L'avís va arribar 47 dies tard i els teus registres duren 30

Avui venç el termini que CISA va donar a les agències federals per tapar la fallada de BeyondTrust Remote Support. Si tens aquest producte, ja sabràs que cal apedaçar. El que gairebé ningú no està mirant és l'altra data del cas: el primer ús conegut de la fallada va ser el 29 d'agost, i l'avís va sortir el 15 d'octubre. Quaranta-set dies. La pregunta que ve després del pedaç és si tu pots mirar tan enrere.

Què va passar, amb les dates posades

CVE-2026-102764 és una fallada de validació d'origen en un component intern de missatgeria de BeyondTrust Remote Support (el producte que abans es deia Bomgar): aquest component no comprovava bé d'on venia un missatge, i això permet a un atacant sense autenticar fer operacions de fitxer a l'aparell. Puntuació 9,3 sobre 10 a CVSS 4.0, i afecta la versió 26.2.3 i totes les anteriors; el pedaç, BT26-05-RS, s'instal·la sobre les branques 24.3.1 a 26.2.3, així que qui estigui per sota ha d'actualitzar abans de poder apedaçar.

La cronologia pública, en ordre: el 29 d'agost del 2026 s'observa la primera explotació —una instància allotjada pel mateix fabricant i un aparell autoallotjat d'un client—; BeyondTrust detecta l'incident de la seva instància allotjada el 28 de setembre, en una cerca proactiva, i reprodueix la via d'entrada aquell mateix dia; té un pedaç fet el 30 de setembre, el prova i tanca altres vies abans de publicar BT26-05-RS el 8 d'octubre, i el 9 ja l'ha aplicat a totes les seves instàncies al núvol; el 15 d'octubre publica l'avís i el CVE; el 16 CISA l'afegeix al catàleg de vulnerabilitats explotades conegudes amb data límit avui, 19 d'octubre, per a les agències federals nord-americanes. Google Threat Intelligence i Mandiant atribueixen l'explotació a un grup d'espionatge que anomenen ARMORY CASTLE (abans UNC5221), i descriuen el que va venir després d'entrar: escalada a root, un web shell per mantenir-s'hi, recol·lecció de credencials, canvis als controls d'accés i salt a altres sistemes. Val la pena llegir bé aquest repartiment abans de fer-lo servir en una reunió: dels 47 dies que van de la primera explotació a l'avís, durant trenta el fabricant no sabia que la fallada existia. El retard no estava guardat en un calaix; senzillament ningú no l'havia vist.

Res d'això no és insòlit. Un producte de suport remot és, per disseny, una peça amb privilegis sobre els equips de mig món —ja vam escriure sobre aquesta superfície concreta a l'eina de suport remot és una porta amb privilegis—, i que el catàleg de CISA arribi després de setmanes d'ús real tampoc no és nou: el catàleg és un acusament de rebuda, no una alarma, i ho argumentem sencer a el catàleg KEV és un acusament de rebuda, no una alarma. L'interessant aquí és una altra cosa.

La pregunta del dia 48

El dia que surt un avís així, la feina es parteix en dos. La primera meitat és coneguda i acotada: inventariar, apedaçar, rotar credencials, revisar accessos. És la meitat que tothom sap fer i la que apareix als titulars. La segona meitat és una sola frase, i arriba sempre des de direcció o des d'un client: «i nosaltres, hi vam ser a dins?».

Aquesta pregunta no la contesta el pedaç. La contesta el registre, i el registre té data de caducitat decidida fa mesos, normalment per defecte i gairebé mai per algú. Si la finestra que pots consultar comença el 19 de setembre, el 29 d'agost no existeix: no és que no vegis res sospitós, és que no veus absolutament res. I respondre «no consta activitat» quan el que passa és «no tinc dades d'aquestes dates» és, amb perdó, mentir en un informe.

Fins quan pots mirar, de fàbrica

Aquests són els valors per defecte de les plataformes que més fan servir els nostres clients, tal com els publica Microsoft. No són opinions ni estimacions: són a la seva documentació.

Fixa't en el repartiment: el que més gent consulta quan hi ha un ensurt —qui va entrar, des d'on, amb quina aplicació— és justament el que menys dura. Trenta dies cobreixen el mes anterior i res més. En aquest cas concret, el primer ús conegut de la fallada va quedar a disset dies per fora d'aquesta finestra el dia en què es va publicar l'avís: comptada cap enrere des del 15 d'octubre, la finestra començava el 15 de setembre.

