BeyondTrust Remote Supportの脆弱性、サポートツールが攻撃経路に
攻撃者が公表の数週間前から重大なRemote Supportの脆弱性を悪用していたことを受け、BeyondTrustは緊急のパッチ対応に直面している。CVE-2026-102764として追跡されるBeyondTrust Remote Supportの脆弱性は、CVSSスコア9.3を記録している。Remote Support 26.2.3以前が影響を受ける。
CISAは2026年10月16日、この脆弱性をKnown Exploited Vulnerabilitiesカタログに追加した。これは理論上のセキュリティリスクではなく、現実の環境で悪用されている確かな証拠を確認したことを意味する。CISAは、影響を受けるセルフホスト型アプライアンスの運用者に対し、BT26-05-RSパッチを直ちに適用するよう求めている。
問題の核心は、単一のアップデートをインストールするだけでは済まない点にある。Remote Supportアプライアンスは、内部システム、認証情報、管理セッションへの特権アクセスを仲介する。Mandiantは、攻撃者が侵害したアプライアンスを用いて永続性を確立し、root権限を取得し、下流のエンドポイントへ到達したと確認した。
つまり、パッチ適用は対応の終わりではなく始まりである。組織は元の脆弱性を塞げても、攻撃者のアカウント、インプラント、あるいは盗まれた認証情報を残してしまう可能性がある。
CISA、BeyondTrust Remote Supportの脆弱性を緊急対応タイムラインに位置付け
CISAの警告により、CVE-2026-102764は通常のパッチ適用判断から、能動的なインシデント対応の優先事項へと変わった。
BeyondTrustは10月15日にこの脆弱性を公表した。CISAは翌日、実際の攻撃の証拠に基づき、Known Exploited Vulnerabilitiesカタログへ追加した。
同機関のパッチ適用アラートは、セルフホスト型のRemote Supportアプライアンスを対象としている。修正が自動アップデートですでに導入されていない限り、これらのシステムには顧客自身による直接の対応が必要となる。
Remote Support 26.2.3以前が影響を受ける。バージョン24.3.1から26.2.3を使用するサポート対象の導入環境では、BT26-05-RSパッチを適用できる。より古いリリースを使用する顧客は、パッチ適用前にアップグレードしなければならない。
BeyondTrustによると、同社は10月9日までにすべてのRemote Support software-as-a-service環境へパッチを適用した。この違いは重要だ。セルフホスト型システムは、各運用者が自身のアップデート手順を完了するまで、露出したままになり得る。
一般にKEVと呼ばれるCISAのKnown Exploited Vulnerabilitiesカタログは、攻撃者が研究環境の外で利用した脆弱性を特定するものだ。連邦民間機関は、Binding Operational Directive 22-01に基づき、カタログに掲載された脆弱性を割り当てられた期限までに修正しなければならない。
CVE-2026-102764の連邦機関向け期限は10月19日で、カタログ掲載からわずか3日後だった。この短い期間は、脆弱性の深刻さと、特権的なリモートアクセスアプライアンスが侵害された場合の影響の双方を反映している。
連邦政府以外の組織は、この指令に拘束されない。しかしCISAは、すべての組織が脆弱性管理の優先順位を決める際にこのカタログを利用するよう推奨している。
ベンダーアドバイザリーは、この欠陥を内部メッセージングコンポーネントにおける不適切なオリジン検証と分類している。実務的には、アプライアンスが特定のメッセージの送信元を検証できていなかったことを意味する。
適切な条件下では、リモートの攻撃者はこの弱点を悪用し、認証やユーザー操作なしにファイル操作を実行できる。Mandiantによると、任意のファイルアップロードはホストレベルの制御につながり得る。
この経路が、通常のメンテナンスウィンドウが今回には不適切である理由を説明している。リモートの未認証攻撃者は、有効な認証情報、フィッシング被害者、既存のサポートセッションがなくても、悪用を開始できる。
