Cette faille RCE de BeyondTrust est plus grave que vous ne le pensez

En bref

Une faille d'exécution de code à distance sans authentification dans les produits Remote Support et Privileged Remote Access de BeyondTrust, référencée CVE-2026-1731, a été activement exploitée dans des campagnes de ransomware. La vulnérabilité obtient un score de 9,9 sur 10 au CVSS. Aucune connexion requise. Aucune interaction utilisateur nécessaire. Il suffit d'envoyer une requête forgée à une instance exposée pour qu'un attaquant puisse exécuter des commandes OS.

La chronologie est alarmante. Une activité anormale a été détectée le 31 janvier. Les correctifs ont été déployés pour les clients cloud le 2 février. Le CVE a été divulgué publiquement le 6 février. Un exploit proof-of-concept est apparu presque immédiatement après. Le 13 février, la CISA l'avait ajouté à son catalogue de vulnérabilités exploitées connues et l'avait signalé comme utilisé dans des campagnes de ransomware, accordant aux agences fédérales seulement trois jours pour appliquer le correctif ou cesser d'utiliser le produit. L'équipe Unit 42 de Palo Alto a depuis confirmé des exploitations aux États-Unis, en France, en Allemagne, en Australie et au Canada, avec des charges utiles VShell et SparkRAT observées sur les systèmes compromis.

Environ 16 400 instances exposées ont été identifiées. Près de 8 500 d'entre elles sont des déploiements auto-hébergés, sur site, qui nécessitent une mise à jour manuelle. Si vous en exploitez une et que vous n'avez pas encore appliqué le correctif, arrêtez de lire cet article et faites-le maintenant.

Pourquoi cette faille est plus préoccupante que le bruit habituel des CVE

Les outils de gestion des accès à distance et des sessions privilégiées sont, par définition, les clés du royaume. Ils sont conçus pour donner aux personnes (et de plus en plus aux systèmes automatisés) un accès à l'infrastructure interne. Lorsqu'un de ces outils présente une RCE sans authentification, l'attaquant n'a pas besoin de voler des identifiants, de phisher qui que ce soit, ou de chaîner plusieurs exploits. Il lui suffit de trouver une instance exposée.

Ce n'est pas non plus la première fois que ces produits sont ciblés. Fin 2024, un groupe parrainé par un État a exploité des failles similaires pour s'introduire dans le Département du Trésor américain. Cette chaîne d'attaque impliquait un zero-day combiné à une injection SQL dans un composant PostgreSQL sous-jacent. Le schéma est clair : les plateformes d'accès à distance sont des cibles de grande valeur, et les attaquants y reviennent.

Ce qui est nouveau cette fois, c'est la vitesse. De la divulgation à l'exploitation active en quelques jours. Et l'implication d'opérateurs de ransomware — et pas seulement de groupes étatiques — signifie que la menace est plus large. Il ne s'agit pas d'espionnage ciblé. C'est opportuniste, automatisé, et vise quiconque dispose d'une instance non corrigée exposée sur internet.

Ce que nous observons en pratique

Lors de nos missions de tests de pénétration pour des studios de jeux vidéo et des clients entreprise, nous trouvons systématiquement des outils d'accès à distance placés là où ils ne devraient pas être. Exposés à l'internet public avec des configurations par défaut. Isolés de la supervision interne par un pare-feu. Tournant sur des versions d'une ou deux versions majeures en retard. Le schéma est toujours le même : l'outil a été mis en place rapidement pour résoudre un problème d'accès immédiat, et personne n'est jamais revenu pour le durcir.

Les outils de gestion des accès privilégiés sont particulièrement délicats, car ils tombent souvent dans un angle mort de gouvernance. L'équipe sécurité pense que les opérations IT en sont responsables. Les opérations IT pensent que le SaaS du fournisseur gère tout. Et personne ne vérifie si l'instance auto-hébergée dans un coin est réellement abonnée aux mises à jour automatiques.

