Technicien de soutien à distance avec casque d'écoute devant un ordinateur portable, illustrant la faille BeyondTrust Remote Support

Faille BeyondTrust (CVE-2026-102764) : 47 jours d’avance pour les pirates

Le 15 octobre, BeyondTrust a révélé une faille critique dans Remote Support (anciennement Bomgar), un outil de prise de contrôle à distance utilisé par de nombreux services d’assistance et fournisseurs TI. La faille BeyondTrust, CVE-2026-102764 (note CVSS 9,3), permet à un pirate, sans mot de passe ni clic, de déposer des fichiers sur le serveur. Un groupe d’espionnage lié à la Chine l’exploitait déjà depuis le 29 août : 47 jours d’avance sur tout le monde.

Votre PME n’a peut-être jamais entendu le nom BeyondTrust. Mais si votre fournisseur TI ou un éditeur de logiciel se connecte à vos postes avec cet outil, c’est une clé de chez vous qui était exposée. Voici qui est concerné, le calendrier, ce que les pirates ont fait une fois entrés et l’ordre dans lequel changer les mots de passe.

Faille BeyondTrust : qui doit agir, selon votre installation

Où roule votre Remote Support? Lisez la colonne qui vous correspond

BeyondTrust infonuagique (SaaS)

Corrigé le 9 oct.

Rien à installer. Les comptes et accès de la console restent toutefois à revoir (voir l’ordre de rotation plus bas).

Hébergé chez vous ou chez votre fournisseur

24.3.1 à 26.2.3

Appliquer le correctif BT26-05-RS depuis l’interface /appliance, ou confirmer qu’il s’est installé automatiquement.

Hébergé, version ancienne

Avant 24.3.1

Mettre à niveau vers une version prise en charge, puis appliquer le correctif. La mise à niveau ferme la faille, mais n’efface pas une intrusion passée.

Privileged Remote Access (PRA)

Par précaution

BeyondTrust n’a pas réussi à exploiter la faille dans PRA, mais le code est partagé : le correctif est publié et recommandé.

Sources : avis BT26-05 de BeyondTrust et alerte AL26-025 du Centre canadien pour la cybersécurité.

Le calendrier : 47 jours d’avance pour les pirates

Du premier piratage à la divulgation (dates tirées de BeyondTrust, Mandiant et de la CISA)

Août 2026

Septembre 2026

Octobre 2026

29 août : le groupe exploite la faille, encore inconnue, contre une instance infonuagique de BeyondTrust et un serveur hébergé par un client.
27 sept. : une autre attaque contre un fabricant d’équipements de sécurité devient publique; BeyondTrust lance une chasse aux menaces. 30 sept. : Mandiant confirme ses constats chez le client touché.
28 sept. : la chasse repère l’instance compromise, contenue 27 minutes après la détection.
8 oct. : correctif publié; 9 oct. : toutes les instances infonuagiques sont corrigées.
15 oct. : divulgation publique (avis BT26-05 et analyse de Mandiant). 16 oct. : la CISA ajoute la faille à son catalogue des failles exploitées; le Centre canadien pour la cybersécurité publie l’alerte AL26-025.
19 oct. : date limite imposée par la CISA aux agences fédérales américaines.

Selon BeyondTrust, deux clients seulement étaient touchés au 16 octobre, et aucune activité du groupe n’a été vue depuis août. Le risque change maintenant que la faille est publique : Mandiant rappelle que ce groupe, qu’il nomme ARMORY CASTLE (anciennement UNC5221), passe d’habitude à une exploitation massive de tous les serveurs non corrigés dès qu’une faille est connue. Il l’a déjà fait en 2024 avec des failles Ivanti.

Corriger ne veut pas dire nettoyer

Voici ce que Mandiant a trouvé sur le serveur d’un client, sous la surface. Le correctif ferme la porte d’entrée; il ne retire rien de ce qui a été installé avant.

