Alerta Urgente: Falha Crítica no BeyondTrust Remote Support Explorada por Grupo Estatal

A falha crítica CVE-2026-102764 no BeyondTrust Remote Support (com CVSS 9.3) representa um risco altíssimo para empresas. Este software é uma ferramenta vital para equipes de TI, permitindo conexão e controle remoto de computadores e servidores. Ao explorar essa vulnerabilidade de autenticação, atacantes conseguem manipular arquivos, escalar privilégios e acessar cofres de credenciais, comprometendo a infraestrutura de rede.

O grupo chinês Armory Castle (anteriormente UNC5221) explorou esta zero-day ativamente desde 29 de agosto de 2026, com notável velocidade. Eles usaram webshells como BARECLAW e SAWFLY, além de técnicas para exfiltrar dados e garantir persistência. A ação deste grupo, focado em espionagem cibernética e com profundo conhecimento dos sistemas BeyondTrust, sublinha a sofisticação das ameaças a ferramentas de acesso remoto. A BeyondTrust já liberou patches em 09 de outubro de 2026, mas o alerta da CISA e do Canadian Centre for Cyber Security para auditorias forenses e restrição de acesso externo é crucial para detectar comprometimentos que já podem ter ocorrido.

Esta notícia aprofunda as informações sobre a exploração ativa do BeyondTrust Remote Support por hackers, um tema já abordado na cobertura do CEVIU. Em 10 de fevereiro de 2026, o CEVIU noticiou um alerta da própria BeyondTrust sobre uma falha crítica de RCE em seus softwares de suporte remoto. Agora, um novo problema, a CVE-2026-102764, veio à tona, sendo explorada como zero-day.

Mais recentemente, o alerta do Google, publicado em 16 de outubro de 2026, já indicava a exploração desta vulnerabilidade por grupos chineses desde agosto. A notícia atual detalha a identidade do grupo (Armory Castle / UNC5221), o modus operandi com webshells como BARECLAW e SAWFLY, a pontuação CVSS de 9.3 e a disponibilidade dos patches da BeyondTrust. Este cenário mostra uma escalada de incidentes críticos em produtos BeyondTrust e um nível crescente de detalhe nas informações divulgadas sobre a exploração.

A exploração de ferramentas de suporte remoto, como o BeyondTrust Remote Support, é particularmente alarmante. Essas plataformas são portas de entrada para a rede corporativa. Um ataque bem-sucedido pode significar acesso irrestrito a sistemas críticos, dados confidenciais e a capacidade de mover-se lateralmente pela infraestrutura. A atuação de um grupo estatal sofisticado como Armory Castle, usando uma falha zero-day, demonstra o alto valor desses alvos.

Para as empresas, a prioridade máxima é a aplicação imediata dos patches. Além disso, é fundamental implementar controles compensatórios, como isolamento de dispositivos, restrições de rede com WAFs, higienização de credenciais e a revisão de permissões. A recorrência de falhas críticas em dispositivos de borda, como visto também em produtos da Ivanti, Cisco e Palo Alto Networks, exige uma reavaliação contínua das estratégias de segurança e gestão de vulnerabilidades.