Suspected Chinese espionage attackers abusing BeyondTrust IT support zero-day

Un grupo de espías presuntamente chino está explotando un zero-day en los equipos Remote Support de BeyondTrust para realizar ataques de inteligencia. BeyondTrust, Mandiant y Google confirmaron la vulnerabilidad CVE-2026-102764 el jueves y han lanzado un parche; el grupo Armory Castle ha estado explotando la falla desde el 29 de agosto. Los atacantes escalan privilegios, se mueven lateralmente en la red víctima y acceden a todas las credenciales almacenadas en el equipo.

→ Aplica inmediatamente el parche de BeyondTrust para CVE-2026-102764 en todos los equipos Remote Support, especialmente aquellos accesibles desde Internet; revisa los registros desde el 29 de agosto para detectar signos de compromiso.

China-Linked Hackers Exploited BeyondTrust Zero-Day to Take Over Remote Support Servers

El grupo de espionaje cibernético Armory Castle, vinculado a China, explotó un zero-day en BeyondTrust Remote Support (CVE-2026-102764, CVSS 9.3) a finales de agosto de 2026 para comprometer servidores de soporte remoto. La vulnerabilidad radica en validación inadecuada del origen de mensajes en un componente interno, permitiendo operaciones de archivos en el dispositivo. BeyondTrust ha desplegado parches para clientes SaaS desde el 9 de octubre, pero los clientes auto-hospedados deben actualizar manualmente.

BeyondTrust patches zero-day exploited in attacks since August

BeyondTrust ha emitido un parche para CVE-2026-102764, una vulnerabilidad crítica de autenticación en Remote Support que ha sido explotada en ataques zero-day desde agosto. El actor chino Armory Castle ha aprovechado el fallo para obtener acceso inicial, escalar a privilegios root y desplegar malware personalizado en redes empresariales, incluida la infraestructura de organismos del Gobierno estadounidense. BeyondTrust advierte que cualquier dispositivo accesible desde Internet durante la ventana de explotación debe considerarse potencialmente comprometido.

→ Actualiza BeyondTrust Remote Support a versión posterior a 26.2.3 o habilita actualizaciones automáticas en instalaciones locales; cualquier appliance accesible desde Internet durante agosto-octubre debe considerarse comprometida y revisarse.

Ivanti warns of Connect Secure zero-day exploited in attacks

Ivanti advierte sobre un zero-day en Connect Secure que está siendo explotado activamente en ataques. La vulnerabilidad CVE-2026-104935 es un bypass de autenticación de alta severidad que afecta a versiones 22.8R2.4 y anteriores, 25.1.2.2 y anteriores, y 25.1.1.1 y anteriores, permitiendo a atacantes remotos ejecutar comandos arbitrarios sin privilegios ni interacción del usuario. Ivanti recomienda aplicar parches inmediatamente, mientras Shadowserver rastrea más de 5.500 instancias expuestas en Internet.

→ Actualiza Ivanti Connect Secure a la versión corregida cuanto antes y ejecuta regularmente la Integrity Checker Tool.