Falha crítica no BeyondTrust Remote Support: o que revisar nas ferramentas de acesso remoto

Em 16 de outubro de 2026, a CISA, agência de cibersegurança dos Estados Unidos, publicou um alerta pedindo a aplicação imediata de uma correção no BeyondTrust Remote Support (antigo Bomgar). A falha, registrada como CVE-2026-102764, já está sendo explorada por atacantes e entrou no catálogo de vulnerabilidades exploradas ativamente (KEV) da agência no mesmo dia.

Ferramentas de suporte remoto existem para abrir a porta de computadores e servidores a técnicos autorizados. Quando uma delas tem uma falha, essa porta pode se abrir para quem não deveria. Por isso o caso interessa também a empresas que não usam esse produto.

O que aconteceu

Segundo o aviso de segurança BT26-05 da BeyondTrust, publicado em 15/10/2026, componentes internos de mensagens do Remote Support não validavam corretamente a origem das mensagens recebidas. Em certas condições, isso permite que um atacante remoto execute operações com arquivos no appliance. O fabricante classifica a falha como crítica, com nota 9,3 no CVSS v4.

O Centro Canadense de Segurança Cibernética acrescenta que a exploração não exige credenciais nem interação do usuário e pode levar ao comprometimento completo do appliance.

A CISA informa que os atacantes usam a falha para obter o acesso inicial e, a partir daí, criam persistência, elevam privilégios e se movem lateralmente pela rede.

Quem precisa agir

• Versões afetadas: todas as versões do Remote Support até a 26.2.3.
• Remote Support em SaaS (hospedado pela BeyondTrust): o fabricante informa que a correção foi aplicada a todos os clientes até 9/10/2026.
• Remote Support auto-hospedado (self-hosted): é preciso aplicar o patch BT26-05-RS, disponível para as versões 24.3.1 a 26.2.3. Quem está em versão anterior à 24.3.1 precisa atualizar primeiro.
• Privileged Remote Access (PRA) auto-hospedado: no blog sobre o BT26-05, a BeyondTrust diz que não identificou forma de explorar a falha no PRA, mas, como o código é compartilhado, também liberou o patch e recomenda aplicá-lo.

O que fazer agora, se você usa o produto

A CISA recomenda, para appliances auto-hospedados:

1. Aplicar o patch BT26-05-RS (ou atualizar a versão antes, se necessário).
2. Limitar o acesso externo ao appliance apenas aos serviços necessários e restringir as interfaces administrativas a redes confiáveis.
3. Fazer análise de rede e de memória em busca de sinais de comprometimento, como sessões privilegiadas não reconhecidas, scripts desconhecidos, lacunas inesperadas nos logs e mudanças não autorizadas em contas, permissões ou políticas de sessão.

Se houver suspeita de invasão, a orientação é isolar o appliance, preservar uma imagem para perícia, encaminhar os logs ao SIEM, reconstruir a partir de um estado confiável já com o patch e, em seguida, trocar todas as credenciais que o appliance armazenava ou injetava, revogar as sessões de suporte ativas e revisar novos cadastros de MFA em contas privilegiadas.

O que toda empresa pode revisar, mesmo sem BeyondTrust

O episódio é um bom lembrete de que as ferramentas de acesso remoto merecem o mesmo cuidado que o firewall ou o e-mail. Uma revisão simples:

• Inventário: quais ferramentas de acesso remoto existem hoje na empresa, inclusive as usadas por fornecedores e prestadores de suporte?
• Modelo de hospedagem: cada uma é SaaS ou auto-hospedada? Nas auto-hospedadas, a atualização é responsabilidade da sua equipe ou do seu fornecedor.
• Atualizações: as atualizações automáticas estão ativas? Quem acompanha os avisos de segurança do fabricante?
• Exposição: a interface administrativa está acessível pela internet? Se sim, ela precisa estar?
• Acesso: há MFA para todos os técnicos e contas administrativas? Contas de quem já saiu foram removidas?
• Registro: os logs de sessão são guardados fora da própria ferramenta, para consulta em caso de incidente?
• Fornecedores: seu prestador de TI sabe dizer, em poucas horas, se é afetado por um alerta como este?

Nem todo item se aplica a todos os ambientes. O ponto é saber responder a essas perguntas antes de o próximo alerta chegar.

Como a CGT pode ajudar

A CGT apoia pequenas e médias empresas na gestão de TI, segurança e Microsoft 365, dentro do escopo combinado com cada cliente: inventário de ferramentas, revisão de acessos e acompanhamento de atualizações e alertas de segurança.

Quer revisar como o acesso remoto funciona na sua empresa? Conheça a CGT e fale com a gente.

Fontes: alerta da CISA de 16/10/2026, aviso BT26-05 da BeyondTrust e alerta AL26-025 do Centro Canadense de Segurança Cibernética.