Alerte cyber pour PME suisses : BeyondTrust Remote Support – une faille zero-day est activement exploitée
BeyondTrust Remote Support, anciennement Bomgar, est utilisé par les équipes informatiques et les prestataires pour intervenir à distance sur les systèmes.
Une vulnérabilité zero-day critique a déjà été exploitée contre des appliances autohébergées. BeyondTrust a corrigé ses instances SaaS au plus tard le 9 octobre 2026, mais les systèmes autohébergés doivent être contrôlés explicitement.
Si votre entreprise ou votre prestataire exploite sa propre appliance BeyondTrust Remote Support, demandez-lui maintenant de confirmer l’installation de BT26-05-RS et de vérifier si le système était accessible depuis Internet depuis fin août 2026.
Que s’est-il passé ?
Le 15 octobre 2026, BeyondTrust a publié CVE-2026-102764 dans Remote Support. Un attaquant distant non authentifié peut effectuer des opérations sur des fichiers d’une appliance vulnérable.
BeyondTrust et Mandiant confirment qu’un acteur soupçonné d’être soutenu par un État a exploité la faille comme zero-day le 29 août 2026 contre une instance hébergée et une instance autohébergée de Remote Support. Après l’intrusion, les analystes ont observé une prise de contrôle administrative, de la persistance, l’accès à des identifiants stockés ou relayés et des accès à distance vers des systèmes internes.
Mon entreprise pourrait-elle être concernée ?
Toutes les appliances autohébergées BeyondTrust Remote Support jusqu’à la version 26.2.3 incluse sont concernées. Le produit peut être exploité directement par votre entreprise ou par un prestataire informatique externe.
Remote Support SaaS : BeyondTrust a corrigé toutes les instances SaaS au plus tard le 9 octobre 2026 ; aucune autre intervention du client n’est requise sur l’appliance.
Autohébergé de 24.3.1 à 26.2.3 : installer BT26-05-RS ou confirmer que la mise à jour automatique l’a appliqué.
Autohébergé avant 24.3.1 : passer d’abord à une version prise en charge, puis appliquer BT26-05-RS.
BeyondTrust Privileged Remote Access partage le code concerné. BeyondTrust n’a pas confirmé que PRA soit exploitable, mais recommande par précaution le correctif sur les systèmes autohébergés.
Que faut-il faire maintenant ?
Demandez aujourd’hui à votre prestataire informatique de réaliser un bref inventaire et de contrôler le correctif. Il faut d’abord déterminer si BeyondTrust Remote Support ou Bomgar est utilisé en mode SaaS ou sur une appliance autohébergée.
Pour les appliances autohébergées, consigner la version installée et l’état du correctif BT26-05-RS.
Vérifier si l’appliance a été accessible depuis Internet avec une version vulnérable depuis le 29 août 2026.
En cas d’exposition, conserver les journaux syslog, pare-feu, proxy inverse et WAF stockés hors de l’appliance, puis effectuer une recherche de compromission.
Si des indices sont découverts, coordonner le confinement avec le support BeyondTrust ou un spécialiste de la réponse à incident ; ne renouveler les identifiants qu’après application du correctif ou reconstruction de l’appliance.
Quel est le degré d’urgence ?
Urgence : très élevée pour les appliances Remote Support autohébergées et accessibles depuis Internet.
Il s’agit d’une exploitation zero-day confirmée qui ne nécessite aucune authentification. Les clients SaaS sont déjà protégés au niveau de l’appliance ; les déploiements autohébergés doivent être contrôlés activement, car la couverture des mises à jour automatiques varie et l’installation du correctif n’annule pas une compromission antérieure.
Informations pour votre prestataire informatique
CVE : CVE-2026-102764 ; CVSS v4.0 : 9.3 ; CWE-290.
Versions concernées : BeyondTrust Remote Support jusqu’à 26.2.3 incluse.
Correctif : BT26-05-RS pour les versions 24.3.1 à 26.2.3 ; mettre d’abord à niveau les versions antérieures.
Chemin d’attaque : réseau, faible complexité, sans privilèges ni interaction de l’utilisateur.
Impact : opérations sur les fichiers ou téléversement arbitraire de fichiers sur l’appliance ; selon Mandiant, cela peut conduire au contrôle de l’hôte et à l’accès aux identifiants stockés ou relayés.
Pour les systèmes potentiellement exposés, examiner les indicateurs et les recommandations de détection de Mandiant. Les journaux stockés hors de l’appliance sont essentiels, car l’attaquant a supprimé les journaux locaux.
