CVE-2026-102764 en BeyondTrust Remote Support: crítico y ya explotado

CVE-2026-102764 en BeyondTrust Remote Support: crítico y ya explotado

Qué es y a quién afectaBeyondTrust Remote Support es una de las herramientas de acceso remoto más extendidas en departamentos de IT, mesas de ayuda y...

Qué es y a quién afecta

BeyondTrust Remote Support es una de las herramientas de acceso remoto más extendidas en departamentos de IT, mesas de ayuda y proveedores de servicios gestionados. Esa posición privilegiada la convierte en un objetivo de primer nivel: quien controla el acceso remoto controla, en la práctica, los equipos de la organización.

Puerta de bóveda metálica entreabierta junto a una llave falsa y carpetas de archivos, metáfora de un bypass de autenticación

El CVE-2026-102764 afecta a BeyondTrust Remote Support hasta la versión 26.2.3 (incluida). Se trata de un fallo de bypass de autenticación por suplantación (CWE-290): según la descripción de la NVD, determinados componentes internos del producto no validaban correctamente el origen de los mensajes que recibían. En las condiciones adecuadas, un atacante remoto podría realizar operaciones de archivos sobre el appliance, tal y como resume CISA.

La gravedad es crítica: CVSS 4.0 de 9.3, con vector de red, sin privilegios previos y sin interacción del usuario. Es decir, no hace falta una cuenta válida ni convencer a nadie de que haga clic en nada. Si tu empresa usa Remote Support en una versión igual o anterior a la 26.2.3, y sobre todo si el appliance es accesible desde internet, el riesgo es directo.

Por qué es urgente: ya se explota en ataques reales

No estamos ante una vulnerabilidad teórica. CISA añadió el CVE-2026-102764 a su catálogo KEV (Known Exploited Vulnerabilities) el 16 de octubre de 2026, lo que confirma que se está explotando en ataques reales. La NVD la había publicado un día antes, el 15 de octubre de 2026.

El plazo que CISA da a las agencias federales de EE. UU. para corregirla es el 19 de octubre de 2026: apenas tres días. Ese margen tan corto es la mejor señal de la severidad que se le atribuye. La acción exigida consiste en aplicar las mitigaciones siguiendo las instrucciones del fabricante y, si no hubiera mitigaciones disponibles, dejar de usar el producto. En el material consultado no consta su uso en campañas de ransomware, pero eso no rebaja la urgencia: la explotación activa ya está confirmada.

Para una pyme en Lleida, Barcelona o Tarragona que depende de Remote Support para dar soporte a sus clientes o a sus propias sedes, un acceso no autorizado al appliance puede derivar en movimiento lateral hacia servidores internos, webs WordPress o PrestaShop y datos personales bajo RGPD y LOPDGDD.

Qué hacer hoy

  • Inventario: comprueba si tu organización utiliza BeyondTrust Remote Support y en qué versión exacta. Incluye instancias olvidadas, de prueba o gestionadas por un proveedor externo.
  • Actualiza o mitiga: aplica la actualización o las mitigaciones que indique el aviso oficial del fabricante (BT26-05). El material no especifica qué versión corrige el fallo, así que guíate por lo que publique BeyondTrust y no por suposiciones.
  • Revisa indicios de intrusión: busca operaciones de archivos no explicadas, accesos desde orígenes desconocidos y actividad anómala en los registros del appliance. Si detectas algo sospechoso, trátalo como incidente.
  • Reduce la exposición: limita el acceso al appliance a las IP y redes estrictamente necesarias, exige VPN o segmentación y retira cualquier instancia publicada en internet que no necesite estarlo.
  • Refuerza el resto de la cadena: rota credenciales y claves asociadas al producto y revisa los permisos de las cuentas que lo usan.

Cómo puede ayudar un equipo de ciberseguridad como el de ALMC

Gestionar este tipo de avisos a tiempo exige alguien que vigile el catálogo KEV y la NVD de forma continua y que sepa traducir el boletín en acciones concretas sobre tu infraestructura. En ALMC trabajamos con pymes, comercios online y equipos de IT reducidos que no pueden dedicar a ello un departamento completo.

Empezamos por saber qué tienes: auditorías de seguridad y pentesting para localizar vulnerabilidades antes de que las exploten, hardening de servidores y revisión de lo que está expuesto a internet. A partir de ahí, mantenemos actualizados WordPress, PrestaShop y Joomla, monitorizamos la actividad sospechosa y damos respuesta a incidentes. Y si el problema ya ha ocurrido, reparamos webs hackeadas y ayudamos a recuperar la normalidad con las garantías que exige la normativa de protección de datos.

La lección del CVE-2026-102764 es sencilla: las herramientas de acceso remoto son puertas de entrada de máximo valor y merecen la misma vigilancia que el resto de la infraestructura, si no más.

Relacionado

¿Está tu empresa expuesta a fallos como este?

En ALMC revisamos qué versiones tienes publicadas, aplicamos los parches y endurecemos tus servidores y tu web. Descubre nuestros servicios de ciberseguridad o contáctanos para una revisión.