A CISA alertou que a vulnerabilidade CVE-2026-102764 no BeyondTrust Remote Support está sendo explorada ativamente. A falha crítica pode permitir bypass de autenticação e operações de arquivo em um appliance afetado. Ela foi incluída no catálogo Known Exploited Vulnerabilities (KEV) da CISA em 16 de outubro de 2026.
O problema merece atenção especial porque o Remote Support, anteriormente conhecido como Bomgar, é usado para acesso remoto e suporte privilegiado. Um appliance comprometido pode oferecer ao invasor um ponto de entrada para persistência, elevação de privilégios e movimento lateral na rede.
O que é a CVE-2026-102764
A vulnerabilidade está relacionada à validação inadequada da origem de mensagens em um componente interno do BeyondTrust Remote Support. O aviso do fabricante classifica o problema como Improper Origin Validation, associado ao CWE-290, e informa que um atacante remoto pode realizar operações de arquivo no appliance em determinadas condições.
A CISA descreve o problema como um bypass de autenticação por spoofing e informa que atores de ameaça estão explorando a falha para obter acesso inicial, estabelecer persistência, elevar privilégios e se mover lateralmente. A BeyondTrust atribuiu pontuação CVSS v4.0 de 9,3 e severidade crítica.
O risco não deve ser interpretado como uma prova de que toda instalação foi comprometida. Porém, por existir evidência de exploração ativa, a prioridade é maior do que a de uma vulnerabilidade apenas teórica. Organizações com appliances expostos devem atualizar e investigar a janela anterior à aplicação do patch.
Versões afetadas e correção
A BeyondTrust informa que são afetadas todas as versões do Remote Support 26.2.3 e anteriores. Para instalações self-hosted entre as versões 24.3.1 e 26.2.3, a correção é o patch BT26-05-RS.
Instalações anteriores à versão 24.3.1 precisam primeiro atualizar para uma versão mais nova que permita aplicar o patch. A BeyondTrust informa que clientes SaaS do Remote Support tiveram a correção aplicada até 9 de outubro de 2026. Mesmo assim, equipes que usam o serviço hospedado devem confirmar o status com o fornecedor e revisar os registros de acesso.
Por que a vulnerabilidade é perigosa
Ferramentas de suporte remoto normalmente têm acesso a computadores, sessões administrativas, transferência de arquivos e credenciais operacionais. O appliance pode concentrar informações sobre clientes, técnicos, políticas de sessão e integrações com sistemas internos.
Depois do acesso inicial, um invasor pode tentar criar ou usar contas privilegiadas, alterar políticas de sessão, inserir arquivos, capturar sessões de suporte e alcançar outros ativos. A CISA recomenda considerar o appliance como um ativo de alta importância e restringir sua exposição externa ao mínimo necessário.
O impacto real depende da configuração, das permissões, da separação entre redes e da existência de controles adicionais. Um appliance acessível apenas por uma rede administrativa segmentada apresenta uma superfície diferente de outro diretamente exposto à internet.
O que fazer imediatamente
1. Identifique todas as instalações. Faça um inventário de appliances self-hosted, versões, endereços públicos, regras de firewall, interfaces administrativas e integrações. Inclua ambientes de contingência e instalações mantidas por equipes terceirizadas.
2. Aplique o BT26-05-RS. Instalações entre 24.3.1 e 26.2.3 devem aplicar o patch do fabricante. Ambientes mais antigos precisam atualizar para uma versão compatível antes de aplicar a correção. Registre a versão final e confirme que os serviços foram reiniciados conforme as instruções do fornecedor.
3. Reduza a exposição. Limite o acesso externo aos serviços indispensáveis. Interfaces administrativas devem ficar restritas a redes confiáveis, VPN ou outros controles de acesso. Não trate a ocultação da interface como substituta da atualização.
4. Revogue acessos desnecessários. Revise contas administrativas, políticas de sessão, agentes, integrações e usuários que não precisam mais de acesso. Remova permissões amplas e aplique menor privilégio.
Como investigar possível comprometimento
A CISA recomenda coletar um snapshot do appliance virtual ou uma imagem forense do equipamento físico antes de reconstruir um sistema suspeito. Encaminhe imediatamente os eventos de sistema e de sessões para o SIEM e preserve logs do proxy reverso, WAF e firewall de perímetro.
Procure sessões administrativas não reconhecidas, arquivos de script inesperados, lacunas nos logs, mudanças não autorizadas em contas, permissões e políticas de sessão, além de novas inscrições de MFA em contas privilegiadas. Compare os horários com os acessos de suporte e com alterações aprovadas.
O GitLab não está relacionado a esta vulnerabilidade: o tema é exclusivamente o BeyondTrust Remote Support. A distinção é importante porque o catálogo da CISA reúne vulnerabilidades de vários produtos, e a presença no KEV exige uma resposta baseada em risco para o ativo correto.
Se houver indícios de exploração
Isole o appliance suspeito sem destruir evidências, preserve snapshots e logs e restrinja sessões ativas. Depois da coleta inicial, reconstrua o equipamento a partir de uma origem conhecida, aplique o patch e revise os sistemas que poderiam ter sido alcançados.
Como o Remote Support pode armazenar ou injetar credenciais, a CISA recomenda rotacionar todas as credenciais armazenadas ou inseridas pelo appliance, revogar sessões de suporte ativas e revisar novos registros de autenticação multifator em contas privilegiadas. A rotação deve incluir chaves, tokens e senhas usadas em integrações.
Conclusão
A CVE-2026-102764 deve ser tratada como uma prioridade operacional por organizações que usam BeyondTrust Remote Support self-hosted. A combinação de bypass de autenticação, severidade crítica e exploração ativa torna insuficiente esperar pelo próximo ciclo normal de manutenção.
O caminho recomendado é identificar as instalações afetadas, aplicar o BT26-05-RS, restringir interfaces administrativas, investigar a janela anterior ao patch e rotacionar credenciais se houver qualquer sinal de comprometimento. A presença no catálogo KEV da CISA é um indicador claro para priorizar a correção.
Fontes primárias
CISA: CISA Urges Patching Critical Vulnerability in BeyondTrust Remote Support.
BeyondTrust: BT26-05 — Security Advisory.
CISA KEV: CISA Adds Two Known Exploited Vulnerabilities to Catalog.
CVE.org: CVE-2026-102764.
