El INCIBE-CERT ha alertado de una vulnerabilidad crítica en BeyondTrust Remote Support explotada como zero-day contra instalaciones en la nube y autoalojadas.
EN 30 SEGUNDOS
- ¿Qué ha ocurrido? El INCIBE-CERT ha publicado el aviso INCIBE-2026-757 por un fallo de validación incorrecta del origen en componentes internos de mensajería de Remote Support, catalogado con severidad 5 sobre 5.
- ¿Dónde y cuándo? El aviso se emitió el lunes 19 de octubre de 2026; el fabricante confirmó la explotación zero-day el 29 de agosto de 2026 sobre una instancia alojada y una instalación autoalojada.
- ¿Qué resultado? Todas las versiones hasta la 26.2.3 inclusive quedan afectadas. El parche BT26-05-RS cubre de la 24.3.1 a la 26.2.3.
El aviso forma parte del servicio de alerta temprana del INCIBE-CERT (el equipo de respuesta ante incidentes del Instituto Nacional de Ciberseguridad, organismo público dependiente del Gobierno) y llega con el fabricante ya confirmando explotación real. La ficha se publicó el lunes 19 de octubre de 2026, a las 09:27 horas, y queda abierta a nuevas actualizaciones.
Validación incorrecta del origen: el alcance técnico del fallo
El fallo está registrado como CVE-2026-102764 y se define como una vulnerabilidad de validación incorrecta del origen en componentes internos de mensajería de Remote Support. Al no comprobarse adecuadamente el origen de los mensajes recibidos, un atacante remoto podría realizar operaciones sobre archivos del dispositivo afectado. El fabricante y el INCIBE-CERT fijan la severidad 5 sobre 5, el máximo de la escala.
El alcance es amplio: la ficha afecta a Remote Support en todas las versiones hasta la 26.2.3, inclusive. La herramienta se emplea en entornos corporativos para que los equipos de soporte accedan a sistemas de terceros, lo que convierte cualquier fallo de este tipo en un vector de entrada con valor para un atacante. No se exige autenticación previa para intentar el ataque.
El parche BT26-05-RS y la cronología de la explotación
BeyondTrust confirmó que la vulnerabilidad fue explotada como zero-day el 29 de agosto de 2026 contra una instancia alojada y una instalación autoalojada de Remote Support. La explotación se produjo antes de que existiera corrección pública, que es la condición que define técnicamente un zero-day y la razón por la que el aviso se eleva a crítica.
La corrección llega por dos vías. En las instalaciones autoalojadas debe aplicarse el parche BT26-05-RS, disponible para las versiones 24.3.1 a 26.2.3 y aplicable manualmente desde la interfaz del dispositivo cuando las actualizaciones automáticas no están habilitadas. Las instalaciones anteriores a la 24.3.1 deben actualizarse primero a una versión posterior compatible. En el entorno gestionado, BeyondTrust aplicó la corrección a todos los clientes de Remote Support SaaS el 9 de octubre de 2026.
La severidad máxima y la explotación confirmada convierten este fallo en una prioridad de parcheado inmediato para cualquier organización con Remote Support autoalojado.
Como medida de precaución, el fabricante recomienda aplicar el parche también a las instalaciones autoalojadas de Privileged Remote Access. Aunque el producto comparte código, sus pruebas internas no identificaron una forma de explotar allí esta vulnerabilidad. En la actualización de su blog del 16 de octubre, BeyondTrust indicó que no tenía constancia de actividad del actor posterior a agosto.
El panorama de la ciberseguridad
Las vulnerabilidades en herramientas de administración y acceso remoto concentran buena parte de las alertas críticas que publican los equipos de respuesta. Un fallo de validación del origen permite que un mensaje manipulado active acciones sobre archivos sin que el sistema verifique quién lo envía: una puerta de entrada potencial en el núcleo del soporte remoto. El vector es especialmente sensible porque estas plataformas se sitúan, por diseño, dentro del perímetro de la organización.
El dato cuantitativo que el fabricante ha confirmado es limitado: dos entornos comprometidos, uno en la modalidad gestionada y otro en autoalojado. El aviso no detalla el número de organizaciones alcanzadas ni el volumen de archivos manipulados. Sí consta la ausencia de actividad del atacante posterior a agosto, según la actualización del 16 de octubre, lo que acota la ventana de exposición a las semanas previas a esa fecha.
La prioridad operativa es clara: inventariar las instalaciones de Remote Support, comprobar la versión y aplicar el parche BT26-05-RS sin demora. En el ámbito público, el CCN-CERT (el equipo de respuesta ante incidentes del Centro Criptológico Nacional, dependiente del CNI) mantiene su propio catálogo de avisos para administraciones e infraestructuras críticas, coordinado con el del INCIBE-CERT. La ficha INCIBE-2026-757 seguirá actualizándose si el fabricante amplía el alcance del fallo o confirma nuevos indicadores de compromiso.
