Un fallo CVSS 9.9 en su herramienta de acceso remoto ya se usa en campañas de ransomware
La versión resumida
El 6 de febrero de 2026, se divulgó públicamente una vulnerabilidad de ejecución remota de código sin autenticación previa en los productos Remote Support y Privileged Remote Access de BeyondTrust. Registrada como CVE-2026-1731, tiene una puntuación CVSS de 9,9 sobre 10. Un atacante puede enviar una solicitud manipulada a una instancia expuesta y ejecutar comandos del sistema operativo sin necesidad de credenciales.
Eso por sí solo ya sería suficientemente grave. Pero la cronología es lo que hace que este caso merezca especial atención.
El propio equipo de seguridad de BeyondTrust detectó actividad anómala por primera vez el 31 de enero, antes de que se asignara el CVE. Para el 2 de febrero, las instancias en la nube ya estaban parcheadas. El aviso público llegó el 6 de febrero. Un exploit de prueba de concepto apareció el 12 de febrero. CISA lo añadió al catálogo de Vulnerabilidades Explotadas Conocidas el 13 de febrero y dio a las agencias federales tres días para parchear o dejar de usar el producto. Y a partir de esta semana, CISA ha señalado CVE-2026-1731 como activamente utilizado en campañas de ransomware.
De zero-day a arma de ransomware en aproximadamente tres semanas.
Por qué esta vulnerabilidad importa más que el CVE promedio
Las herramientas de soporte remoto son, por diseño, algunos de los programas con más privilegios en un entorno empresarial. Existen para permitir que alguien acceda a una máquina y la controle. Cuando ese acceso no requiere autenticación, no tiene una vulnerabilidad. Tiene una puerta abierta.
BeyondTrust no es un producto de nicho. Según investigadores de seguridad, existen aproximadamente 11.000 instancias expuestas a internet, de las cuales unas 8.500 son implementaciones on-premise que requieren parcheo manual. El proveedor atiende a más de 20.000 clientes en más de 100 países, incluido el 75 % del Fortune 100. El radio de impacto es real.
Y hay un patrón. A finales de 2024, el grupo respaldado por el estado chino Silk Typhoon explotó dos zero-days distintos de BeyondTrust para vulnerar el Departamento del Tesoro de EE. UU. Ese incidente involucró el encadenamiento de vulnerabilidades, incluida una en una herramienta PostgreSQL subyacente que no era conocida públicamente en ese momento. La misma familia de productos, el mismo tipo de fallo, diferente año. Ese patrón debería preocupar a cualquiera que utilice estas herramientas.
Lo que estamos recomendando a nuestros clientes
Durante nuestro trabajo de pruebas de penetración con estudios de videojuegos y clientes empresariales, encontramos regularmente herramientas de acceso remoto expuestas a internet y ejecutando versiones desactualizadas. Es uno de los hallazgos más comunes. Los equipos instalan estos productos, funcionan, y luego nadie vuelve a pensar en ellos hasta que ocurre algo como esto.
Esto es lo que estamos recomendando ahora mismo:
Parchee inmediatamente si aún no lo ha hecho. Los usuarios de BeyondTrust Remote Support con instalación propia necesitan la versión 25.3.2 o posterior. Los usuarios de PRA necesitan la 25.1.1 o posterior. Si está en SaaS, el parche se aplicó automáticamente el 2 de febrero, pero verifíquelo. No lo dé por sentado.
Compruebe si hubo compromiso durante la ventana de vulnerabilidad. Si su instancia estaba expuesta a internet y sin parchear antes del 9 de febrero, trátela como potencialmente comprometida. Revise los registros de sesión, busque actividad inusual en las cuentas y verifique patrones de acceso no autorizado. BeyondTrust recomienda a los clientes afectados con instalación propia abrir un ticket de Severidad 1.
Deje de exponer interfaces de administración a la internet pública. Esta es la lección más importante. El equipo Unit 42 de Palo Alto lo expresó bien en su análisis: la defensa en profundidad implica limitar las interfaces administrativas a redes de gestión internas y segmentadas o a pasarelas de acceso de confianza cero. Cuando aparezca una nueva variante de este tipo de fallo (y aparecerá), su plano de gestión debería estar protegido independientemente.
Audite su inventario de herramientas de acceso remoto. La mayoría de las organizaciones con las que trabajamos no tienen una única solución de acceso remoto; tienen tres o cuatro, acumuladas a lo largo de años con diferentes equipos tomando diferentes decisiones. El acceso remoto como Shadow IT es un problema real, y cada una de esas herramientas es un punto de entrada potencial.
El panorama general para equipos de desarrollo
Este CVE es una historia de seguridad, pero también es una historia de desarrollo e infraestructura. Si está construyendo y desplegando aplicaciones web (nosotros lo hacemos a diario con PHP, Docker e infraestructura cloud), sus pipelines de CI/CD, entornos de staging y servidores de producción son todos objetivos potenciales para exactamente esta clase de ataque. Las herramientas de soporte remoto tocan las máquinas donde vive su código.
Cuando construimos aplicaciones cloud-native para clientes empresariales, especialmente aquellos con requisitos de cumplimiento suizo, diseñamos la segmentación de red en la arquitectura desde el primer día. La idea es simple: si una herramienta en su entorno es comprometida, el daño debería estar contenido. No todas las organizaciones piensan así, y las que no lo hacen son las que están corriendo a resolver el problema ahora mismo.
Para los equipos de desarrollo móvil nativo, el riesgo es algo diferente pero igualmente real. Servidores de compilación, granjas de dispositivos, infraestructura de CI: todos tienen superficies de acceso remoto. En nuestro trabajo de iOS y Android para clientes de salud e IoT, hemos visto entornos donde la infraestructura de compilación estaba más expuesta que la aplicación en producción. Eso está al revés.
Una cosa que puede hacer hoy
Ejecute un escaneo de sus rangos de IP públicas en busca de cualquier endpoint de herramientas de acceso remoto o soporte remoto. No solo BeyondTrust; cualquiera de ellas. Herramientas como Shodan o Censys pueden ayudar, o simplemente revise sus reglas de firewall. Si encuentra interfaces de administración expuestas a internet, muévalas detrás de una VPN o un proxy de confianza cero antes de que aparezca el próximo CVE. Porque aparecerá.
La velocidad con la que CVE-2026-1731 pasó de la divulgación a la explotación en ransomware es un recordatorio de que las ventanas de parcheo se están reduciendo. O tiene un proceso para esto o le pillan desprevenido.
Si reforzar la exposición de su acceso remoto o auditar la seguridad de su infraestructura es algo con lo que necesita ayuda, hablemos.