Zero-Day BeyondTrust CVE-2026-102764 : un outil de triage a classé les alertes en faux positifs

Six semaines d’exploitation zero-day et une alerte écartée à tort

Une vulnérabilité critique dans BeyondTrust Remote Support a été activement exploitée pendant plusieurs semaines avant d’être rendue publique. Selon Rescana, CVE-2026-102764 est une faille critique dans BeyondTrust Remote Support, notée 9.3 sous CVSS 4.0 par BeyondTrust (CNA) et 9.8 sous CVSS 3.1 par NVD. Cybersecurity News rapporte que la faille a été exploitée en tant que zero-day à la fin août 2026, avant que BeyondTrust ne la divulgue le 15 octobre.

Plus précisément, GBHackers indique que BeyondTrust affirme que la première attaque a eu lieu le 29 août 2026 et a touché une instance Remote Support hébergée par BeyondTrust ainsi qu’une appliance auto-hébergée, sans qu’un nombre de clients soit communiqué. Plus frappant encore, l’intrusion n’avait pas échappé aux sondes de détection : d’après GBHackers, les capteurs de BeyondTrust ont déclenché une alerte sur l’élévation de privilèges, mais un outil de triage tiers a clôturé ces alertes comme des faux positifs.

L’attribution pointe vers un acteur d’espionnage chevronné. Selon Cybersecurity News, Mandiant (Google) relie cette activité à ARMORY CASTLE, un groupe présumé lié à la Chine suivi auparavant sous le nom UNC5221. GBHackers ajoute que Google prévient que ce groupe est déjà passé par le passé d’une exploitation zero-day sélective à des attaques opportunistes plus larges une fois les vulnérabilités rendues publiques.

Persistance root, suppression de journaux et échéances de correctifs

Les analyses forensiques de Mandiant détaillent la manière dont les intrus se sont maintenus sur les équipements compromis. Cybersecurity News rapporte que les attaquants ont obtenu les privilèges root en copiant /bin/sh vers /usr/bin/dbus-authd avec le bit SUID activé, et ont déployé un webshell SAWFLY ainsi qu’un tunnel SOCKS5 BARECLAW sur le port TCP 19800. Pour brouiller les pistes, Mandiant a également constaté que les attaquants avaient supprimé des journaux au niveau du système, du serveur web et de l’application.

Selon l’avis publié par le Centre canadien pour la cybersécurité, les versions 26.2.3 et antérieures de Remote Support sont concernées ; les clients auto-hébergés doivent appliquer le correctif BT26-05-RS, tandis que les clients SaaS ont été corrigés dès le 9 octobre 2026. Rescana précise que la CISA a ajouté la faille à son catalogue Known Exploited Vulnerabilities (KEV) le 16 octobre 2026 avec une échéance fédérale fixée au 19 octobre.

Surtout, l’application de la mise à jour ne suffit pas à elle seule. Cybersecurity News souligne que Mandiant avertit que l’application du correctif referme la faille mais n’efface pas une compromission antérieure, et recommande de reconstruire le système à partir d’une image propre et corrigée si une compromission ne peut être exclue.

Ce que cela signifie pour les administrateurs et infogérants en Algérie

Bien que les rapports cités ne mentionnent pas de victimes par pays, les appliances de télémaintenance sont couramment utilisées par les équipes de support informatique et les prestataires de services gérés en Algérie et en Afrique du Nord pour administrer des postes et serveurs à distance. Comme ARMORY CASTLE a l’habitude d’élargir ses attaques de manière opportuniste dès qu’une faille devient publique, les installations auto-hébergées sont directement exposées. Trois mesures opérationnelles s’imposent.

1. Appliquer le correctif BT26-05-RS — et reconstruire l’appliance en cas de doute

Toute organisation exploitant en auto-hébergement BeyondTrust Remote Support en version 26.2.3 ou antérieure doit déployer le correctif BT26-05-RS sans délai. Toutefois, comme les attaquants ont installé une copie root avec SUID dans /usr/bin/dbus-authd, déployé le webshell SAWFLY et le tunnel SOCKS5 BARECLAW sur le port TCP 19800, et effacé les journaux locaux, Mandiant recommande de reconstruire l’appliance à partir d’une image propre et corrigée dès qu’une compromission ne peut être écartée.

2. Interdire la clôture automatique des alertes d’élévation de privilèges par un outil tiers

Les capteurs de BeyondTrust avaient correctement détecté l’élévation de privilèges, mais un outil de triage tiers a classé ces alertes comme de faux positifs, laissant l’activité démarrée le 29 août 2026 se poursuivre jusqu’en octobre. Les équipes qui délèguent ou automatisent le tri de leurs alertes doivent interdire toute fermeture automatique des alertes d’élévation de privilèges sur les équipements d’administration.

3. Exporter les journaux d’appliances en temps réel vers un collecteur externe immuable

Mandiant a constaté la suppression de journaux au niveau du système, du serveur web et de l’application. Si les traces restent uniquement stockées sur l’appliance locale, un attaquant devenu root peut effacer les preuves de son passage — rendant indispensable une reconstruction complète faute de visibilité.

La leçon structurelle

Les outils de télémaintenance occupent le sommet de la chaîne de confiance informatique : compromettre une seule appliance offre un tremplin vers l’ensemble des machines qu’elle administre. L’affaire CVE-2026-102764 démontre que des capteurs de sécurité performants ne servent à rien si la couche de triage située derrière eux étouffe le signal. Lorsqu’un outil de triage tiers classe à tort une véritable élévation de privilèges en faux positif, un système surveillé réagit exactement comme un système aveugle.

Pour les directions informatiques en Algérie, la conclusion associe une mise à jour immédiate des versions 26.2.3 et antérieures de Remote Support à une règle de gouvernance : toute alerte d’élévation de privilèges sur une passerelle d’administration doit faire l’objet d’une vérification humaine.

Questions Fréquemment Posées

Sources et lectures complémentaires

• BeyondTrust zero-day exploited by China-linked ARMORY CASTLE group — Cybersecurity News
• BeyondTrust zero-day alerts were closed as false positives by third-party triage tool — GBHackers
• Google warns ARMORY CASTLE may expand BeyondTrust zero-day attacks — GBHackers
• AL26-025: Critical vulnerability impacting BeyondTrust Remote Support (CVE-2026-102764) — Canadian Centre for Cyber Security
• BeyondTrust Remote Support CVE-2026-102764 added to CISA KEV — Rescana