BeyondTrust Remote Supportのゼロデイ脆弱性、8月から悪用されていた

中国とつながりがあるとみられるスパイ集団が、2026年8月29日からBeyondTrust Remote Supportの未知の脆弱性を悪用していました。BeyondTrustとGoogleのセキュリティチームが、10月15日と16日に公表しました。Remote Supportは、ITヘルプデスクが社員のコンピューターを遠隔操作するためのツールです。そのため、乗っ取られたサーバーからは多くのマシンに到達できます。この脆弱性はCVE-2026-102764として追跡され、10点満点中9.3と評価されています。クラウドの顧客にはすでにパッチが適用されていますが、セルフホスト型のサーバーは手動で更新する必要があります。

BleepingComputerの報道によると、以前はBomgarという名前だったBeyondTrustは、2万を超える顧客を抱えているとしています。インターネットをスキャンする団体のShadowserverは、オンラインに公開されたRemote Supportサーバーを1,400台以上確認しています。

脆弱性の内容

この不具合は、Remote Supportの内部メッセージング部分にあります。The Hacker Newsが引用したBeyondTrustの説明によると、「コンポーネントは、受信したメッセージの送信元を十分に検証していませんでした」。実際には、ログインしていない攻撃者が、アプライアンスにファイルをアップロードしたり変更したりできます。BleepingComputerはこれを認証バイパスと説明しています。つまり、攻撃者はログインの手順を完全に飛ばせるということです。

BeyondTrustは8月29日、セルフホスト型アプライアンス1台への攻撃を初めて確認しました。The Hacker Newsによると、同社が調査を始めたのは、別のセキュリティベンダーの機器が悪用されたと9月27日に公に報じられた後でした。同社は、攻撃者が「選んだ標的に対してゼロデイを選択的に使っている」と述べています。

攻撃者の正体と行動

Google Threat Intelligence GroupとMandiantは、一連の攻撃を、両社がARMORY CASTLEと呼ぶグループによるものとしています。Googleはこのグループを、中国とのつながりが疑われるスパイ活動の攻撃者と位置付けています。2023年10月から活動しており、以前はUNC5221として追跡されていました。BleepingComputerによると、CrowdStrikeは同じグループをWarp Pandaと呼んでいます。

Googleの報告書は、攻撃者が侵入後に取った手順を次のように挙げています。

• Webシェル。 最初のリクエストから約11分後、Web経由でコマンドを実行できる小さなプログラム、SAWFLYを仕掛けました。
• root権限。 完全な管理者権限で動作する、システムシェルの特別なコピーを作りました。
• 盗まれた機密情報。 アプライアンスに組み込まれたパスワード保管庫から、認証情報を抜き取りました。
• 隠しトンネル。 ポート19800で動くプロキシのBARECLAWをインストールし、インターネットから到達できるようにWebサーバーの設定を変更しました。
• 永続化と痕跡の消去。 起動スクリプトでパスワードなしの管理者ログインを確保し、作業の間ずっとログを削除していました。

Googleは、今後さらに攻撃が続く可能性があると警告しています。報告書には「組織は、今回の公表を受けて広範な悪用が起きる可能性に備えるべきです」と書かれています。

パッチが必要なバージョン

導入形態	状況	対応
Remote Supportクラウド（SaaS）	BeyondTrustがパッチ適用済み	インストールは不要
セルフホスト型 24.3.1から26.2.3	脆弱	パッチBT26-05-RSを適用
セルフホスト型 24.3.1より前	脆弱	まずアップグレードし、その後パッチを適用
Privileged Remote Access	BeyondTrustによると、悪用する方法は知られていない	クラウドインスタンスにもパッチ適用済み

クラウドの顧客への修正がいつ行われたかについては、情報源によって食い違いがあります。BleepingComputerは10月8日としていますが、The Hacker NewsとGoogleは10月9日としています。

米国のサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は10月16日、この脆弱性を「悪用が確認された既知の脆弱性」のリストに追加しました。The Hacker Newsによると、連邦政府の民間機関は10月19日までに修正しなければなりません。

開発者にとっての意味

自社でRemote Supportサーバーを運用しているなら、通常の更新ではなく緊急事態として扱ってください。自動更新がオフになっている場合があります。BleepingComputerは、こうしたサーバーには手動でパッチを適用する必要があると指摘しています。

パッチを当てるだけでは不十分です。Mandiantは、公開されていたアプライアンスは「確認が済むまで、侵害された可能性があるものとして扱うべき」だと述べています。具体的には、次のとおりです。

1. 今日中にBT26-05-RSをインストールしてください。 必要に応じて、先に24.3.1以降へアップグレードします。
2. 攻撃者のツールを探してください。 Googleの報告書は、Webシェルのファイルハッシュを公開し、ポート19800のBARECLAWトンネルについて説明しています。自分で追加していないルートがないか、Webサーバーの設定を確認してください。
3. アプライアンスが保持していた機密情報をすべて変更してください。 攻撃者は認証情報の保管庫を読み取りました。そこに保存されていたパスワードや鍵は、すべて変更すべきです。
4. その認証情報が使える場所を確認してください。 サポートツールは多くのマシンに到達できます。8月下旬以降に、アプライアンスから他のシステムへのログインがないか調べてください。

今回の攻撃は、今週初めに報じられたIvanti Connect Secureのゼロデイ脆弱性の連鎖悪用に続くものです。リモートアクセスツールはネットワークの境界にあり、幅広い権限を持つため、格好の標的になります。自社のツールをVPNやアドレスの許可リストの内側に置けるなら、今すぐそうしてください。