O que você precisa fazer: aplicar o patch BT26-05-RS em todo appliance BeyondTrust Remote Support auto-hospedado nas versões 24.3.1 a 26.2.3, e migrar primeiro quem estiver abaixo da 24.3.1. Quem usa a nuvem da BeyondTrust foi atualizado em 9 de outubro e não precisa mexer no appliance, mas precisa fazer o resto. O resto é o trabalho de verdade: preservar imagem e log antes de qualquer atualização, revisar o appliance em busca de comprometimento e, confirmada a suspeita, reconstruir a partir de imagem limpa em vez de corrigir a que está no ar.
A Mandiant é direta na recomendação: todo appliance alcançável pela internet que rodou versão vulnerável entre o fim de agosto e o patch deve ser tratado como potencialmente comprometido até ser revisado. Depois disso, rotação de credencial em ordem de dependência, começando pelo administrador do appliance e terminando nas integrações. O Privileged Remote Access compartilha o código afetado e recebeu patch por precaução, mesmo sem caminho de exploração conhecido.
A BeyondTrust publicou o aviso BT26-05 em 15 de outubro. A falha, CVE-2026-102764, tem nota 9.3 e uma descrição que parece inofensiva: componentes internos do Remote Support não validavam adequadamente a origem das mensagens que recebiam. Na prática isso significa que quem alcança o appliance pela rede, sem conta e sem senha, consegue mandar mensagem como se fosse um componente interno e gravar arquivo onde quiser.
O produto se chamava Bomgar e faz uma coisa específica: dá ao time de suporte acesso remoto às máquinas do parque e, para isso, guarda ou intermedia credencial de tudo que ele alcança. É a definição de alvo de alto valor. Um appliance desses não tem um dado interessante, tem a chave da casa de todos os clientes atendidos por aquele operador.
A linha do tempo não fecha bem para o cliente auto-hospedado
A primeira exploração registrada é de 29 de agosto, contra dois appliances, um hospedado pela própria BeyondTrust e um auto-hospedado. Em 27 de setembro, a invasão de outro fornecedor de equipamento de segurança virou notícia e levou a BeyondTrust a investigar. No dia 28 a empresa identificou o defeito. Em 30 de setembro havia patch pronto, e a empresa passou os dias seguintes testando e fechando outros caminhos de exploração. A correção saiu em 8 de outubro, chegou aos clientes de nuvem em 9 de outubro e só se tornou pública em 15.
Quem está na nuvem foi protegido sem saber. Quem tem appliance na própria infraestrutura e não deixou a atualização automática ligada ficou 47 dias com a porta aberta e sem nenhum motivo para desconfiar. É a assimetria de sempre nesse tipo de produto, e ela aparece inteira no caso: o fornecedor protege primeiro o que ele opera, e a parte auto-hospedada depende de um aviso que chega semanas depois.
Quem está do outro lado
A Mandiant e o Google Threat Intelligence Group atribuem a exploração ao ARMORY CASTLE, que eles mesmos rastreavam como UNC5221 e que a CrowdStrike chama de Warp Panda. É um grupo de espionagem com nexo na China, ativo desde pelo menos outubro de 2023, e a lista de falhas que ele já usou como dia zero diz mais que qualquer rótulo: CitrixBleed no NetScaler, três falhas no Ivanti Connect Secure, uma no Dell RecoverPoint. Sempre equipamento de borda, sempre antes da divulgação pública.
O padrão de alvo também é consistente: provedor de serviço em nuvem, empresa de tecnologia, órgão de governo, serviço jurídico e terceirizador de processo de negócio. Vale olhar essa lista com olho regional. A América Latina tem uma indústria grande de BPO e de provedor de serviço gerenciado, e é exatamente esse tipo de empresa que opera um console de suporte remoto apontado para dezenas de ambientes de cliente ao mesmo tempo. O appliance de uma empresa dessas não é um alvo, são todos os clientes dela.
Para se misturar ao tráfego normal, o grupo usa nó de saída de VPN comercial e roteador doméstico ou de escritório pequeno já comprometido. Não há faixa de endereço suspeita para bloquear.
Dentro da máquina
A sequência documentada pela Mandiant é curta e eficiente. Primeiro o upload do arquivo de preparo, um PHP com nome aleatório. Cerca de onze minutos depois aparece o SAWFLY, webshell PHP ofuscado que usa Base32 próprio e RC4 de 256 bits com chave fixa, e que devolve 404 quando o POST não traz o parâmetro esperado. A elevação de privilégio foi feita copiando o shell do sistema para um binário de nome inocente, com dono root e bit SUID ligado.
Com root, o grupo tentou o cofre de senhas do appliance em três chamadas sucessivas, da mais restrita para a global, e depois apagou o log dessa ferramenta. A persistência é a parte mais cuidadosa: um script no diretório de pós-inicialização acrescenta sudo sem senha para a conta de serviço no modelo de configuração e força a reconstrução do arquivo de sudoers. Sobrevive a reinicialização e sobrevive a reset de configuração.
