BeyondTrust Remote Support: zero-day sfruttato da agosto contro l'assistenza remota

Il 16 ottobre 2026 BleepingComputer ha riportato che BeyondTrust ha corretto CVE-2026-102764, una falla del suo software di assistenza remota Remote Support, sfruttata come zero-day da fine agosto. Lo stesso giorno il CSIRT Italia ha segnalato lo sfruttamento in rete, e anche il Centro canadese per la sicurezza informatica ha emesso un'allerta. Sono colpite le versioni fino alla 26.2.3.

Cos'è BeyondTrust Remote Support e perché interessa anche chi non lo usa?

Remote Support è uno dei programmi con cui i tecnici IT si collegano ai computer dei clienti per assisterli: lo stesso principio dei software di controllo remoto più noti, in versione aziendale. Lo usano reparti IT interni, ma anche fornitori di assistenza che seguono decine di aziende.

Qui sta il punto per una piccola impresa: anche se in azienda nessuno ha mai sentito il nome BeyondTrust, potrebbe usarlo il tuo fornitore IT. Se il suo server di assistenza viene compromesso, chi attacca eredita le chiavi per entrare nei computer di tutti i suoi clienti.

Che cosa permette di fare la falla?

Secondo BleepingComputer, è un aggiramento dell'autenticazione: un attaccante remoto, senza privilegi, può eseguire operazioni sui file degli apparati non aggiornati. Gli attacchi sono stati scoperti dai ricercatori di Mandiant, che li attribuiscono a un gruppo di spionaggio sospettato di legami con la Cina.

Una volta dentro, il gruppo ha:

• ottenuto i privilegi massimi sul sistema;
• installato una web shell e uno strumento per creare tunnel nascosti verso l'esterno;
• cancellato i registri per coprire le tracce;
• usato credenziali di amministratore rubate per spostarsi verso altri sistemi della rete.

Chi deve fare qualcosa?

Dipende da come è installato il prodotto:

• versione in cloud (SaaS): BeyondTrust l'ha già corretta per tutti i clienti l'8 ottobre;
• versione installata sui propri server: va aggiornata a mano, a meno che non siano attivi gli aggiornamenti automatici.

C'è anche un secondo prodotto, Privileged Remote Access, che condivide il codice vulnerabile. BeyondTrust dice di non aver trovato modo di sfruttare la falla lì, ma ha rilasciato comunque una correzione e raccomanda a chi lo installa in proprio di applicarla subito.

La Shadowserver Foundation conta oltre 1.400 istanze di BeyondTrust esposte su internet. Mandiant indica una regola prudente: un apparato raggiungibile da internet con una versione vulnerabile durante il periodo degli attacchi va considerato potenzialmente compromesso finché non è stato verificato.

Cosa cambia per una PMI?

Gli strumenti di assistenza remota sono comodi e indispensabili, ma sono anche fra i bersagli preferiti di chi attacca, proprio perché aprono la porta a molti computer in un colpo solo. Non serve rinunciarci: serve sapere quali si usano, chi li gestisce e come sono protetti.

Cosa fare adesso?

1. Chiedi al tuo fornitore IT quale software usa per collegarsi ai vostri computer, e se è BeyondTrust.
2. Se lo usa installato sui suoi server, chiedi conferma scritta dell'aggiornamento e di una verifica di compromissione, come suggerisce Mandiant.
3. Se lo usate voi in azienda, aggiornate Remote Support e, per prudenza, Privileged Remote Access.
4. Fate un inventario di tutti i programmi di controllo remoto installati sui PC: spesso ne restano di vecchi, dimenticati da interventi passati.
5. Proteggete gli accessi con l'autenticazione a due fattori e account separati per i tecnici esterni.

Lo stesso mese sono stati attaccati anche altri sistemi di accesso remoto, come Ivanti Connect Secure.

Ne parliamo?

Quando sviluppo un gestionale su misura o uno strumento interno, definisco con il cliente chi può accedere, da dove e con quali permessi, compreso il mio accesso per l'assistenza. Se vuoi fare chiarezza sugli accessi dei tuoi fornitori, una consulenza tecnica è un buon inizio. Scrivimi dalla pagina contatti.

Fonti

• BeyondTrust patches zero-day exploited in attacks since August (BleepingComputer)
• AL26-025 - Critical vulnerability impacting BeyondTrust Remote Support - CVE-2026-102764 (Canadian Centre for Cyber Security)
• Risolta vulnerabilità in BeyondTrust (ACN, CSIRT Italia)

Crediti delle immagini

• Copertina: foto di Luis Miguel P. Bonilla su Pexels