CISAは影響を受ける連邦システムに対し、フォレンジックトリアージも求めている。この要件は、パッチ適用の重大な限界を認識したものだ。修正済みソフトウェアを導入しても、アップデート前に攻撃者が侵入していたかどうかは分からない。
組織はまず、正確なRemote Supportのバージョンとパッチ状況を確認すべきだ。また、アプライアンスがインターネットから到達可能だった時期を特定し、その露出期間全体をカバーするログを保全する必要がある。
攻撃は防御側がパッチを得る前に始まった
危険な期間は8月下旬に始まり、公表によってすべての防御側に明確な修復手段が与えられるおよそ6週間前だった。
Mandiantは、以前はUNC5221として追跡されていた、中国との関係が疑われるスパイ活動グループARMORY CASTLEによる悪用を特定した。この調査では、確認されたゼロデイ活動の開始時点を2026年8月29日としている。
ゼロデイとは、影響を受ける組織が公開された修正を利用できる前に悪用される脆弱性を指す。このタイミングにより、攻撃者はどのパッチ管理プログラムでも事前に排除できない優位性を得た。
BeyondTrustによると、同アクターは8月29日に、同社がホストするRemote Supportインスタンス1件とセルフホスト型アプライアンス1件を侵害した。同社は、公開時点でこの2件の既知事例以外の敵対的活動を示す証拠はないと報告している。
この数値は確認済みのインシデントを示すものであり、影響を受けたシステム数の上限ではない。特に攻撃者がアプライアンス上のログを削除できる場合、他の侵害では証拠が保全されていない可能性がある。
発見の過程は、警告シグナルがいかに容易に断片化するかも示している。BeyondTrustは、別のセキュリティプロバイダーに関わる悪用が9月27日に公表された後、関連する脅威ハンティングを開始した。
9月28日、BeyondTrustのサイバー防御チームは、同社のホスト環境に関する証拠を特定した。同社によれば、最初の検知から27分以内にそのインスタンスを封じ込めたという。
同社の製品セキュリティチームはその日の夕方に侵入手法を再現し、エンジニアリングチームは修正の開発を開始した。Mandiantは9月30日、セルフホスト型顧客の調査で得た知見を共有した。
BeyondTrustは10月8日、ホスト型およびセルフホスト型の顧客向けにパッチをリリースした。同社によると、Remote Support SaaS環境には10月9日までに修正が適用されていた。
協調的な公開開示は10月15日に続いた。このスケジュールにより、技術報告によって脆弱性への認知が高まる前に、顧客には短いパッチ適用の機会が与えられた。
しかし、公表は第二の競争を生む。ベンダーが詳細な悪用手順を非公開にしていても、攻撃者はアドバイザリー、パッチ、製品挙動を利用して欠陥を分析できる。
BeyondTrustは、顧客がシステムを更新する間、技術的な悪用の詳細を非公開としている。それでも同社の公開説明は、脆弱なコンポーネントと、破綻したセキュリティ境界を特定している。
ARMORY CASTLEはこれまで、CitrixおよびIvantiのエッジデバイスも標的にしてきた。エッジデバイスは外部ネットワークと機密性の高い内部リソースの間に位置するため、スパイ活動にとって魅力的な侵入口となる。
Google Threat Intelligence Groupは、このアクターがこうした製品のゼロデイ脆弱性を今後も悪用し続けると見ている。この評価は、反復的なキャンペーン、専門的なツール、標的プラットフォームに関する詳細な知識に基づくものだ。
このグループはまた、過去の脆弱性が公表された後、選択的なゼロデイ利用からより広範な悪用へと移行してきた。この経緯により、公表後もパッチ未適用のRemote Supportアプライアンスはすべて、より大きな露出に直面する。
したがって、初期のインシデントは安心材料となる上限ではなく、警告である。防御側は、他のグループも公開された証拠を分析した後、独自の悪用手法を開発できると想定しなければならない。
ファイルアクセスがroot制御とラテラルムーブメントに転じた
この攻撃が重要なのは、ファイル操作の欠陥が、公開インターネットから接続先システム全体にわたる特権制御への経路となったためだ。
