Remote code execution vulnerability in BeyondTrust Remote Support (RS) and Privileged Remote Access (PRA)

CVE-2026-1731 é uma falha crítica de injeção de comandos de sistema operacional (CWE-78), pré-autenticação, no endpoint WebSocket usado pelo BeyondTrust Remote Support (RS) e por versões mais antigas do Privileged Remote Access (PRA). Um atacante sem credenciais consegue executar comandos no contexto do usuário do site simplesmente enviando um valor malicioso durante o handshake WebSocket. É uma variante da CVE-2024-12356 — a mesma classe de falha e o mesmo endpoint usados pelo grupo chinês Silk Typhoon para comprometer o Departamento do Tesouro dos EUA em dezembro de 2024 — o que eleva o risco muito além do que o CVSS já indica, dado o histórico de uso por atores state-sponsored contra essa família de produtos.

A causa raiz está no script thin-scc-wrapper do servidor, que realiza comparações aritméticas em Bash sobre um valor controlado pelo atacante: o campo remoteVersion enviado no handshake da conexão WebSocket ao endpoint /nw. O Bash trata operandos de comparações numéricas ([[ ]] ou (( )), test -eq etc.) como expressões a serem avaliadas, não como strings literais. Isso permite que um valor como a[$(comando)]0 seja interpretado como uma expressão com substituição de comando, disparando execução arbitrária durante a avaliação aritmética.

O fornecedor havia introduzido uma verificação de sanidade numérica em um ciclo de correção anterior (relacionado à CVE-2024-12356), mas essa validação não impede a avaliação de expressão pelo Bash em um ponto posterior do fluxo — o que deixa o mesmo endpoint explorável por um caminho de código diferente. Por isso os pesquisadores classificam a CVE-2026-1731 como variante, não repetição, da falha anterior.

O atacante controla integralmente o conteúdo do campo remoteVersion e o alcança sem autenticação, apenas abrindo uma conexão WebSocket com o protocolo e cabeçalhos esperados pelo serviço. Não há interação do usuário nem pré-condição de configuração não padrão — a superfície é a própria interface de administração/suporte exposta na internet.

O vetor é uma conexão WebSocket ao path /nw (porta padrão 443, mas o endpoint responde igualmente em portas customizadas), usando o protocolo e cabeçalhos esperados pelo serviço (incluindo um cabeçalho de identificação de empresa) e injetando o payload de comparação aritmética no campo remoteVersion enviado no corpo da mensagem de handshake. Não é exigida autenticação, credencial, sessão prévia ou interação do usuário — a complexidade de ataque é baixa e o PoC público (repositório win3zz/CVE-2026-1731) automatiza o processo com o cliente websocat e um script Python que itera sobre uma lista de domínios.

Existe exploração ativa confirmada: a CISA incluiu a falha no catálogo KEV com prazo de correção de apenas três dias (13 a 16 de fevereiro de 2026), reflexo da gravidade e da velocidade de weaponização — o PoC foi publicado em 10 de fevereiro e, em menos de 24 horas, sensores da GreyNoise já registravam varredura massiva de instâncias vulneráveis. Os atacantes observados não são especializados: os mesmos IPs testam simultaneamente SonicWall, MOVEit Transfer, Log4j, firewalls Sophos, força bruta SSH e credenciais padrão de IoT, e alguns usam domínios de callback out-of-band (OAST) para confirmar a vulnerabilidade antes de entregar o payload final.

O resultado de uma exploração bem-sucedida é execução de comando no contexto do usuário que roda o serviço no servidor RS/PRA — produto que, por natureza, concentra acesso privilegiado a redes internas de clientes. É exatamente esse desenho que tornou a CVE-2024-12356 tão danosa no incidente do Tesouro dos EUA, e o mesmo padrão de risco se aplica aqui.

A correção do fornecedor é atualizar para BeyondTrust Remote Support v25.3.2 ou superior, e Privileged Remote Access v25.1.1 ou superior, em instalações self-hosted. Clientes na nuvem foram corrigidos automaticamente pelo próprio fornecedor em 2 de fevereiro de 2026, antes mesmo da divulgação pública — quem usa a versão cloud deve confirmar com o fornecedor se a instância já recebeu o patch, mas não há ação manual pendente nesse caso.

Se a atualização imediata não for possível, restrinja o acesso de rede ao endpoint /nw a IPs confiáveis (VPN corporativa ou allowlist), já que a falha é pré-autenticação e depende de alcançar esse WebSocket pela rede. Mover o serviço para uma porta não padrão NÃO é mitigação eficaz: a GreyNoise observou que os scanners ativos para essa CVE já varrem sistematicamente clusters de portas não padrão, sabendo que empresas usam essa prática como segurança por obscuridade.

Após corrigir, trate a instância como potencialmente comprometida se houver qualquer indício de exploração anterior — verifique logs de acesso ao BeyondTrust por sinais de handshakes WebSocket anômalos e revise contas e configurações criadas pelo usuário de serviço, dado o histórico de uso dessa família de falha para pivô lateral profundo em redes de clientes.

A GreyNoise documentou varredura de reconhecimento em massa desde 11 de fevereiro de 2026: sondas concentradas em clusters de portas não padrão (não a 443 padrão), fingerprints TCP de pilha Linux com MSS de 1358 (indicando encapsulamento por VPN) e duas assinaturas distintas na camada HTTP — uma ferramenta leve de 5 cabeçalhos usada pelos IPs mais ativos e uma variante de 7 cabeçalhos usada por scanners de sessão única — nenhuma delas correspondente a aplicações conhecidas no banco de fingerprints JA4. Alguns atacantes usam domínios de callback OAST para confirmação de vulnerabilidade antes de qualquer payload.

Em logs do próprio serviço, procure por conexões WebSocket ao path /nw com valores anômalos no campo remoteVersion do handshake (strings contendo colchetes, cifrão ou padrões de substituição de comando em vez de um número de versão válido), e por conexões oriundas de IPs associados a provedores de VPN comercial ou sem histórico prévio de uso legítimo da ferramenta.