Per quasi sette settimane, da fine agosto alla metà di ottobre 2026, un gruppo di spionaggio legato alla Cina ha avuto una porta d'accesso silenziosa nei sistemi di migliaia di organizzazioni in tutto il mondo. Il varco si chiamava BeyondTrust Remote Support, uno dei software di assistenza remota più usati da help desk IT, fornitori di supporto tecnico esterno e amministratori di sistema per intervenire a distanza su computer e server dei clienti. Mandiant e il Google Threat Intelligence Group (GTIG) hanno ricostruito l'attacco nei minimi dettagli, e il quadro che emerge è tra i più sofisticati dell'anno nel campo delle violazioni ai dispositivi "edge", quelli esposti direttamente a internet per fornire un servizio.
La falla: upload di file arbitrario senza bisogno di credenziali
La vulnerabilità, catalogata come CVE-2026-102764 e valutata 9,3 su 10 nella scala CVSS, riguarda un componente di messaggistica interno di BeyondTrust Remote Support (ex Bomgar) che non verifica correttamente l'origine dei messaggi in ingresso. Il risultato è che un attaccante non autenticato può caricare file arbitrari sull'appliance, ottenendo di fatto il controllo del sistema e l'accesso a tutte le credenziali che il software gestisce per conto del cliente: password, chiavi API, token di sessione verso gli endpoint collegati. Sono vulnerabili tutte le versioni supportate fino alla 26.2.3, sia nelle installazioni on-premise che, in misura minore, nel servizio cloud.
BeyondTrust ha reso pubblica la falla il 15 ottobre 2026, pubblicando contestualmente la patch BT26-05: per i clienti del servizio SaaS era già stata applicata d'ufficio il 9 ottobre, mentre chi gestisce un'appliance self-hosted (versione 24.3.1 o successive) deve scaricare e installare manualmente BT26-05-RS dal pannello /appliance; chi è rimasto su versioni più vecchie deve prima aggiornare e poi applicare la patch. Il giorno successivo alla divulgazione, il 16 ottobre, la statunitense CISA ha inserito la falla nel proprio catalogo delle vulnerabilità note e sfruttate attivamente (KEV), fissando al 19 ottobre la scadenza per le agenzie federali civili americane.
Armory Castle: dentro l'appliance in undici minuti
Dietro la campagna c'è un attore che Mandiant traccia come Armory Castle, già noto con la sigla UNC5221: un gruppo di spionaggio con sospetto legame con la Cina, attivo almeno dal 2023 e specializzato proprio nello sfruttamento di dispositivi perimetrali (VPN, gateway, appliance di gestione remota) tramite backdoor e webshell su misura.
La cronologia ricostruita da Mandiant è di quelle che fanno scuola nei corsi di incident response. Alla fine di agosto 2026 il gruppo ha iniziato a sfruttare la falla come zero-day, prima ancora che esistesse una patch, inviando richieste POST contraffatte a un endpoint dell'applicazione. Circa undici minuti dopo il primo accesso, gli attaccanti avevano già installato una webshell nella cartella pubblica del servizio. Da lì hanno copiato l'interprete di comandi /bin/sh in un file mascherato da componente di sistema, impostandolo con i permessi di amministratore (bit SUID); hanno usato lo strumento proprietario bt-secrets per svuotare il vault delle credenziali dell'appliance; hanno installato uno script che aggiunge in modo permanente un accesso senza password al file di configurazione sudo; e con le credenziali amministrative sottratte sono entrati nel portale di gestione per aprire sessioni di supporto remoto verso gli endpoint interni dei clienti, muovendosi lateralmente nella rete. In chiusura, hanno sistematicamente cancellato i log di sistema, del web server e delle applicazioni per rallentare ogni successiva analisi forense.
SAWFLY e BARECLAW: strumenti su misura per un bersaglio preciso
La parte più interessante per chi si occupa di sicurezza è la qualità degli strumenti impiegati, segno di un attore con tempo, risorse e una conoscenza approfondita dell'architettura interna di BeyondTrust. La webshell, battezzata SAWFLY, è un file PHP offuscato che comunica con il suo centro di comando in modo bidirezionale, con cifratura RC4 a 256 bit e un trasporto Base32 personalizzato; se una richiesta non contiene un parametro segreto specifico, risponde con un banale errore 404 e si interrompe, in modo da restare invisibile a scanner automatici e crawler di sicurezza.
