Falha crítica no BeyondTrust Remote Support explorada em ciberataques: actualização urgente recomendada
Falha crítica CVE-2026-102764 no BeyondTrust Remote Support foi explorada em operações de espionagem informática. Organizações com instalações afetadas devem aplicar a correção e verificar possíveis comprometimentos.
Uma vulnerabilidade crítica no software de administração remota BeyondTrust Remote Support foi divulgada em 15 de outubro de 2026, após a confirmação de que tinha sido explorada em operações de espionagem informática antes da disponibilização pública da informação.
A vulnerabilidade, identificada como CVE-2026-102764, apresenta uma classificação de gravidade de 9,3 em 10 na escala CVSS v4.0.
A BeyondTrust disponibilizou uma correção de segurança, identificada como BT26-05-RS, e recomenda a sua aplicação imediata nas instalações afetadas.
A investigação da Google Threat Intelligence Group (GTIG) e da Mandiant identificou exploração da falha desde o final de agosto de 2026, associando-a a um grupo de espionagem informática designado ARMORY CASTLE, suspeito de ligações à China.
FACTO DOCUMENTADO
A vulnerabilidade CVE-2026-102764 afeta versões do BeyondTrust Remote Support até à 26.2.3, inclusive. A exploração foi documentada em ataques reais, e existe uma correção disponível.
As instalações vulneráveis acessíveis através da Internet exigem especial atenção, incluindo investigação de possíveis comprometimentos anteriores.
O que é o BeyondTrust Remote Support?
O BeyondTrust Remote Support é uma plataforma empresarial utilizada por equipas de informática e prestadores de serviços para aceder remotamente a computadores, servidores e outros equipamentos.
Estas ferramentas permitem prestar assistência técnica, resolver problemas e administrar sistemas sem necessidade de presença física.
Por esse motivo, uma vulnerabilidade numa plataforma de acesso remoto pode ter consequências superiores às de uma falha limitada a uma aplicação comum.
Um equipamento comprometido poderá funcionar como ponto de entrada para outros sistemas da organização, dependendo das permissões e credenciais disponíveis.
A vulnerabilidade agora divulgada não afeta genericamente todos os computadores Windows nem todos os programas de assistência remota.
Como funciona a vulnerabilidade
Segundo o boletim oficial BT26-05, a falha resulta de uma validação inadequada da origem de mensagens recebidas por um componente interno do Remote Support.
Em determinadas condições, um atacante remoto sem autenticação poderá executar operações sobre ficheiros existentes no equipamento que suporta a plataforma.
A exploração pode permitir o comprometimento do próprio sistema de administração remota.
A Mandiant documentou situações em que os atacantes conseguiram elevar privilégios, estabelecer mecanismos de acesso persistente e utilizar a infraestrutura comprometida para aceder a outros recursos.
A gravidade resulta da combinação entre a exposição à rede, a ausência de necessidade de autenticação para explorar a falha e os privilégios habitualmente associados às ferramentas de administração remota.
Exploração confirmada antes da divulgação
A Google Threat Intelligence Group e a Mandiant identificaram a exploração da vulnerabilidade no final de agosto de 2026.
A atividade foi atribuída, com base em indicadores técnicos e comportamentais, ao grupo ARMORY CASTLE, anteriormente acompanhado como UNC5221.
Os investigadores associam este grupo a operações de espionagem informática com possíveis ligações à República Popular da China.
A atribuição não constitui, por si só, prova pública definitiva de responsabilidade governamental.
Durante a investigação, foram identificados mecanismos destinados a manter acesso persistente aos sistemas comprometidos, incluindo ferramentas maliciosas designadas SAWFLY e BARECLAW.
Os atacantes procuraram igualmente aceder a credenciais administrativas e utilizar funcionalidades legítimas da plataforma para explorar outros equipamentos.
AVALIAÇÃO ANALÍTICA
O principal risco não está limitado à vulnerabilidade inicial. Uma plataforma de administração remota comprometida pode permitir o acesso a múltiplos sistemas e credenciais, aumentando o potencial de propagação de um incidente dentro de uma organização.
A aplicação da correção é prioritária, mas poderá não ser suficiente quando já existiu comprometimento anterior.
Versões afetadas e correção disponível
O boletim oficial da BeyondTrust identifica como afetadas as versões do Remote Support até à 26.2.3, inclusive.
Para instalações próprias, a correção BT26-05-RS está disponível para versões suportadas entre a 24.3.1 e a 26.2.3.
As organizações com versões anteriores à 24.3.1 deverão atualizar primeiro para uma versão suportada e aplicar posteriormente a correção.
Segundo a BeyondTrust, os ambientes Remote Support disponibilizados através do serviço SaaS receberam a correção em 9 de outubro de 2026.
A fabricante recomenda também a aplicação preventiva da atualização correspondente ao produto Privileged Remote Access, embora não tenha confirmado a mesma possibilidade de exploração nesse produto.
