Vulnerabilidades y Avisos de Seguridad: Validación incorrecta del origen en Remote Support de BeyondTrust

Resumen de la alerta

BeyondTrust ha publicado una corrección para una vulnerabilidad crítica en BeyondTrust Remote Support, identificada como CVE-2026-102764. El fallo afecta a todas las versiones del producto hasta la 26.2.3, incluida.

La vulnerabilidad reside en componentes internos de mensajería y podría permitir que un atacante remoto sin autenticación realizase operaciones sobre archivos del dispositivo afectado. BeyondTrust ha confirmado que el problema fue explotado como zero-day el 29 de agosto de 2026 contra una instancia alojada y otra instalación autoalojada de Remote Support.

En una actualización publicada el 16 de octubre, el fabricante indicó que no tenía constancia de actividad posterior del actor tras los hechos de agosto. No obstante, dada la criticidad del fallo y la explotación confirmada, las organizaciones con instalaciones autoalojadas deben priorizar la aplicación de la corrección disponible.

Recursos afectados

• BeyondTrust Remote Support, todas las versiones hasta la 26.2.3, inclusive.

Descripción de la vulnerabilidad

CVE-2026-102764 corresponde a una validación incorrecta del origen en componentes internos de mensajería de BeyondTrust Remote Support.

El origen de un mensaje permite determinar de dónde procede una comunicación recibida. Cuando esta comprobación no se realiza adecuadamente, un sistema puede aceptar mensajes cuyo origen no debería considerarse válido. Según la información publicada, esta deficiencia podría ser aprovechada por un atacante remoto no autenticado para realizar operaciones sobre archivos del dispositivo afectado.

La vulnerabilidad tiene una severidad de 5 – Crítica. La fuente también confirma que ha existido explotación, concretamente como vulnerabilidad de día cero el 29 de agosto de 2026.

Impacto y nivel de riesgo

Una explotación exitosa podría permitir operaciones sobre archivos en el dispositivo que ejecuta la instalación afectada de Remote Support. La información disponible no detalla qué operaciones concretas podrían realizarse ni el alcance posterior sobre los sistemas afectados, por lo que no debe asumirse un impacto adicional no confirmado.

El riesgo requiere atención prioritaria por tres motivos: la vulnerabilidad está clasificada como crítica, puede ser explotada remotamente y no requiere autenticación según el aviso.

La explotación no es solo potencial: BeyondTrust ha confirmado ataques como zero-day contra una instancia alojada y una instalación autoalojada el 29 de agosto de 2026. Sin embargo, el fabricante señaló el 16 de octubre que no tenía conocimiento de actividad posterior asociada al actor.

Solución y medidas recomendadas

Para las instalaciones autoalojadas de BeyondTrust Remote Support, la medida oficial es aplicar el parche BT26-05-RS. Este parche está disponible para las versiones comprendidas entre la 24.3.1 y la 26.2.3.

Las instalaciones con versiones anteriores a la 24.3.1 deben actualizarse primero a una versión posterior compatible antes de poder instalar el parche.

Cuando las actualizaciones automáticas no estén habilitadas, el parche debe aplicarse manualmente desde la interfaz del dispositivo.

BeyondTrust aplicó la corrección a todos los clientes de Remote Support SaaS el 9 de octubre de 2026.

Como precaución adicional, BeyondTrust recomienda aplicar también el parche a las instalaciones autoalojadas de Privileged Remote Access. Aunque este producto comparte código con Remote Support, las pruebas internas del fabricante no identificaron una vía de explotación de esta vulnerabilidad en Privileged Remote Access.

Recomendaciones para organizaciones afectadas

1. Identificar las instancias de BeyondTrust Remote Support desplegadas en la organización y verificar su versión.
2. Priorizar el parche BT26-05-RS en las instalaciones autoalojadas que se encuentren entre las versiones 24.3.1 y 26.2.3.
3. Planificar la actualización previa de los sistemas con versiones anteriores a la 24.3.1 para que puedan recibir el parche.
4. Comprobar si las actualizaciones automáticas están habilitadas y, en caso contrario, aplicar manualmente la corrección desde la interfaz del dispositivo.
5. Considerar la aplicación preventiva del parche en instalaciones autoalojadas de Privileged Remote Access, conforme a la recomendación del fabricante.
6. Revisar con prioridad los procedimientos internos de gestión de vulnerabilidades y actualización de plataformas de acceso remoto, dado que la explotación de CVE-2026-102764 ha sido confirmada.