Per muoversi senza farsi notare anche a livello di rete, gli attaccanti hanno installato BARECLAW, un tunneler SOCKS5 scritto in C e trasportato su WebSocket, costruito con le librerie CivetWeb e OpenSSL. Il traffico viene incanalato attraverso una regola nascosta nel file di configurazione del reverse proxy HAProxy dell'appliance stessa, così il punto d'ascolto resta invisibile a chi scansiona il sistema dall'esterno. In pratica gli attaccanti hanno trasformato lo stesso strumento di supporto remoto in un canale segreto di accesso permanente, usando la fiducia e l'architettura legittima del prodotto contro i suoi stessi clienti.
Un 2026 segnato dalle falle nei dispositivi perimetrali
Il caso BeyondTrust non è un episodio isolato, ma l'ultimo di una serie che ha scandito l'intero 2026: nella stessa settimana CISA ha aggiunto al catalogo KEV anche una falla critica in Ivanti Connect Secure (CVE-2026-104935, CVSS 8,6, segnalata da Volexity il 13 ottobre), una in Cisco Secure Email Gateway (CVE-2026-76519, CVSS 9,8) e una in Palo Alto Networks PAN-OS (CVE-2026-0322, CVSS 8,6). Un analista citato da Dark Reading ha descritto la cadenza di questi bug critici su apparati di frontiera come un evento "circa una volta al mese".
PINET ha seguito da vicino altri episodi dello stesso filone: a fine settembre erano stati i due zero-day critici su Citrix NetScaler a mettere a rischio le VPN aziendali, mentre a inizio ottobre era stato il turno di un zero-day su FortiMail già sotto attacco reale. Il filo comune è sempre lo stesso: software esposto a internet, con privilegi elevati sulla rete interna, diventato il bersaglio preferito di gruppi di spionaggio statale proprio perché una singola violazione apre le porte a decine di reti client contemporaneamente.
Cosa devono fare le aziende che usano BeyondTrust
Mandiant raccomanda, per chi gestisce un'appliance self-hosted, di applicare subito la patch BT26-05-RS e, in caso di sospetta compromissione, di non limitarsi al semplice aggiornamento. I passaggi consigliati prima di toccare qualsiasi cosa sono: fare uno snapshot del sistema con la memoria RAM intatta e conservare i log di syslog, del reverse proxy/WAF e del firewall perimetrale; isolare l'appliance bloccando il traffico in ingresso e limitando quello in uscita, disattivando sessioni attive, Jump Client, Jumpoint e account API; ricostruire da un'immagine pulita e aggiornata, senza ripristinare backup risalenti alla finestra di esposizione (fine agosto-ottobre 2026); ruotare tutte le credenziali solo dopo la patch o la ricostruzione completa; verificare nella configurazione di accesso eventuali cambi di ruolo sospetti sui Jump Item verso il profilo Administrator. A livello più generale, Mandiant consiglia di irrobustire il single sign-on SAML con un'autenticazione a più fattori resistente al phishing e di impostare regole di rete "deny by default" in uscita.
Il commento di PINET
Per le imprese e le pubbliche amministrazioni italiane che si affidano a fornitori esterni di assistenza IT, questo episodio è un promemoria concreto più che un allarme da prima pagina: molti contratti di supporto tecnico, anche di piccole realtà, passano proprio da strumenti di accesso remoto come BeyondTrust, TeamViewer o soluzioni simili, spesso installati anni fa e mai più verificati nel tempo. Il problema pratico, in Italia come altrove, è la scarsa visibilità su quali apparati con privilegi elevati siano davvero esposti su internet e su chi, internamente o tra i fornitori, abbia la responsabilità di applicare una patch entro giorni e non entro mesi: un vincolo organizzativo prima ancora che tecnico, che pesa soprattutto sulle PMI e sugli enti pubblici con risorse IT limitate. Non c'è ragione per reazioni allarmistiche, perché la vulnerabilità è già corretta e il caso riguarda per ora soprattutto bersagli di spionaggio ad alto valore, ma è un buon argomento per chiedere al proprio fornitore di assistenza remota, qui come altrove, quando è stata applicata l'ultima patch critica.