Nous avons vu ce scénario exact se reproduire lors de revues de sécurité cloud pour des clients entreprise soumis à des exigences de conformité. Une équipe déploie un outil de support à distance pour les accès fournisseurs, le configure une fois, et passe à autre chose. Deux ans plus tard, il est trois versions en retard, exposé sur internet, et personne ne se souvient de son existence. C'est cette instance-là qui se fait compromettre.

La vraie leçon est architecturale

Appliquer les correctifs est évidemment la solution immédiate. Mais le problème de fond, c'est que trop d'organisations exposent directement leurs interfaces de plan de gestion sur internet.

Le rapport d'Unit 42 sur cette faille inclut une recommandation avec laquelle je suis entièrement d'accord : une architecture de défense en profondeur pour les plateformes d'accès à distance. Ne vous contentez pas de vous reposer sur les correctifs du fournisseur. Isolez ces outils sur des réseaux de gestion internes. Placez-les derrière une passerelle d'accès zero trust. Restreignez les interfaces d'administration afin qu'elles ne soient accessibles que depuis des points de terminaison connus et contrôlés.

De notre travail de configuration de Cloudflare et de plateformes similaires pour la protection DDoS de grands systèmes dans les secteurs du voyage et de l'entreprise, nous avons appris que la même discipline de contrôle des accès s'applique partout. Si quelque chose n'a pas besoin d'être accessible publiquement, ça ne devrait pas l'être. C'est vrai pour vos API, vos panneaux d'administration, et surtout votre infrastructure d'accès à distance.

Lorsque nous construisons des applications cloud-native pour des clients entreprise, nous traitons le plan de gestion comme une zone de sécurité distincte dès le premier jour. Segments réseau séparés, authentification séparée, supervision séparée. C'est plus de travail en amont. Mais cela signifie aussi qu'un CVE comme celui-ci devient un simple exercice de mise à jour, et non une réponse à un incident.

Ce que vous devriez faire cette semaine

Si vous utilisez ces produits spécifiques, appliquez le correctif immédiatement. La version auto-hébergée de Remote Support doit être en version 25.3.2 ou ultérieure. La version auto-hébergée de Privileged Remote Access doit être en version 25.1.1 ou ultérieure. Si votre instance était exposée sur internet et non corrigée avant le 9 février, présumez une compromission et menez une investigation. Le fournisseur demande aux clients concernés d'ouvrir des tickets de Sévérité 1.

Mais même si vous n'utilisez pas ces produits, les actions plus générales s'appliquent tout de même :

Auditez chaque outil d'accès à distance dans votre environnement. Pas seulement les officiels. Celui que quelqu'un a mis en place pour un sous-traitant il y a trois ans compte aussi. Vérifiez s'ils sont exposés sur internet, s'ils sont sur des versions actuelles, et si quelqu'un surveille réellement les journaux.

Déplacez les interfaces de gestion hors de l'internet public. Si votre outil de support à distance, votre tableau de bord CI/CD, votre panneau d'administration de base de données, ou toute autre interface de gestion est accessible depuis l'internet ouvert, corrigez cela. Placez-le derrière un VPN, une passerelle zero trust, ou au minimum restreignez-le par IP à des plages connues.

Traitez vos outils d'accès à distance comme vous traiteriez votre base de données de production. Gérez leurs versions. Supervisez-les. Intégrez-les dans votre processus de revue de sécurité. Ne les laissez pas dériver dans un coin oublié de votre infrastructure.

La fenêtre entre la divulgation et l'exploitation ne cesse de se réduire. Pour ce CVE, elle était essentiellement nulle, puisque l'exploitation se déroulait avant même que l'avis soit rendu public. La seule défense fiable contre ce type de chronologie est de réduire votre surface d'attaque exposée avant que le prochain CVE n'arrive.

Si l'assainissement de votre infrastructure d'accès à distance ou la réalisation d'une revue de sécurité de votre environnement cloud est quelque chose que vous repoussez, parlons-en. Nous avons effectué ce travail dans les secteurs du jeu vidéo, du voyage, de la santé et de l'entreprise, et la conversation est toujours plus facile avant que quelque chose ne prenne feu.