🧊 Ce que le correctif règle

Le correctif BT26-05-RS est installé ✔

La faille ne peut plus servir à entrer

🌊 Ce qui peut rester après le correctif, d’après Mandiant

Un webshell (SAWFLY) caché dans le site web du serveur, qui répond « page introuvable » à tout le monde sauf aux pirates
Une copie de l’interpréteur de commandes avec les droits root, et un script relancé à chaque démarrage pour garder ces droits
Le coffre de mots de passe du serveur, lu avec l’outil officiel de BeyondTrust
Un compte administrateur dont les droits sur les postes à distance sont passés de « Aucun accès » à « Administrateur »
Des sessions de soutien ouvertes vers des postes internes, et des fichiers téléchargés (inventaires de logiciels)
Un tunnel (BARECLAW) branché derrière le site web, et des journaux effacés au fur et à mesure

Mandiant et la CISA recommandent donc de traiter tout serveur exposé à Internet avec une version vulnérable comme potentiellement compromis : conserver les preuves, l’isoler, le reconstruire à partir d’une image saine et corrigée, puis changer les accès.

🔔 La leçon la plus utile : l’alerte avait sonné

BeyondTrust raconte que ses capteurs ont bien réagi quand le pirate a obtenu les droits root. Mais l’outil de tri automatique de sa plateforme de détection a classé ces alertes comme fausses alertes et les a fermées. L’entreprise demande maintenant qu’aucun tri automatique ne puisse fermer seul une alerte grave. Pour une PME, c’est l’argument pour une surveillance proactive de vos systèmes : la machine trie, mais une alerte grave réveille une personne qui vérifie.

Changer les mots de passe, dans le bon ordre

Un serveur de soutien à distance conserve les mots de passe dont les techniciens ont besoin pour vos postes et vos serveurs. Mandiant recommande de les changer seulement après avoir corrigé ou reconstruit le serveur (sinon le pirate voit passer les nouveaux), et dans cet ordre :

Ordre de rotation recommandé par Mandiant

Comptes d’administration de l’appareil (/appliance)

La porte de la salle des machines.

Administrateurs et utilisateurs de la console (/login)

Ceux qui ouvrent les sessions de soutien.

Secrets des comptes API

Les intégrations qui pilotent la console.

Comptes de liaison à l’annuaire et clés de signature SAML

Le lien avec Microsoft Entra ou Active Directory.

Mots de passe du coffre

Changés sur chaque système cible, pas seulement dans le coffre.

Identifiants d’intégration

Courriel (SMTP), journaux (syslog), outil de billets, événements sortants.

Tout mot de passe tapé pendant une session de soutien

Depuis la fin août, au moindre doute.

Ajoutez ensuite les vérifications de BeyondTrust et de la CISA : fin de toutes les sessions actives, redéploiement des clients installés sur les postes, revue des nouveaux enregistrements d’authentification multifacteur sur les comptes privilégiés, et toute modification de droits sans billet ni responsable nommé.

Votre PME n’héberge rien? Trois questions pour votre fournisseur TI

La faille BeyondTrust vous concerne surtout par ricochet, à travers votre fournisseur. Posez-lui ces questions cette semaine :

Utilisez-vous BeyondTrust Remote Support ou Bomgar pour vous connecter chez nous, en version infonuagique ou hébergée?
S’il est hébergé : le correctif BT26-05-RS est-il installé, à quelle date, et avez-vous vérifié l’absence de traces d’intrusion depuis le 29 août?
Quels mots de passe de notre entreprise ce serveur conservait-il, et ont-ils été changés depuis?

Profitez-en pour dresser la liste de tous les outils qui peuvent prendre le contrôle de vos postes, comme le propose notre arbre de décision sur les logiciels d’accès à distance détournés. Un outil oublié est une porte que personne ne surveille.

Et la Loi 25?

Si des sessions de soutien ont touché des postes contenant des renseignements personnels (dossiers clients, RH, paie), vous devez évaluer le risque de préjudice sérieux et inscrire l’incident dans votre registre des incidents de confidentialité, même si la porte a été ouverte chez votre fournisseur.

Pour aller plus loin : notre surveillance proactive de vos systèmes, notre soutien informatique et service d’assistance, nos services de cybersécurité, et deux cas récents d’accès de fournisseurs détournés : ConnectWise Cloud Backup (SkyKick) et la faille Ivanti Connect Secure.

Réservez votre Bilan cyber gratuit

Vous ne savez pas quels outils d’accès à distance peuvent entrer chez vous, ni qui les surveille? Le Bilan cyber gratuit fait l’inventaire de ces accès, vérifie vos comptes administrateurs et vos journaux, et vous remet une liste de correctifs claire.

👉 Réservez votre Bilan cyber gratuit

Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.

Sources

Photo : MART PRODUCTION, Pexels (licence Pexels).