través de dispositivos comprometidos. Estas intrusiones previas muestran por qué las nuevas sondas merecen tu atención, incluso sin un éxito confirmado.

Si tienes clientes con hosting propio, deben aplicar el parche BT26-05-RS inmediatamente. El parche es compatible con las versiones 24.3.1 hasta la 26.2.3. Los clientes que utilicen versiones más antiguas deben actualizar primero. BeyondTrust afirma que parcheó a todos los clientes de Remote Support alojados para el 9 de octubre de 2026.

La alerta de la CISA del 16 de octubre confirma la explotación activa y registra la adición de la vulnerabilidad a su catálogo de Vulnerabilidades Explotadas Conocidas ese mismo día. La agencia recomienda limitar el acceso externo y restringir las interfaces administrativas a redes de confianza.

Combina el parcheo con una investigación. La CISA recomienda que compruebes si hay sesiones privilegiadas desconocidas, scripts inesperados, registros faltantes y cambios no autorizados en cuentas o permisos.

Si sospechas que tu organización ha sido comprometida, debes aislar los dispositivos y preservar la evidencia forense. La guía de recuperación incluye reconstruir desde un estado conocido como seguro, aplicar el parche, rotar las credenciales gestionadas por el dispositivo, revocar las sesiones de soporte y revisar los nuevos registros de autenticación multifactor. Estos pasos abordan el acceso previo del atacante, no solo la vulnerabilidad expuesta.