Une faille BeyondTrust critique (CVE-2026-102764, CVSS 9.3) a été exploitée comme zero-day par le groupe chinois Armory Castle.

Une nouvelle faille BeyondTrust fait réagir la communauté de la cybersécurité. Fin août 2026, le groupe d’espionnage Armory Castle, lié à la Chine, l’a exploitée avant toute correction. Autrement dit, il s’agit d’un zero-day. La cible : BeyondTrust Remote Support, anciennement connu sous le nom de Bomgar.

Une faille BeyondTrust exploitée comme zero-day

La vulnérabilité porte l’identifiant CVE-2026-102764. Elle reçoit un score CVSS de 9.3, ce qui la classe parmi les failles critiques. Les attaques ont eu lieu à la fin du mois d’août 2026, avant la publication du correctif.

Techniquement, il s’agit d’une validation d’origine incorrecte. Ce défaut touche un composant de messagerie interne du produit. En pratique, le logiciel ne vérifie pas assez sérieusement d’où proviennent certaines requêtes. Un attaquant peut alors en tirer parti.

Les informations disponibles à ce stade restent partielles. Elles ne détaillent pas toutes les conditions d’exploitation. Par conséquent, il faut éviter toute conclusion hâtive sur l’étendue réelle des dégâts. Il faut surtout suivre les avis officiels de l’éditeur.

Armory Castle, un groupe d’espionnage lié à la Chine

Armory Castle n’est pas un inconnu. Ce groupe était auparavant suivi sous les noms UNC5221 et Warp Panda. Ces appellations multiples reflètent un phénomène courant : chaque équipe de recherche attribue ses propres étiquettes aux acteurs qu’elle observe.

Le groupe est qualifié de « China-nexus ». Cela signifie que ses activités se rattachent à des intérêts chinois. Son objectif principal est l’espionnage, et non le gain financier immédiat. Ce type d’acteur cherche avant tout un accès discret et durable aux réseaux de ses cibles.

Par ailleurs, l’usage d’un zero-day en dit long sur ses moyens. Pour exploiter une faille inconnue de l’éditeur, il faut du temps, des compétences et des ressources. Ainsi, ce choix suggère une opération ciblée plutôt qu’une campagne opportuniste.

Pourquoi une faille BeyondTrust inquiète autant

BeyondTrust Remote Support sert à l’assistance à distance. Les équipes informatiques l’utilisent pour dépanner des postes et administrer des serveurs. Le produit dispose donc, par nature, de privilèges étendus. Il se connecte à de nombreuses machines à l’intérieur d’un réseau.

C’est pourquoi un tel outil attire les attaquants. En effet, compromettre un serveur d’assistance à distance peut ouvrir de nombreuses portes. Un intrus bien placé peut observer les sessions et atteindre d’autres systèmes. De plus, il peut se fondre dans l’activité d’administration légitime.

Les outils d’accès distant sont d’ailleurs des cibles récurrentes pour les groupes liés à des États. Ils sont souvent exposés sur Internet. Ils bénéficient en outre d’une grande confiance au sein des organisations. Cette combinaison les rend particulièrement précieux pour l’espionnage.

Le titre d’origine évoque une prise de contrôle de serveurs de support à distance. Toutefois, les éléments fournis ne précisent pas le mécanisme exact de cette prise de contrôle. Il convient donc de se référer au bulletin de sécurité de l’éditeur pour les détails techniques.

Ce qu’il faut retenir

• Produit concerné : BeyondTrust Remote Support, anciennement Bomgar.
• Identifiant : CVE-2026-102764, avec un score CVSS de 9.3.
• Nature du défaut : validation d’origine incorrecte dans un composant de messagerie interne.
• Acteur : Armory Castle, anciennement UNC5221 ou Warp Panda, groupe d’espionnage lié à la Chine.
• Période d’exploitation : fin août 2026, en tant que zero-day.

Recommandations pratiques

D’abord, consultez sans attendre l’avis de sécurité de BeyondTrust. Appliquez ensuite le correctif ou la mesure d’atténuation recommandée. Cette étape reste la priorité absolue.

Ensuite, vérifiez les journaux de vos serveurs d’assistance à distance. Recherchez toute activité inhabituelle, notamment sur la période de fin août 2026. En cas de doute, traitez l’instance comme potentiellement compromise.

Enfin, limitez l’exposition de ces serveurs. Segmentez le réseau pour réduire les déplacements latéraux. Changez également les identifiants et secrets qui transitent par ces plateformes. Ces gestes simples réduisent nettement l’impact d’une éventuelle intrusion.

Source : China-Linked Hackers Exploited BeyondTrust Zero-Day to Take Over Remote Support Servers