脆弱性の初期能力は、結果として生じた侵入と比べると限定的に聞こえる。BeyondTrustは未認可のファイル操作を説明しているが、Mandiantは攻撃者がそのアクセスを持続的な管理上の足掛かりへ変えたことを確認した。
インシデント分析によると、ARMORY CASTLEはSAWFLYと呼ばれるカスタムPHPウェブシェルをアップロードした。ウェブシェルとは、攻撃者がWebリクエストを通じてコマンドを実行できるようにするサーバーサイドスクリプトである。
調査担当者は、SAWFLYが暗号化されたコマンド・アンド・コントロール通信を使用し、リクエストに期待するパラメータがない場合は偽の404レスポンスを返していたことを発見した。この挙動は、基本的な自動スキャンを回避する助けとなった。
攻撃者は、悪用に関連する最初のリクエストが確認されてから約11分後にSAWFLYを作成した。当初は、アプライアンス上のより低い権限のサービスアカウントを通じて実行されていた。
ARMORY CASTLEはその後、システムシェルをコピーし、Set User ID権限を割り当てた。SUIDは、プログラムを呼び出し元の権限ではなく所有者の権限で実行させるUnixの権限である。
コピーされたシェルはrootに属していたため、この変更によりrootレベルでの実行経路が作られた。このアクセスにより、アプライアンスのOS、設定、保存されたシークレットが攻撃者の手の届く範囲に置かれた。
Mandiantは、攻撃者が独自のBeyondTrustユーティリティを使用し、アプライアンスのシークレットデータベースから認証情報を抽出しようとする試みを確認した。このアクターは、アカウント固有およびグローバルなボルトデータを求め、複数のコマンド形式を試した。
調査担当者はさらに、サービスアカウントにパスワード不要のroot権限を与えるスタートアップスクリプトを発見した。このスクリプトは設定テンプレートを変更し、有効な権限ファイルを再構築していた。
これは重要な設計だった。単純な再起動では除去できないためだ。Mandiantによると、この永続化は設定リセット後にも残る可能性があり、一般的な復旧に関する2つの前提を崩す。
攻撃者はアプライアンスの制御だけでは終わらなかった。侵害した管理者認証情報を使い、Remote Supportの管理ポータルへ侵入した。
そして、Jump ItemとTeamの権限を「No Access」から「Administrator」へ変更した。Jump Itemは、BeyondTrustプラットフォームを通じてリモートアクセス可能にされたシステムまたはデバイスを表す。
この権限変更により、下流エンドポイントへの正規に見えるアクセスが作られた。攻撃者は、信頼されたサポート担当者が通常使用するものと同じワークフローを通じて、リモートセッションを開始できた。
Mandiantは、内部エンドポイントへのセッションと、Remote Supportのファイル転送機能の使用を確認した。このアクターは、ユーザーのデスクトップ環境からソフトウェアインベントリ情報を含む機密文書をダウンロードした。
このグループはまた、WebSocketトラフィック上にSOCKS5プロキシを作成するカスタムトンネリングツール、BARECLAWを展開した。SOCKS5プロキシはネットワーク接続を中継し、当初侵害されたホストを超えるアクセスを提供できる。
攻撃者はアプライアンスのHAProxy設定を変更し、インターネットに面したリクエストパス経由でBARECLAWを公開した。HAProxyは、受信するアプライアンストラフィックを内部サービスへルーティングするリバースプロキシである。
この構成により、トンネラーは想定された公開サービスの背後に隠された。また、侵害されたアプライアンスを経由して他のネットワーク宛先へ到達する経路も提供した。
したがって、BeyondTrust Remote Supportの脆弱性は、単独のアプライアンス問題以上のものだった。信頼されたサポート制御点を、認証情報窃取、永続化、ラテラルムーブメントのためのプラットフォームへと変えた。
パッチ適用では既存の攻撃者を排除できない
アップデートに成功すれば新たな悪用は防げるが、盗まれた認証情報を無効化したり、導入前に作成された永続化を消去したりはしない。
この違いこそが、本記事における中心的なトレードオフだ。組織は侵入口を閉じるために迅速なパッチ適用を必要とするが、スピードは、露出の可能性があった後に必要となる調査を代替できない。
