Falla crítica en BeyondTrust Remote Support: qué revisar en las herramientas de acceso remoto

El 16 de octubre de 2026, CISA, la agencia de ciberseguridad de Estados Unidos, publicó una alerta que pide aplicar de inmediato una corrección en BeyondTrust Remote Support (antes Bomgar). La falla, registrada como CVE-2026-102764, ya está siendo explotada y entró ese mismo día en el catálogo de vulnerabilidades explotadas activamente (KEV) de la agencia.

Las herramientas de soporte remoto existen para abrir la puerta de equipos y servidores a técnicos autorizados. Cuando una tiene una falla, esa puerta puede abrirse para quien no debe. Por eso el caso también importa a empresas que no usan este producto.

Qué pasó

Según el aviso de seguridad BT26-05 de BeyondTrust, publicado el 15/10/2026, componentes internos de mensajería de Remote Support no validaban bien el origen de los mensajes que recibían. En ciertas condiciones, eso permite a un atacante remoto hacer operaciones con archivos en el appliance. El fabricante la clasifica como crítica, con 9,3 en CVSS v4.

El Centro Canadiense de Ciberseguridad añade que la explotación no requiere credenciales ni interacción del usuario y puede llevar al compromiso total del appliance.

CISA informa que los atacantes usan la falla para el acceso inicial y, desde ahí, se quedan en el sistema, elevan privilegios y se mueven lateralmente por la red.

Quién debe actuar

• Versiones afectadas: todas las versiones de Remote Support hasta la 26.2.3.
• Remote Support en SaaS (alojado por BeyondTrust): el fabricante informa que la corrección se aplicó a todos los clientes al 9/10/2026.
• Remote Support autoalojado (self-hosted): hay que aplicar el parche BT26-05-RS, disponible para las versiones 24.3.1 a 26.2.3. Quien esté en una versión anterior a la 24.3.1 debe actualizar primero.
• Privileged Remote Access (PRA) autoalojado: en su blog sobre BT26-05, BeyondTrust dice que no encontró forma de explotar la falla en PRA, pero como comparten código también publicó el parche y recomienda aplicarlo.

Qué hacer ahora si usas el producto

CISA recomienda, para appliances autoalojados:

1. Aplicar el parche BT26-05-RS (o actualizar la versión antes, si hace falta).
2. Limitar el acceso externo al appliance a los servicios necesarios y restringir las interfaces de administración a redes de confianza.
3. Hacer análisis de red y de memoria en busca de señales de compromiso: sesiones privilegiadas no reconocidas, scripts desconocidos, huecos inesperados en los registros y cambios no autorizados en cuentas, permisos o políticas de sesión.

Si se sospecha una intrusión, la indicación es aislar el appliance, guardar una imagen para el análisis forense, enviar los registros al SIEM, reconstruir desde un estado confiable con el parche y luego cambiar todas las credenciales que el appliance guardaba o inyectaba, revocar las sesiones de soporte activas y revisar los nuevos registros de MFA en cuentas privilegiadas.

Qué puede revisar cualquier empresa, aunque no use BeyondTrust

El caso recuerda que las herramientas de acceso remoto merecen el mismo cuidado que el firewall o el correo. Una revisión sencilla:

• Inventario: ¿qué herramientas de acceso remoto hay hoy en la empresa, incluidas las de proveedores y soporte externo?
• Modelo de alojamiento: ¿cada una es SaaS o autoalojada? En las autoalojadas, actualizar le toca a tu equipo o a tu proveedor.
• Actualizaciones: ¿están activas las actualizaciones automáticas? ¿Quién sigue los avisos de seguridad del fabricante?
• Exposición: ¿la consola de administración está accesible desde internet? Si es así, ¿tiene que estarlo?
• Acceso: ¿hay MFA para todos los técnicos y cuentas administrativas? ¿Se eliminaron las cuentas de quienes ya no están?
• Registros: ¿los registros de sesión se guardan fuera de la propia herramienta, para consultarlos ante un incidente?
• Proveedores: ¿tu proveedor de TI puede decirte en pocas horas si una alerta como esta lo afecta?

No todos los puntos aplican a todos los entornos. Lo importante es poder responder estas preguntas antes de que llegue la próxima alerta.

Cómo puede ayudar CGT

CGT acompaña a pequeñas y medianas empresas en gestión de TI, seguridad y Microsoft 365, dentro del alcance acordado con cada cliente: inventario de herramientas, revisión de accesos y seguimiento de actualizaciones y alertas de seguridad.

¿Quieres revisar cómo funciona el acceso remoto en tu empresa? Conoce CGT y escríbenos.

Fuentes: alerta de CISA del 16/10/2026, aviso BT26-05 de BeyondTrust y alerta AL26-025 del Centro Canadiense de Ciberseguridad.