Team MailSniper
Autore
Hai BeyondTrust Remote Support in produzione? Smetti di leggere e vai a patchare adesso. Poi torna qui.
Scherzo. Prima leggi, poi patchi — così sai anche cosa stai facendo.
Se stai leggendo questo probabilmente hai visto girare il bollettino CISA oppure hai trovato qualcosa di strano nei log. O peggio, ti ha chiamato un utente dicendo che il suo PC fa cose strane.
CVE-2026-1731 è una vulnerabilità di Remote Code Execution non autenticata nel prodotto BeyondTrust Remote Support (ex Bomgar). CISA l'ha aggiunta al catalogo KEV (Known Exploited Vulnerabilities), e questo significa una cosa sola: non è più threat intelligence astratta, è in corso adesso.
L'RCE non autenticata è il sogno di qualsiasi attacker: niente credenziali da rubare, niente MFA da bypassare, niente ingegneria sociale. Un request HTTP malformato verso l'appliance e sei dentro. I gruppi ransomware — e quando CISA dice "ransomware" non sta parlando di script kiddie — la stanno usando come punto d'ingresso nelle reti aziendali.
Lo scenario di attacco tipico si sviluppa così:
Il ruolo dell'email nel vettore iniziale: in diversi incident report recenti, la compromissione dell'appliance non arriva da internet diretto, ma da una workstation di un tecnico IT già bucata via phishing. Il tecnico ha i permessi per accedere a BeyondTrust, e da lì l'escalation è banale. Non è raro che la prima email malevola si mascheri da notifica di sistema BeyondTrust stessa — "sessione scaduta, riconnettiti". Classico pretesto, efficacissimo.
Sintomi che potresti aver già visto:
.ps1 o .bat apparsi in directory temporaneePrima di procedere, assicurati di avere:
/appliance o Help > AboutManagement > BackupPrima capisci cosa hai in casa.
# Da browser, naviga verso:
https://tuo-beyondtrust.azienda.it/appliance
# Vai su: Management > Software > About
# Nota la versione esatta, es: 24.1.2Confronta con le versioni vulnerabili nel bollettino ufficiale BeyondTrust. Poi verifica se l'appliance è esposta su internet:
# Da un host esterno (smartphone in 4G, VPS, ecc.):
curl -I https://tuo-beyondtrust.azienda.it
# Se risponde, è raggiungibile dall'esterno.
# Dovrebbe ricevere timeout o 403 — altrimenti sei esposto senza filtri.Se l'appliance risponde a internet senza restrizioni IP, hai un problema aggiuntivo indipendente dalla patch.
Non patchare prima di fare hunting. Se sei già compromesso, una patch non rimuove un impianto attivo.
# Su appliance Linux-based:
grep -E "(curl|wget|powershell|cmd\.exe)" /var/log/bomgar-support/*.log
# Cerca richieste HTTP anomale in ingresso:
grep -E "POST /api" /var/log/nginx/access.log \
| grep -v " 200 \| 302 " \
| tail -50
# Connessioni in uscita insolite:
ss -tnp | grep bomgar
netstat -an | grep ESTABLISHEDIoC generici da cercare:
bomgar- o beyond-trust- insolitiSe trovi qualcosa di sospetto, fermati qui, isola l'appliance dalla rete e apri un incident. Non continuare a usarla.
BeyondTrust ha rilasciato l'aggiornamento. Dal pannello appliance:
Management > Software > Check for UpdatesOppure, se hai il pacchetto scaricato manualmente:
Management > Software > Upload & InstallDurante l'installazione il servizio Remote Support si riavvia. Le sessioni attive verranno interrotte — avvisa gli utenti.
Errore comune: se l'aggiornamento fallisce con "Checksum mismatch", ri-scarica il pacchetto dal portale di supporto BeyondTrust. File corrotti durante il download sono più frequenti di quanto si pensi, specie su connessioni instabili.
Patch applicata, bene. Ora riduci la superficie d'attacco. Se usi un reverse proxy Nginx davanti all'appliance:
location / {
allow 192.168.1.0/24; # rete interna
allow 203.0.113.10; # IP fisso VPN/ufficio
deny all;
proxy_pass https://beyondtrust-internal;
}Se non hai un proxy, configura le restrizioni IP sul firewall perimetrale. L'appliance non dovrebbe mai rispondere a richieste internet non filtrate. Per l'accesso dei tecnici remoti, usa una VPN come accesso obbligatorio prima di raggiungere BeyondTrust.
Spesso dimenticato: l'MFA sugli account amministratori di BeyondTrust stesso.
Users & Security > Security ProvidersConfigura SAML o TOTP per tutti gli account admin. Un'RCE non autenticata è devastante, ma un account admin senza MFA è quasi altrettanto pericoloso nella fase post-exploitation.