サポート対象のセルフホスト型デプロイメントでは、管理者はアプライアンスのインターフェースからBT26-05-RSをインストールする必要があります。自動更新が正常に完了したと想定するのではなく、インストールを確認すべきです。
バージョン24.3.1より前のシステムは、パッチを受け取る前にアップグレードが必要です。この脆弱性は、その後のセキュリティ更新プログラムを適用して初めて解消されます。
悪用が行われた期間中にインターネットから到達可能だった脆弱なアプライアンスは、追加の精査を受けるべきです。Mandiantは、調査によって問題がないと判明するまで、そのようなシステムを侵害された可能性があるものとして扱うことを推奨しています。
不審なシステムは、再起動や再構築よりも証拠保全を優先すべきです。仮想アプライアンスについては、運用手順で許容される場合、メモリとディスクのデータを取得する必要があります。
ハードウェアアプライアンスの運用者は、証拠保全についてBeyondTrustのサポートと連携すべきです。顧客がアプライアンスのホストファイルシステムに保護されたすべての領域を独自に調査することはできません。
調査担当者が広範なログ削除を確認しているため、外部ログは特に重要です。攻撃者は侵入中に、システム、アプリケーション、Webサーバー、認証情報ツールの記録を削除しました。
セキュリティチームは、ファイアウォール、Webアプリケーションファイアウォール、リバースプロキシ、ID、エンドポイント、セキュリティ情報・イベント管理のデータを確認すべきです。SIEMは複数のシステムからセキュリティイベントを一元収集し、相関分析します。
BeyondTrustは、アプライアンスのsyslogとセッションイベントをほぼリアルタイムで外部SIEMに送信することを推奨しています。攻撃者がローカルの証拠を削除しても、アプライアンス外の記録は残ります。
有用な兆候には、見慣れない住宅用または商用VPNアドレスからの管理者ログインがあります。防御側は、Webディレクトリ内の予期しないスクリプトや、Webサービスアカウントによって起動されたシェルも調査すべきです。
権限変更には細心の注意が必要です。特に、Jump Items、Teams、APIアカウント、セッションポリシーに関する変更を重視すべきです。各変更は、承認済みのリクエストと既知の管理者に対応付けられる必要があります。
外部ログ転送の欠落も意味を持つ可能性があります。BeyondTrustは特に、単一の管理セッション内で始まり終わる中断を警告しています。
既知のファイルハッシュとYARAルールはハンティングに役立ちますが、完全な保証にはなりません。YARAルールは、定義されたパターンと条件を通じてファイルやメモリ内容を識別します。
BeyondTrustによると、この攻撃者は被害組織ごとにインフラストラクチャとツールを変えていました。公開済みの指標が見つからない組織であっても、そのアプライアンスが無害な状態に保たれていたことは証明されません。
侵害が確認された、または未解決のままである場合は、最新のパッチが適用された新しいイメージから再構築することが正当化されます。攻撃者がroot権限を取得し、永続化の仕組みを変更している場合、個別ファイルのクリーンアップは信頼性が低くなります。
認証情報のローテーションは、封じ込めまたは再構築の後に行う必要があります。攻撃者がまだアプライアンスを制御している間にシークレットをローテーションすると、置き換えた認証情報が即座に漏洩するおそれがあります。
ローテーションの対象には、アプライアンス管理者、Remote Supportアカウント、APIシークレット、ディレクトリバインドアカウント、統合された特権アクセス認証情報を含めるべきです。また、影響を受けたサポートセッション中に入力された認証情報も対象にする必要があります。
チームは、アプライアンスを経由して到達した下流のエンドポイントを確認しなければなりません。セッションレポートとファイル転送履歴から、攻撃者がアクセスしたシステムや、そこから持ち出された情報を把握できます。
技術評価でも、緊急の修正対応と、過去の侵害に関する調査が推奨されています。パッチ適用だけでは、すでに確立された永続化を除去できないと警告しています。
セルフホスト型リモートアクセスが抱える異なるセキュリティ負担
