CVE-2026-102764 a été publiée par NVD le 15 octobre 2026. Le lendemain, 16 octobre, la CISA l'ajoutait au catalogue KEV avec une échéance de remédiation au 19 octobre — trois jours.
Un jour entre la publication et la preuve d'exploitation : il n'y a pas eu de fenêtre pendant laquelle cette faille était « seulement théorique ». Si tu as une appliance BeyondTrust Remote Support exposée, c'est le sujet du jour.
La vulnérabilité
| Champ | Valeur |
|---|---|
| CVE | CVE-2026-102764 |
| CVSS 3.1 (NVD) | 9.8 (CRITICAL) |
| Vecteur 3.1 | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| CVSS 4.0 (BeyondTrust) | 9.3 (CRITICAL) |
| Type | Contournement d'authentification par usurpation (CWE-290) |
| Authentification | Aucune |
| Publication NVD | 2026-10-15 |
| Ajout CISA KEV | 2026-10-16 |
| Échéance CISA | 2026-10-19 |
Description NVD :
The vulnerability exists within internal components of BeyondTrust's Remote Support product. The components did not adequately validate the origin of the messages it received. Under the right conditions, this could allow an attacker to perform file operations on the appliance.
Ce que dit — et ne dit pas — la description
Le mécanisme est classique : des composants internes acceptent des messages sans vérifier d'où ils viennent. Un attaquant qui sait forger ces messages se fait passer pour un composant légitime, et l'appliance exécute ce qu'on lui demande — ici, des opérations sur des fichiers.
La description reste prudente (« under the right conditions »), mais le vecteur ne l'est pas : réseau, complexité faible, aucun privilège, aucune interaction. L'évaluation SSVC de la CISA va dans le même sens : exploitation active, et automatisable. Une faille automatisable sur un produit exposé par nature à Internet, c'est une faille qui sera scannée en masse.
« Opérations sur des fichiers » peut sembler moins grave qu'une exécution de code. Sur une appliance, la frontière est mince : écrire un fichier au bon endroit, c'est souvent déposer une configuration, un script ou une clé qui donne la suite.
Versions affectées
| Produit | Versions affectées (borne NVD) | Version corrigée |
|---|---|---|
| BeyondTrust Remote Support | 26.2.3 et antérieures | non publiée par NVD — voir l'advisory BT26-05 |
⚠️ NVD indique une borne haute incluse (« jusqu'à 26.2.3 ») mais ne donne pas de numéro de version corrigée. Nous n'en inventons pas : la version ou le correctif à appliquer sont dans l'advisory BeyondTrust BT26-05 et l'article de base de connaissances KB0024066, référencés par NVD.
Vérifie aussi dans l'advisory la situation des instances cloud : NVD ne précise pas si BeyondTrust les corrige lui-même ou si une action de ta part est nécessaire.
Pourquoi un produit d'accès distant est une cible prioritaire
BeyondTrust Remote Support sert à prendre la main à distance sur les postes et serveurs d'une organisation, souvent avec des droits élevés. Compromettre l'appliance, c'est potentiellement hériter de ce pouvoir : sessions, identifiants enregistrés, accès aux machines gérées.
Ce n'est pas la première fois que ce produit est visé : fin 2024, CVE-2024-12356 sur Remote Support avait déjà été ajoutée au KEV. Les outils d'accès distant reviennent régulièrement dans le catalogue pour la même raison — ils sont exposés par conception et ouvrent sur tout le reste.
L'entrée KEV de CVE-2026-102764 demande d'ailleurs explicitement un triage forensique (exigences de la directive BOD 26-04) en plus de la mitigation : la CISA considère qu'une appliance exposée pendant la fenêtre d'exploitation doit être examinée, pas seulement mise à jour.
Détection
- Fichiers modifiés ou ajoutés sur l'appliance en dehors des opérations de maintenance documentées
- Sessions de support ou comptes que personne ne reconnaît dans les journaux de l'appliance
- Changements de configuration non expliqués : utilisateurs, groupes, politiques de session, intégrations d'annuaire
- Connexions sortantes initiées par l'appliance vers des destinations sans rapport avec son fonctionnement
- Activité inhabituelle sur les postes gérés : sessions distantes hors des horaires d'intervention, outils lancés via la console de support
Les journaux de l'appliance et les enregistrements de session sont la première source. Exporte-les avant toute mise à jour si tu suspectes une exploitation : une remise à niveau peut écraser des traces utiles.
Mitigation
1. Appliquer le correctif de l'advisory BT26-05
L'échéance CISA est le 19 octobre. Pour une appliance exposée à Internet, c'est à traiter immédiatement.
2. Réduire l'exposition en attendant
- Restreindre l'accès à l'interface d'administration de l'appliance aux adresses d'administration
- Si l'appliance n'a pas besoin d'être joignable depuis Internet en permanence, la retirer temporairement de l'exposition publique
3. Si l'appliance a été exposée pendant la fenêtre d'exploitation
- Conserver les journaux et l'état de l'appliance avant intervention
- Faire tourner les identifiants enregistrés dans l'outil et ceux des comptes de service associés
- Examiner les sessions distantes ouvertes depuis l'appliance sur la période
- Contrôler les postes et serveurs pris en main depuis la console, en commençant par les plus sensibles
Pourquoi surveiller en continu vos outils d'accès distant
Une journée entre la publication et l'ajout au KEV : aucune revue hebdomadaire des vulnérabilités n'aurait vu passer cette CVE avant qu'elle ne soit exploitée. Ce qui fait la différence, c'est de savoir à l'avance quels produits et quelles versions tournent chez toi.
Avec cveo.tech, inventorie tes appliances et logiciels d'accès distant avec leur version exacte, et reçois une alerte automatique dès qu'une CVE critique les concerne ou qu'elle entre au catalogue CISA KEV.