Medidas de proteção recomendadas
1. Identificar instalações afetadas
As organizações devem verificar se utilizam BeyondTrust Remote Support, incluindo instalações geridas por prestadores externos de serviços informáticos.
2. Confirmar a versão instalada
Os administradores devem consultar a interface de gestão da plataforma e verificar se a versão está abrangida pelo boletim BT26-05.
3. Aplicar a correção de segurança
As instalações próprias devem receber a atualização BT26-05-RS, seguindo as instruções oficiais da BeyondTrust.
4. Investigar possíveis comprometimentos anteriores
Os equipamentos que estiveram acessíveis através da Internet enquanto utilizavam versões vulneráveis devem ser analisados quanto a sinais de acesso indevido.
5. Rever credenciais e permissões
Quando exista suspeita de comprometimento, devem ser revistas as credenciais administrativas, os mecanismos de autenticação e os privilégios atribuídos aos utilizadores.
6. Restringir o acesso às interfaces administrativas
Sempre que operacionalmente possível, o acesso às interfaces de administração deve ser limitado a redes e endereços autorizados, com autenticação multifator.
7. Envolver as equipas de resposta a incidentes
Caso sejam identificados indicadores de intrusão, a organização deverá seguir os procedimentos de resposta a incidentes, preservar os elementos necessários à investigação e avaliar a necessidade de comunicação às autoridades competentes.
A BeyondTrust e a Mandiant disponibilizam recomendações técnicas adicionais para investigação, contenção e recuperação.
Implicações para Portugal
A vulnerabilidade é relevante para organizações portuguesas que utilizem BeyondTrust Remote Support, diretamente ou através de prestadores de serviços informáticos.
Entre os ambientes potencialmente expostos encontram-se empresas, fornecedores de serviços tecnológicos e entidades que dependem de plataformas de assistência remota para administrar sistemas.
Um comprometimento poderá provocar acesso indevido a informação, exposição de credenciais e perturbações operacionais.
Contudo, não foi identificada, nas fontes analisadas, uma campanha de exploração especificamente dirigida a Portugal ou uma interrupção generalizada de serviços nacionais associada a esta vulnerabilidade.
A publicação deste Alerta tem natureza preventiva e destina-se especialmente aos responsáveis pela administração de sistemas.
Indicadores sob monitorização
O PREPPERS.PT continuará a acompanhar novas informações da BeyondTrust, da Google Threat Intelligence Group, da Mandiant e do Centro Nacional de Cibersegurança.
Serão igualmente acompanhados eventuais incidentes confirmados em Portugal, novas campanhas de exploração e consequências para serviços essenciais ou infraestruturas críticas.
INCERTEZA / LIMITAÇÃO
A confirmação de exploração em operações internacionais não permite determinar o número total de organizações comprometidas.
A atribuição ao grupo ARMORY CASTLE baseia-se na investigação técnica divulgada pela Google e pela Mandiant.
A instalação da correção elimina a vulnerabilidade identificada, mas não garante a remoção de acessos maliciosos eventualmente estabelecidos antes da atualização.
AVALIAÇÃO PREPPERS.PT
A CVE-2026-102764 constitui uma ameaça relevante para organizações que utilizam plataformas de administração remota BeyondTrust.
A classificação crítica, a exploração confirmada e o potencial de acesso a sistemas adicionais justificam uma resposta preventiva prioritária.
A existência de correção disponível permite reduzir a exposição, desde que seja acompanhada da verificação de eventuais comprometimentos anteriores.
O PREPPERS.PT recomenda a atualização imediata das instalações afetadas e a investigação de sistemas que estiveram expostos à Internet durante o período de exploração identificado.
A emissão deste Alerta não significa que exista uma emergência nacional de cibersegurança.
Nível de Risco — Cibersegurança: manter classificação actualmente em vigor
Tendência: Ameaça técnica relevante, com correção disponível e vigilância reforçada.
Risco Actual nacional: 2/5 · MODERADO — sem alteração recomendada.
FICHA DA INFORMAÇÃO
Tipo: Alerta
Estado: Exploração confirmada / Correção disponível
Área de Vigilância: Cibersegurança
Âmbito: Internacional, com aplicabilidade a organizações portuguesas
Identificador: CVE-2026-102764
Produto afetado: BeyondTrust Remote Support
Gravidade: CVSS v4.0 — 9,3/10 · Crítica
Boletim de segurança: BT26-05
Exploração identificada: Final de agosto de 2026
Divulgação pública: 15 de outubro de 2026
Data da avaliação: 16 de outubro de 2026
Prioridade editorial: Alta
Ação recomendada: Atualização urgente e investigação de possíveis comprometimentos anteriores
FONTES
BeyondTrust — Boletim oficial de segurança BT26-05, 15 de outubro de 2026
BeyondTrust — ARMORY CASTLE and BT26-05: What Security Teams Need to Know
CVE Program — Registo CVE-2026-102764
Comentários
Partilha a tua opinião e contribui para a discussão. Os comentários estão reservados a membros autenticados do PREPPERS.PT.