La frase que ho tanca: la retenció no és retroactiva

Aquí hi ha la part que de debò fa mal, i la diu la documentació de Microsoft sense embuts: els canvis de retenció no són retroactius. Si avui puges de Free a P1, només recuperes el que encara sigui dins dels set dies; el que ja ha expirat no es pot recuperar llevat que s'hagués arxivat abans. Amb les polítiques llargues de Purview, Microsoft ho diu explícitament de la de deu anys —no reté res generat abans de crear-la— i en general avisa que un canvi de política no afecta allò ja registrat. I a l'API de streaming de Defender la nota és igual de clara: la retenció comença el primer dia que l'actives.

És a dir: la capacitat d'investigar un incident que encara no coneixes es compra abans de conèixer-lo. És el mateix tipus de decisió que una còpia de seguretat, i té la mateixa propietat desagradable: el dia que la necessites ja no la pots prendre.

I el registre del mateix aparell és el que menys val

Queda un detall incòmode. En aquest cas l'atacant va arribar a root a l'aparell i va tocar els controls d'accés. Els registres que viuen dins d'aquesta mateixa màquina —i en un appliance solen viure-hi, rotant cada pocs dies per falta de disc— són, a partir d'aquell moment, l'evidència menys fiable que tens: qui mana a la màquina mana en el que la màquina escriu. Per això el consell avorrit de sempre: els registres d'un equip exposat surten de la caixa, cap a un lloc amb altres credencials i un altre amo. Un syslog remot, un recol·lector a la teva xarxa, el SIEM que ja tinguis. Costa una tarda i no canvia res en el dia a dia, fins al matí en què toca mirar enrere.

Les cinc comprovacions del dia 48

Això és el que fem nosaltres quan entra un avís d'aquest tipus, i es pot fer avui sense comprar res:

Quan NO comprar més retenció

Conflicte d'interès per davant: venem EDR/MDR gestionat i serveis de compliment i continuïtat, així que quan diem «guarda més registres» estem parlant d'una cosa que facturem. Precisament per això convé dir on parem.

Deu anys de registres que ningú no consulta no són seguretat, són un magatzem amb factura mensual. Si cal triar —i en una pime gairebé sempre cal triar—, l'ordre que defensem és: primer que els registres surtin de la màquina que els genera; després que algú els miri amb criteri i sàpiga què és estrany a casa teva; i només llavors, allargar la finestra. Trenta dies ben enviats fora i vigilats valen més que un any guardat en un lloc del qual ningú no recorda la contrasenya. La nostra regla interna amb el monitoratge és aquesta: una alerta que no obliga a fer res s'esborra, perquè la fatiga d'alertes és la manera més eficaç que coneixem de no veure el que importa.

L'eix de sempre, aplicat aquí: la fallada és inevitable, l'avaria és una decisió de disseny. Que un fabricant tingui un dia dolent i que un grup amb recursos ho aprofiti durant quaranta-set dies abans que el fabricant ho publiqués no està a la teva mà. El que sí que està a la teva mà és si, el dia que te n'assabentes, pots contestar amb dades o només amb un arronsament d'espatlles. Aquesta diferència es compra mesos abans, o no es compra.

Fonts i mètode: les dades de la fallada (CVE-2026-102764, CVSS 4.0 de 9,3, validació d'origen indeguda, versions 26.2.3 i anteriors, pedaç BT26-05-RS) i la cronologia d'explotació des del 29 d'agost del 2026 surten de l'avís BT26-05 de BeyondTrust i de l'anàlisi de Google Threat Intelligence Group i Mandiant, recollits per la premsa especialitzada — beyondtrust.com i thehackernews.com. La inclusió al catàleg KEV el 16 d'octubre i la data límit del 19 per a agències federals, de CISA — cisa.gov. L'atribució a ARMORY CASTLE és de Google/Mandiant, no nostra, i la recollim com el que és: la lectura de qui va investigar el cas. Els terminis de retenció són de la documentació de Microsoft: Entra ID (7 dies a Free, 30 a P1 i P2; riscos 7/30/90) i l'advertència que la retenció no és retroactiva — learn.microsoft.com; Purview Audit (180 dies a Standard, un any a Premium per a Entra, Exchange, OneDrive i SharePoint) — learn.microsoft.com; i els 30 dies de dades crues de la cerca avançada de Defender XDR, ampliables amb Sentinel o amb l'API de streaming de dades crues — learn.microsoft.com. Aquests valors són els de la data de publicació d'aquest post i canvien amb el temps i amb la llicència: comprova'ls al teu tenant abans de fer-los servir en una reunió. No hem analitzat cap aparell afectat ni tenim telemetria pròpia d'aquesta campanya; tot el que expliquem de l'incident és de fonts públiques. El que diem de la nostra manera de treballar —NetBox com a font de veritat de l'inventari, la regla d'esborrar alertes que no obliguen a res— és nostre i no porta número: no publiquem mètriques internes que ningú no pugui comprovar.