La semana ha estado marcada por la revelación de nuevas vulnerabilidades de alta severidad activamente explotadas, destacando un ciberataque originado en China que se centra en una crítica falla en los dispositivos de soporte remoto de BeyondTrust. La importancia de este tipo de vulnerabilidades radica en su capacidad para comprometer la seguridad de las infraestructuras empresariales, afectando tanto a organizaciones globales como a usuarios individuales que dependen de soluciones de acceso remoto para gestionar sus sistemas.
En un contexto donde la ciberseguridad se ha convertido en una prioridad para las empresas, el descubrimiento de estas vulnerabilidades no solo genera preocupación, sino que también pone de manifiesto la rapidez con la que los actores malintencionados pueden aprovechar las debilidades en el software. Recientemente, empresas como Ivanti, Cisco y Palo Alto Networks han divulgado vulnerabilidades críticas en sus tecnologías de frontera, lo que subraya la creciente amenaza en este ámbito.
El ciberactor vinculado a China, conocido por Mandiant como "Armory Castle" (anteriormente UNC5221 o UTA0178), ha explotado una vulnerabilidad crítica en el soporte remoto de BeyondTrust, identificada como CVE-2026-102764, con un puntaje CVSS de 9.3. Esta vulnerabilidad se origina en un componente de mensajería interno que no validaba adecuadamente el origen de los mensajes entrantes. La explotación comenzó el 29 de agosto de 2026, y es un recordatorio de que las herramientas de acceso remoto, utilizadas por los equipos de TI para controlar computadoras y servidores de manera remota, pueden convertirse en un vector de ataque si no se gestionan adecuadamente.
Más de 20,000 clientes utilizan soluciones de BeyondTrust, lo que incluye a 75 de las 100 empresas más grandes del mundo. Sin embargo, la cantidad exacta de clientes que emplean específicamente el soporte remoto no está clara. A principios de este año, un agente de inteligencia artificial descubrió una falla de preautenticación en Remote Support y su producto complementario, Privileged Remote Access (PRA), que tenía un puntaje CVSS de 9.9, exponiendo aproximadamente 11,000 instancias de soporte remoto a Internet.
La velocidad de la explotación de la vulnerabilidad fue notable, ya que Armory Castle implementó su propio webshell PHP personalizado, denominado "SAWFLY", apenas 11 minutos después de haberla armado. Posteriormente, el actor de ciberespionaje comenzó a buscar en la base de datos de gestión de secretos del dispositivo, buscando contraseñas, claves de API y credenciales de puntos finales, logrando extraer todas las credenciales administrativas.
El grupo también estableció persistencia mediante un script, eliminando registros del sistema, del servidor web y de aplicaciones para dificultar el análisis forense, y escalando privilegios desde una cuenta de servicio estándar hasta obtener privilegios de administrador completos. Esto le permitió iniciar sesiones remotas con sistemas conectados, realizar reconocimiento interno de la red y descargar documentos sensibles de los escritorios de las víctimas. Adicionalmente, presentó una nueva herramienta personalizada, "BARECLAW", para el tunneling SOCKS5.
Mandiant ha señalado que la capacidad de Armory Castle para explotar esta vulnerabilidad se debe a un "profundo entendimiento" de la arquitectura técnica de BeyondTrust. La compañía lanzó un parche para CVE-2026-102764 el 9 de octubre, instando a las organizaciones que utilizan el soporte remoto en sus instalaciones a actualizar lo antes posible. Se aconseja a todos los clientes que busquen evidencia de explotación y, siempre que sea posible, limiten severamente la exposición a Internet de sus herramientas de gestión de red.
Este tipo de advertencias son familiares para los equipos de seguridad, pero no siempre se llevan a cabo. En un intento por mejorar la respuesta a estas vulnerabilidades, los investigadores de Mandiant y el Grupo de Inteligencia de Amenazas de Google (GTIG) ofrecieron tres posibles opciones de protección, basadas en las necesidades operativas y la tolerancia al riesgo de las organizaciones, así como en la evidencia de compromisos ya detectados.
En primer lugar, se recomienda a los clientes que apliquen los parches. También se sugiere aislar los dispositivos en riesgo, terminando los caminos de acceso, restringiendo el tráfico saliente solo a los puntos finales del proveedor y redeployando desde imágenes limpias. Las organizaciones pueden implementar controles compensatorios de diversas índoles: restricciones de red, como colocar un Firewall de Aplicaciones Web (WAF) delante de las herramientas de frontera; higiene de credenciales y configuraciones, rotando credenciales y revisando y revocando sesiones; y restricciones en el plano de control, minimizando permisos y almacenando credenciales en un almacén externo en lugar del almacén incorporado del dispositivo.
Las vulnerabilidades en dispositivos de frontera son un fenómeno recurrente, con nuevas fallas que surgen de manera casi semanal. Esta semana ha sido particularmente reveladora, comenzando el 13 de octubre, cuando investigadores de Volexity revelaron que un actor de amenazas desconocido había estado abusando de una cadena de exploits de día cero en los dispositivos VPN Ivanti Connect Secure (ICS) totalmente actualizados. Esta cadena combinó vulnerabilidades críticas, como la elusión de autenticación, ejecución remota de código (RCE) y escalada de privilegios, obteniendo un puntaje CVSS de 8.6.
Al día siguiente, se anunció CVE-2026-76519, una vulnerabilidad en la función de Protección Avanzada contra Malware (AMP) del Gateway de Correo Seguro (SEG) de Cisco, que permitía a atacantes remotos escribir archivos arbitrarios en el sistema operativo del dispositivo, logrando un impresionante puntaje CVSS de 9.8. Esta vulnerabilidad fue añadida al catálogo de Vulnerabilidades Conocidas Explotadas (KEV) de la Agencia de Ciberseguridad e Infraestructura (CISA) ese mismo día.
También se incluyó en el catálogo de CISA el CVE-2026-0322, una vulnerabilidad de RCE de alta severidad con un puntaje CVSS de 8.6 en el sistema operativo PAN-OS de Palo Alto Networks, que sustenta toda la tecnología de Firewall de la compañía. A la siguiente jornada, Mandiant y GTIG publicaron su investigación sobre Armory Castle, y por separado, GreyNoise informó sobre un actor de amenazas al que rastrea como "skynox7", que está construyendo una red de proxy residencial a partir de dispositivos domésticos expuestos a Internet, como almacenamiento conectado en red (NAS) y grabadores de video en red (NVR).
El presidente de Bambenek Consulting, John Bambenek, lamentó que este tipo de vulnerabilidades en dispositivos de red o herramientas que gestionan grandes porciones de la infraestructura de TI de una organización se estén produciendo con una frecuencia alarmante, sugiriendo que las empresas deben unirse y exigir a los proveedores que se tomen en serio la seguridad.