Ir al contenido

Un fallo crítico de BeyondTrust Remote Support se explota para entrar en redes y moverse por ellas

CISA pide aplicar el parche BT26-05-RS en los equipos propios, limitar su exposición y, ante la sospecha, reconstruir y rotar cada credencial guardada. La versión en la nube ya está parcheada.
16 de octubre de 2026
Referida Alta

Qué dice

  • CVE-2026-102764 es una omisión de autenticación crítica en BeyondTrust Remote Support (antes Bomgar), versiones 26.2.3 y anteriores.
  • Se explota activamente para lograr acceso inicial y, después, mantener la presencia, escalar privilegios y moverse lateralmente por la red. CISA la incluyó en su catálogo de vulnerabilidades explotadas (KEV) el 16 de octubre de 2026.
  • En los equipos alojados por el cliente hay que aplicar el parche BT26-05-RS; por debajo de la versión 24.3.1, primero hay que actualizar. Las instalaciones en la nube de BeyondTrust ya están parcheadas.
  • CISA pide limitar el acceso externo a los servicios imprescindibles y restringir las interfaces de administración a redes de confianza.
  • Indicios que buscar: sesiones privilegiadas o de administración no reconocidas, scripts desconocidos, huecos en los registros o en su reenvío y cambios no autorizados en cuentas, permisos o políticas de sesión.
  • Ante la sospecha: aislar el equipo, conservar una imagen forense, reconstruir desde un estado limpio, parchear, rotar todas las credenciales que guardaba o inyectaba, revocar las sesiones activas y revisar las nuevas altas de doble factor en cuentas privilegiadas.

The Tech Guardian resume y comenta con sus propias palabras publicaciones de terceros. La información completa es de la fuente original, que te recomendamos leer.

Nuestra lectura

Una herramienta de soporte remoto guarda las llaves de los sistemas a los que atiende, y eso la convierte en un objetivo prioritario. Si la alojas tú, el parche es solo el primer paso: revisa las sesiones privilegiadas y las altas recientes de doble factor y, si hay duda, reconstruye el equipo y rota todas las credenciales que guardaba. Si la usas como servicio en la nube, el parche ya está aplicado.

Ivanti Connect Secure sufre un día cero explotado que permite ejecutar órdenes sin autenticarse
CISA lo añadió el 13 de octubre a su catálogo de vulnerabilidades explotadas: hay que actualizar ya y, si hay sospecha, restaurar de fábrica y cambiar todas las credenciales.