BeyondTrust Remote Support esconde una falla zero-day que atacantes vinculados a China explotan desde el 29 de agosto de 2026. La vulnerabilidad, registrada como CVE-2026-102764, recibió una puntuación CVSS de 9.3 sobre 10. Remote Support es la herramienta que muchos departamentos de tecnología usan para entrar a computadoras de empleados y servidores de forma remota, con permisos elevados. Una falla zero-day en esa puerta de entrada equivale a dejar la llave maestra bajo el felpudo.
The Hacker News publicó los detalles del caso y atribuyó la campaña al grupo identificado como Armory Castle, vinculado a China. El dato incómodo es el calendario. Entre el inicio de la explotación, el 29 de agosto, y la llegada del parche para clientes de la nube, el 9 de octubre, pasaron cerca de seis semanas con la falla activa y en uso real por parte de los atacantes.
Una herramienta de ayuda convertida en puerta de entrada
El software de soporte remoto ocupa un lugar delicado dentro de cualquier red corporativa. Administra sesiones con privilegios altos, atraviesa cortafuegos por diseño y conecta equipos que de otro modo quedarían aislados. Quien controla esa consola controla, en la práctica, buena parte del parque informático de la organización. Por esa razón, los grupos de espionaje persiguen este tipo de productos con insistencia.
Una puntuación CVSS de 9.3 ubica la falla CVE-2026-102764 entre las más graves del año para software empresarial. Esa escala mide factores como la facilidad de explotación y el alcance del daño posible, y un 9.3 deja escaso margen para aplazar decisiones. Con explotación confirmada desde agosto, el riesgo dejó de ser teórico hace semanas.
El patrón recuerda otros episodios recientes con productos de uso masivo. La vulnerabilidad zero-day en Google Chrome que obligó a una actualización urgente mostró la misma dinámica: atacantes moviéndose antes de que existiera parche y millones de equipos esperando la corrección. Cambia el producto, cambia el sector, la secuencia se repite con puntualidad cansona.
El parche llegó el 9 de octubre, con tarea pendiente
BeyondTrust publicó la corrección el 9 de octubre de 2026 para clientes que usan el servicio en modalidad SaaS, la versión alojada en la nube del fabricante. Esos clientes recibieron el parche dentro del servicio gestionado. La historia es distinta para organizaciones con instalaciones propias, conocidas como autoalojadas, porque allí la actualización depende del equipo interno de cada empresa.
Los clientes autoalojados con versiones entre 24.3.1 y 26.2.3 deben aplicar el parche identificado como BT26-05-RS. Las instalaciones con versiones anteriores a 24.3.1 cargan un paso extra: primero deben actualizar a una versión cubierta y después instalar el parche. Saltarse ese orden deja la corrección sin efecto, un error fácil de cometer cuando el aviso se lee con prisa un viernes por la tarde.
Versiones afectadas y orden correcto de actualización
Conviene revisar la versión exacta antes de tocar cualquier botón. Un inventario rápido de consolas Remote Support, con su número de versión anotado por escrito, separa a los equipos protegidos de los expuestos. Las consolas dentro del rango 24.3.1 a 26.2.3 reciben directo el parche BT26-05-RS. Las anteriores exigen la actualización previa completa, sin atajos.
También toca mirar hacia atrás. Con explotación activa desde el 29 de agosto, instalar el parche hoy no borra una posible entrada anterior. Los equipos de seguridad deben revisar registros de sesiones remotas, cuentas nuevas y accesos fuera de horario desde finales de agosto en adelante. Esa revisión forense, tediosa y cara, forma parte del costo real de cada zero-day descubierto tarde.
La atribución a Armory Castle agrega una capa de espionaje al caso. Los grupos vinculados a Estados no buscan un rescate rápido ni ruido en redes sociales. Buscan permanencia: entrar, mapear la red y quedarse meses leyendo sin ser vistos. Una consola de soporte remoto explotada en silencio calza perfecto con ese libreto, porque el tráfico de una sesión de ayuda parece trabajo legítimo en cualquier registro.
Esa diferencia entre la nube y la instalación propia merece una lectura fría. El cliente SaaS amaneció parchado por decisión del fabricante. El cliente autoalojado depende de su propio calendario, de su ventana de mantenimiento y de que alguien lea el boletín correcto. Esa autonomía, vendida como control total sobre la plataforma, se convierte en deuda de seguridad cada vez que un parche urgente espera turno entre proyectos.
Verificar la corrección toma minutos y ahorra sustos. El panel de administración muestra la versión instalada y el estado del parche BT26-05-RS tras aplicarlo. Reiniciar el servicio cuando el boletín lo pide, confirmar que las sesiones remotas funcionan y guardar evidencia de la actualización con fecha y hora deja el expediente listo para auditorías y para la pregunta incómoda del jefe de seguridad.
Para empresas pequeñas y medianas de la región que reciben soporte de proveedores externos, la pregunta práctica es directa: ¿qué versión de Remote Support usa quien entra a tus computadoras? Si la respuesta tarda días en llegar, ese retraso también habla del nivel de exposición. El parche BT26-05-RS existe desde el 9 de octubre; cada consola autoalojada sin aplicar a esta fecha suma días a una ventana abierta desde agosto.
Fuente: The Hacker News — Foto: The Hacker News
Descubre más desde Tecnología Geek
Suscríbete y recibe las últimas entradas en tu correo electrónico.
