CISA põe zero-day da BeyondTrust na lista de falhas exploradas

A Agência de Cibersegurança e Segurança de Infraestrutura dos Estados Unidos (CISA) incluiu na sexta-feira, 16 de outubro, a CVE-2026-102764 no catálogo de vulnerabilidades sabidamente exploradas (KEV). A falha atinge o BeyondTrust Remote Support, ferramenta de acesso remoto usada por service desks e prestadores de serviços gerenciados para entrar nas máquinas de clientes. No mesmo dia, a agência publicou um segundo alerta pedindo a aplicação imediata da correção.

A inclusão no KEV obriga as agências civis federais americanas a corrigir o problema dentro do prazo fixado pela CISA. Para o setor privado, o catálogo funciona como a lista curta do que deve ser tratado antes de qualquer outra coisa, e é assim que seguradoras de risco cibernético e auditores costumam lê-lo.

O que se sabe da falha

Segundo o aviso BT26-05 da BeyondTrust, citado por diferentes publicações especializadas, a vulnerabilidade está em um componente interno de mensagens que não valida a origem das mensagens recebidas (CWE-290). Um atacante remoto, sem autenticação, consegue disparar operações de arquivo no appliance. A nota de severidade é 9,3 no CVSS 4.0. Todas as versões suportadas até a 26.2.3 são afetadas.

A cronologia é o dado mais desconfortável para quem administra esses equipamentos. De acordo com o Google Threat Intelligence Group (GTIG) e a Mandiant, a exploração começou em 29 de agosto, contra uma instância hospedada e um appliance instalado no cliente. A BeyondTrust liberou as correções em 8 de outubro e divulgou a CVE publicamente em 15 de outubro. Foram, portanto, cerca de seis semanas de exploração antes de existir patch.

O Google e a Mandiant atribuem a campanha ao grupo de espionagem ligado à China que chamam de ARMORY CASTLE, antes rastreado como UNC5221. A CrowdStrike acompanha o mesmo ator sob o nome WARP PANDA. Segundo a Mandiant, os invasores escalaram privilégios até root, instalaram malware próprio, coletaram credenciais, alteraram controles de acesso e usaram o appliance como ponto de partida para sistemas a jusante. Relatos de diferentes publicações descrevem ainda a remoção de registros de log para apagar rastros.

A BeyondTrust afirma, segundo o próprio aviso, que seus testes não encontraram forma de explorar o Privileged Remote Access, produto que compartilha o código afetado, mas aplicou a correção também nele por precaução.

Por que o alvo importa

Ferramentas de suporte remoto são, por desenho, uma credencial mestra. Quem controla o appliance herda o acesso que o service desk tem aos endpoints de cada cliente atendido. É esse o detalhe que a Mandiant destaca ao falar em movimentação "downstream": o comprometimento de um único equipamento se propaga para as redes de quem confia nele.

Não é a primeira vez que o produto está no centro de um incidente com Estado-nação. Em dezembro de 2024, o Departamento do Tesouro americano informou ao Senado um "incidente grave": invasores, descritos na cobertura da época como ligados ao Estado chinês, acessaram estações de trabalho do órgão usando uma chave de API roubada do serviço SaaS de Remote Support da BeyondTrust. A repetição, em menos de dois anos, coloca uma pergunta incômoda para conselhos e comitês de risco: quantas ferramentas de acesso privilegiado estão expostas à internet e quem responde por elas?

A orientação do GTIG é direta. Qualquer appliance que tenha ficado acessível pela internet em versão vulnerável durante a janela de exploração deve ser tratado como potencialmente comprometido até ser revisado. Aplicar o patch não basta. A recomendação inclui caça a artefatos de persistência e rotação das credenciais que passaram pelo equipamento.

Leitura para prestadores de serviços de TI

O risco se concentra em quem opera suporte remoto em escala para terceiros. Nos Estados Unidos, o efeito imediato é regulatório: agências federais e seus fornecedores entram no ciclo de conformidade do KEV, e contratantes privados tendem a exigir evidências de correção dos seus prestadores.

Na Índia, a exposição está no modelo de entrega. Centros de serviço de integradoras globais atendem clientes americanos e europeus a partir de Bengaluru, Hyderabad e Pune, muitas vezes com ferramentas de acesso remoto mantidas pelo próprio prestador. Um appliance comprometido nesse elo dá ao invasor acesso a vários clientes de uma vez, que é exatamente o padrão de pivô que a Mandiant descreve.

No Brasil, o canal é parecido, mas com outra camada de obrigação. Operações de BPO e shared services que atendem bancos e seguradoras locais respondem à LGPD e, no caso do sistema financeiro, às regras de segurança cibernética do Banco Central, que exigem comunicação de incidentes relevantes. Um comprometimento em ferramenta de terceiro não transfere essa responsabilidade para o fornecedor.

O ponto comum aos três mercados é contratual. A cláusula que define quem detecta, quem notifica e quem paga por um incidente originado na ferramenta do prestador raramente é escrita pensando em um zero-day explorado por seis semanas antes de qualquer aviso. Para o CISO do cliente, a pergunta desta semana não é se o fornecedor aplicou o patch de 8 de outubro, e sim o que aconteceu no appliance entre 29 de agosto e essa data.