Cyber alert per PMI svizzere: BeyondTrust Remote Support – zero-day sfruttata attivamente
BeyondTrust Remote Support, in precedenza noto come Bomgar, viene usato dai team IT e dai fornitori di servizi per l’assistenza remota.
Una vulnerabilità zero-day critica è già stata sfruttata contro appliance self-hosted. BeyondTrust ha corretto le istanze SaaS entro il 9 ottobre 2026, mentre i sistemi self-hosted richiedono una verifica esplicita.
Se la vostra azienda o il vostro fornitore IT gestisce una propria appliance BeyondTrust Remote Support, chiedete subito di confermare l’installazione di BT26-05-RS e di verificare se il sistema è stato accessibile da Internet dalla fine di agosto 2026.
Che cosa è successo?
Il 15 ottobre 2026 BeyondTrust ha pubblicato CVE-2026-102764 in Remote Support. Un attaccante remoto non autenticato può eseguire operazioni sui file di un’appliance vulnerabile.
BeyondTrust e Mandiant confermano che un attore ritenuto sostenuto da uno Stato ha sfruttato la falla come zero-day il 29 agosto 2026 contro un’istanza Remote Support ospitata e una self-hosted. Dopo l’intrusione sono stati osservati controllo amministrativo, persistenza, accesso alle credenziali archiviate o gestite e accessi remoti verso sistemi interni.
La mia azienda potrebbe essere interessata?
Sono interessate tutte le appliance self-hosted BeyondTrust Remote Support fino alla versione 26.2.3 inclusa. Il prodotto può essere gestito direttamente dall’azienda oppure da un fornitore IT esterno.
Remote Support SaaS: BeyondTrust ha corretto tutte le istanze SaaS entro il 9 ottobre 2026; per l’appliance non sono richieste ulteriori azioni da parte del cliente.
Self-hosted dalla 24.3.1 alla 26.2.3: installare BT26-05-RS oppure confermare che l’aggiornamento automatico lo abbia applicato.
Self-hosted precedente alla 24.3.1: aggiornare prima a una versione supportata, quindi applicare BT26-05-RS.
BeyondTrust Privileged Remote Access condivide il codice interessato. BeyondTrust non ha confermato la possibilità di sfruttamento in PRA, ma raccomanda per precauzione la patch sui sistemi self-hosted.
Che cosa fare ora?
Chiedete oggi stesso al vostro fornitore IT di eseguire un breve inventario e di verificare la patch. La prima domanda è se BeyondTrust Remote Support o Bomgar venga usato come servizio SaaS oppure su un’appliance self-hosted.
Per le appliance self-hosted, documentare la versione installata e lo stato della patch BT26-05-RS.
Verificare se l’appliance è stata raggiungibile da Internet con una versione vulnerabile dal 29 agosto 2026.
In caso di esposizione, conservare i log syslog, firewall, reverse proxy e WAF archiviati all’esterno dell’appliance ed eseguire una verifica di compromissione.
Se emergono indicatori, coordinare il contenimento con il supporto BeyondTrust o con uno specialista di incident response; ruotare le credenziali soltanto dopo aver applicato la patch o ricostruito l’appliance.
Quanto è urgente?
Urgenza: molto elevata per le appliance Remote Support self-hosted esposte a Internet.
Si tratta di uno sfruttamento zero-day confermato che non richiede autenticazione. I clienti SaaS sono già protetti a livello di appliance; le installazioni self-hosted devono essere controllate attivamente, perché la copertura degli aggiornamenti automatici varia e l’applicazione della patch non annulla un’eventuale compromissione precedente.
Informazioni per il fornitore IT
CVE: CVE-2026-102764; CVSS v4.0: 9.3; CWE-290.
Versioni interessate: BeyondTrust Remote Support fino alla 26.2.3 inclusa.
Correzione: BT26-05-RS per le versioni dalla 24.3.1 alla 26.2.3; aggiornare prima le versioni precedenti.
Percorso di attacco: rete, bassa complessità, nessun privilegio e nessuna interazione dell’utente.
Impatto: operazioni sui file o caricamento arbitrario di file sull’appliance; secondo Mandiant ciò può portare al controllo dell’host e all’accesso alle credenziali archiviate o gestite dall’appliance.
Per i sistemi potenzialmente esposti, verificare gli indicatori e le indicazioni di rilevamento di Mandiant. I log esterni all’appliance sono particolarmente importanti, perché l’attore ha cancellato i log locali.