Crea o aggiorna le regole SIEM/EDR per l'appliance:
# Esempio regola Sigma (adatta al tuo SIEM):
title: BeyondTrust Anomalous Child Process
status: experimental
logsource:
category: process_creation
product: windows
detection:
selection:
ParentImage|contains: 'bomgar'
Image|endswith:
- '\cmd.exe'
- '\powershell.exe'
- '\wscript.exe'
- '\cscript.exe'
condition: selection
level: highSe non hai un SIEM, configura almeno alerting su Windows Event ID 4688 (process creation) filtrando per processi padre BeyondTrust.
1. Verifica versione post-patch:
# Dal pannello: Management > Software > About
# La versione deve corrispondere all'ultima nel bollettino BeyondTrust2. Test raggiungibilità esterna:
# Da rete esterna (4G):
curl -I https://tuo-beyondtrust.azienda.it
# Deve ricevere timeout o connessione rifiutata se hai applicato l'allowlist3. Log post-patch:
# Controlla attività anomale nelle prime ore dopo la patch
tail -f /var/log/bomgar-support/access.log4. Verifica account admin: controlla Users & Security > Accounts per account creati di recente o con permessi elevati che non riconosci.
Se hai dubbi sul vettore iniziale — in particolare su come i tuoi tecnici ricevono notifiche di sistema via email — la sezione Come Funziona spiega come l'analisi semantica dei messaggi intercetta i pretesti più comuni usati per mascherare phishing da notifiche legittime.
Q: L'aggiornamento fallisce con "Insufficient disk space" A: Servono almeno 2–3 GB liberi. Espandi il disco dalla console VMware/Hyper-V, poi riprova. Su appliance hardware, contatta il supporto BeyondTrust.
Q: Dopo la patch le sessioni remote non si connettono A: Verifica che il certificato SSL non sia scaduto. La patch può resettare alcune impostazioni TLS. Vai in Network > SSL Certificate e ri-importa il certificato.
Q: Ho trovato processi sospetti ma non so se sono IoC o legittimi A: Carica gli hash su VirusTotal o usa la sandbox del tuo fornitore EDR. Se non hai nessuno dei due, isola il sistema e coinvolgi un IR team. Non è il momento di sperimentare.
Q: La mia versione non appare nell'elenco delle versioni vulnerabili A: Potrebbe essere EOL (end-of-life) oppure molto recente. Contatta BeyondTrust Support con la versione esatta. Se sei su una versione EOL, il problema è strutturale — non riceverai più patch.
Q: Il vendor dice che non siamo vulnerabili perché l'appliance non è esposta A: "Non esposta" è relativo. Un tecnico con workstation compromessa che ha accesso all'appliance sulla LAN è sufficiente per sfruttare la vulnerabilità dall'interno. Patcha comunque.
CVE-2026-1731 conferma un pattern ormai consolidato: gli strumenti di supporto remoto sono bersagli premium per i ransomware group. Hanno accesso privilegiato ai sistemi, girano spesso con permessi elevati, e troppo spesso vengono esclusi dai cicli di patch management perché "tanto è roba interna".
I prossimi passi dopo aver patchato:
Ricorda che in molti di questi attacchi il paziente zero è ancora una mail. Avere un layer di protezione email solido — come quello offerto da MailSniper — riduce le probabilità che il primo step della kill chain vada a buon fine.
Per altri articoli tecnici su vulnerabilità attive e strategie di difesa, passa dal blog.
Team MailSniper
Team MailSniper
Esperti di sicurezza email e protezione aziendale. Il team MailSniper analizza quotidianamente le minacce informatiche per offrire soluzioni all'avanguardia alle aziende italiane.
Scopri chi siamoVenerdì pomeriggio, CISA aggiunge CVE-2025-53521 al KEV: exploit attivi su F5 BIG-IP APM, il sistema che gestisce l'accesso remoto di migliaia di aziende. La corsa contro il tempo è iniziata.
LeggiIl Rapporto Clusit 2025 lancia l'allarme: il manifatturiero italiano è diventato il bersaglio preferito degli hacker. Con 213 attacchi in sei mesi, le aziende industriali devono correre ai ripari prima che sia troppo tardi.
LeggiQuando i criminali si nascondono dietro un fornitore fidato, l'email non sembra pericolosa — perché non lo è. La minaccia arriva dall'interno della catena di fiducia. Ecco come funziona il vendor email compromise e cosa si può fare.
LeggiRicevi i nostri articoli e consigli direttamente nella tua casella di posta.
Scopri come MailSniper puo' proteggere le tue email aziendali con tecnologia AI di livello enterprise.