CISA alerta sobre explotación activa de vulnerabilidad crítica en BeyondTrust Remote Support

La Agencia de Ciberseguridad e Infraestructura (CISA) ha publicado una alerta instando a la aplicación inmediata de parches para una vulnerabilidad crítica de omisión de autenticación en el software BeyondTrust Remote Support.

Según la alerta de CISA Advisories, esta falla, designada como CVE-2026-102764, afecta a las versiones 26.2.3 y anteriores de la aplicación, conocida previamente como Bomgar. Actores de amenazas cibernéticas están explotando activamente esta vulnerabilidad para obtener acceso inicial a los sistemas, establecer persistencia, escalar privilegios y realizar movimientos laterales dentro de la red.

La CISA incluyó CVE-2026-102764 en su catálogo de Vulnerabilidades Explotadas Conocidas (KEV) el 16 de octubre de 2026, subrayando la urgencia de la situación. Para mitigar el riesgo, CISA recomienda a las organizaciones que utilicen despliegues autohospedados de BeyondTrust Remote Support aplicar el parche BT26-05-RS, detallado en el Aviso de Seguridad BT26-05 de BeyondTrust. Es importante destacar que las organizaciones que empleen versiones anteriores a la 24.3.1 deberán actualizar a una versión más reciente antes de poder aplicar el parche. Los despliegues de BeyondTrust Remote Support alojados por el proveedor (SaaS) ya han sido actualizados.

Adicionalmente a la aplicación de parches, CISA aconseja a las organizaciones restringir el acceso externo a los dispositivos Remote Support a los servicios estrictamente necesarios. También se recomienda limitar el acceso a las interfaces administrativas a redes de confianza. Para aquellas organizaciones que sospechen un compromiso, CISA sugiere una serie de acciones inmediatas, incluyendo el aislamiento de los dispositivos afectados, la recopilación de imágenes forenses o instantáneas, y la revisión exhaustiva de logs y eventos de sesión. En caso de confirmarse un compromiso, se recomienda reconstruir el sistema desde un estado seguro conocido, aplicar el parche, rotar todas las credenciales almacenadas o inyectadas por el dispositivo, revocar sesiones de soporte activas y revisar los nuevos registros de autenticación multifactor en cuentas privilegiadas. La CISA también remite a los recursos adicionales de BeyondTrust y a un blog de Mandiant para obtener directrices sobre detección y aislamiento.