Étiquette : CVE-2026-102764

Une faille d’origine non validée dans BeyondTrust Remote Support permet à un attaquant d’écrire des fichiers sur l’appliance et, en conséquence, d’exécuter du code en tant qu’utilisateur du système d’exploitation du site. L’accès initial se fait via la connexion client publique utilisée pour démarrer une session de support. Le point critique, c’est qu’aucune authentification ni aucune interaction utilisateur n’est requise pour déclencher cette attaque, selon Rapid7.

La vulnérabilité se situe entre le routeur de messages interne, appelé brain, et un travailleur côté appliance, le thin-scc. Un attaquant peut insérer un identifiant de routeur local réservé dans l’adresse source d’un message. Le routeur fait passer ce message, et le travailleur l’accepte comme provenant d’un composant interne légitime. Ce contournement donne accès à un service interne de transfert de fichiers, y compris son fournisseur de système de fichiers natif.

Rapid7 a confirmé cette chaîne d’attaque : ils ont d’abord réussi à écrire un fichier PHP dans le répertoire public du site. Demander ce fichier exécuté permet ensuite d’obtenir une exécution de code avec les permissions de l’utilisateur du site. Un module Metasploit est d’ailleurs disponible pour implémenter cette séquence avec des cibles Unix Command et PHP.

Ce qui est touché et la gravité réelle

On parle ici d’une exécution de code à distance non authentifiée, ce qui place la CVE-2026-102764 dans une catégorie de danger maximale. Le rapport de Rapid7 indique que sur l’appliance testée, le service de fichiers natif pouvait écrire directement dans le répertoire racine des documents PHP. L’exécution se fait dans le contexte de l’utilisateur msfuser (UID 1000).

Cette faille permet aux attaquants de contrôler à la fois le contenu du fichier téléversé et son chemin de destination, bien sûr dans la limite des droits de l’utilisateur du travailleur. Le mécanisme de falsification d’origine atteint également l’opération d’envoi de fichiers. Pour déterminer le chemin d’installation de l’application Remote Support, les chercheurs ont utilisé cette capacité pour récupérer des informations système comme /proc/self/environ.

Les informations de la CISA confirment que cette faille est déjà dans son catalogue des vulnérabilités exploitées activement, ce qui rend la situation extrêmement critique.

Qui doit agir et comment

Les versions testées par Rapid7 incluaient le Remote Support 24.1.2, build 1524046, révision 4208-ddcf90715106aa0c0e19c103f8d2c412af4beff3. Cependant, Rapid7 n’a pas précisé les autres versions affectées ni les correctifs disponibles.

Face à cette menace, les acteurs en charge de la sécurité doivent se concentrer sur la mise à jour. La CISA demande aux entités fédérales d’appliquer les atténuations selon les directives BOD 26-04. Pour les autres organisations, la première étape logique est d’évaluer l’exposition de chaque actif sur Internet. Si les mesures correctives du fournisseur ne sont pas disponibles, il faut envisager de désactiver l’utilisation de ce produit.

L’architecture qui permet à un message réseau de se faire passer pour un message interne grâce à une manipulation des adresses est un classique des failles de confiance excessive entre composants. Il faut surveiller l’émergence rapide de correctifs officiels pour les autres versions, car l’impact de cette vulnérabilité est déjà confirmé sur le terrain par des agences de sécurité.

Fiche technique

Données : NVD (NIST), catalogue KEV de la CISA (CC0) et GitHub Advisory Database (CC BY 4.0, données adaptées).

Sources

• Rapid7 Analysis: Unauthenticated File Upload to RCE in BeyondTrust Remote Support (CVE-2026-102764), Rapid7, 30 octobre 2026
• Max-Severity GitLab Vulnerability Exploited Against Alpine Linux, SecurityWeek, 30 octobre 2026
• GHSA-pf95-v8m2-73q8 : The vulnerability exists within internal components of BeyondTrust’s Remote Support…, GitHub Advisory Database (CC BY 4.0)
• CVE-2026-102764, NVD (NIST)
• CVE-2026-102764 dans le catalogue KEV, CISA