Depois vieram o apagamento de log de autenticação, de TLS, de acesso HTTP e de sistema, a elevação das permissões de Jump Item e Team da conta de administrador do portal, a abertura de sessão de suporte contra as máquinas da lista e a exfiltração de documento interno pela própria função de transferência de arquivo. O túnel de saída, BARECLAW, ficou escondido atrás de duas linhas somadas à configuração do HAProxy do appliance.
Por que atualizar não encerra o assunto
O Shadowserver enxerga mais de 1.400 instâncias de Remote Support expostas na internet, sem dizer quantas já estão corrigidas. A BeyondTrust afirma atender mais de 20 mil clientes, entre eles órgãos de governo e três quartos da Fortune 100. O histórico recente do produto é o que deveria pesar na decisão: em dezembro de 2024 e janeiro de 2025, o grupo Silk Typhoon usou duas falhas para entrar na própria BeyondTrust, roubou uma chave de API e chegou a 17 instâncias de nuvem de clientes, entre elas a do Tesouro americano, com alvos declarados no escritório de sanções e no comitê de investimento estrangeiro. Em fevereiro de 2026 veio uma falha 9.9 explorada para ransomware. Em julho, quatro desvios de autenticação.
Há um detalhe forense que atrapalha quem quer ser rápido. Boa parte do log interno do appliance fica em partição criptografada e pode exigir apoio do fornecedor para ser lida, e a atualização de um aparelho virtual comprometido destrói evidência. A ordem correta é inversa à intuição: capturar imagem e memória, exportar o log que foi enviado para fora da caixa, e só então corrigir ou reconstruir. Lacuna no envio de log para o SIEM, nesse contexto, deve ser lida como indício de adulteração e não como falha de configuração.
Para quem contratou a operação do appliance de um integrador, a pergunta prática do dia não é técnica. É contratual: quem aplicou o patch, quem preservou a evidência, quem vai rotacionar as credenciais que a caixa guardava e em que prazo isso será demonstrado por escrito.
O que a investigação da Mandiant encontrou dentro do appliance
- Onze minutos
Entre a primeira requisição e o webshell passaram cerca de onze minutos
O primeiro POST foi para um caminho PHP com nome aleatório que a Mandiant não conseguiu recuperar. Em seguida apareceu o SAWFLY, um webshell PHP de menos de 20 KB que responde 404 quando falta o parâmetro certo no POST, justamente para não aparecer em varredura.
- Cofre
O atacante pediu o cofre do site e, ao falhar, pediu o cofre do appliance inteiro
São três chamadas em sequência ao utilitário interno de segredos, da mais específica para a mais ampla. Depois o arquivo de log desse utilitário foi apagado. Quem administra o appliance precisa tratar como exposta toda credencial que ele guardava ou intermediava.
- Permissão
A conta de administrador do portal subiu Jump Item e Team de Sem acesso para Administrador
A partir daí o grupo abriu sessão de suporte legítima contra as máquinas da lista de Jump Item, navegou no sistema de arquivos e usou a própria transferência de arquivo do produto para levar documentos, entre eles inventários de software.
- Túnel
O proxy do atacante foi publicado pelo HAProxy do próprio appliance
O BARECLAW, escrito em C, escuta SOCKS5 sobre WebSocket na porta 19800 em loopback. Duas linhas somadas à configuração do HAProxy roteiam um caminho WebSocket específico até ele. De fora, não há porta nova para encontrar.
- Reincidência
É a quarta rodada crítica no mesmo produto em 21 meses
Janeiro de 2025 com a CVE-2024-12356, fevereiro de 2026 com a CVE-2026-1731 de nota 9.9 usada para ransomware, julho de 2026 com quatro falhas de desvio de autenticação e agora outubro. A pergunta deixou de ser quando atualizar.
Fontes e aprofundamento
- Google Threat Intelligence Group · ARMORY CASTLE Exploits BeyondTrust, com a cadeia completa, os comandos de persistência, as regras YARA e os hashes do SAWFLY e do BARECLAW.
- BeyondTrust · Security Advisory BT26-05, com as versões afetadas, o patch BT26-05-RS e a orientação para quem está abaixo da 24.3.1.
- CISA · CISA Urges Patching Critical Vulnerability in BeyondTrust Remote Support, com o alerta de 16 de outubro, a inclusão no catálogo de falhas exploradas e o prazo das agências federais.
- BleepingComputer · BeyondTrust patches zero-day exploited in attacks since August, com a contagem do Shadowserver, o porte da base de clientes e o histórico do caso Silk Typhoon.
- watchTowr · CVE-2026-102764: BeyondTrust Remote Support Arbitrary File Upload FAQ, com a causa raiz, a ressalva sobre a partição criptografada de logs e o que preservar antes de atualizar.