このインシデントは、ホスト型サービスには中央集約的な修正を適用できる一方、セルフホスト型アプライアンスは数千件に及ぶ個別のローカル判断に依存するという、基本的な運用上の隔たりを浮き彫りにしています。
BeyondTrustによると、SaaS顧客には公開前に修正措置が提供されました。セルフホスト型の顧客は、自身のバージョン、更新経路、自動更新設定、実際のパッチ適用状況を確認しなければなりません。
セルフホスティングでは、データ、ネットワーク、保守を直接制御できます。一方で、迅速な修正対応、監視、証拠保全、復旧に関する責任の多くも顧客側に移ります。
リモートアクセスプラットフォームが重要業務を支えている場合、その責任は難しいものになります。アプライアンスを隔離すると、組織全体のヘルプデスク業務、ベンダーサポート、リモート管理が中断する可能性があります。
攻撃者はこのためらいから利益を得ます。ダウンタイムの調整に費やす1時間ごとに、インターネット公開システムを悪用する機会が維持される可能性があります。
そのため、セキュリティチームには次の緊急事態の前に運用計画が必要です。その計画では、隔離を承認できる人物、サポートを継続する方法、フォレンジックデータの保存先を明確にすべきです。
リモートアクセスアプライアンスは、外部ユーザーを内部システムへ意図的に接続するため、リスクが集中します。認証情報を保存し、シークレットを注入し、エンドポイントエージェントを維持し、特権セッションを仲介する可能性があります。
このようなプラットフォームが侵害されると、他の場所に配備された制御を迂回できる可能性があります。悪意あるセッションは承認済みの製品を経由し、正当な管理者に関連付けられた権限を使用することがあります。
このパターンはBeyondTrustに固有のものではありません。Googleの脅威研究者によると、ARMORY CASTLEは以前、Citrix NetScalerおよびIvanti Connect Secureの脆弱性を悪用していました。
これらの製品は設計と用途こそ異なりますが、ネットワーク境界において戦略的な位置を共有しています。信頼されたアクセスを処理する一方で、外部ネットワークから到達可能な状態にあります。
この組み合わせにより、エッジシステムはスパイ活動や犯罪活動の繰り返し標的となってきました。ホストへのアクセスが制限された堅牢化アプライアンスでは、従来のエンドポイントツールの可視性が限られる可能性があります。
BeyondTrustの事例には、さらに別の課題があります。攻撃者は管理制御を取得した後、製品自身のリモートセッション機能やファイル転送機能を利用できます。
ネイティブ機能を通じて作成されたアクティビティは、正当なサポート作業に見える可能性があります。そのため検知では、ID、タイミング、送信元ネットワーク、権限変更、関連するサービスチケットを考慮する必要があります。
組織は管理インターフェースを信頼できるネットワークまたは承認済みアドレスに制限すべきです。公開範囲は、顧客およびサポート担当者に必要な特定のサービスに限定する必要があります。
アウトバウンドのネットワークアクセスも制御すべきです。リモートサポートアプライアンスが到達できるのは、必要な更新、ライセンス、ログ、ディレクトリ、統合サービスに限るべきです。
デフォルト拒否の送信フィルタリングは、トンネリングおよびコマンド・アンド・コントロール通信を制限できます。また、アプライアンスが予期しない宛先に接続した際に有用なアラートも生成します。
管理アクセスでは、対応している場合にフィッシング耐性のある多要素認証を必須とすべきです。ローカルアカウントは最小限に抑え、緊急用アカウントには保護と監視を施す必要があります。
これらの制御はBT26-05-RSに代わるものではありません。認証の最初の層全体を迂回する脆弱性が生じた場合に、影響範囲を縮小するものです。
Privileged Remote Accessの顧客も注意が必要です。BeyondTrustによると、PRAは影響を受けたコードを共有していますが、同社のテストでは、この製品で機能する悪用経路は確認されていませんでした。
同社は予防措置としてPRAのパッチをリリースし、セルフホスト型の顧客にインストールを推奨しました。これはリスクに基づく推奨であり、観測された攻撃がCVE-2026-102764を通じてPRAを侵害したことの確認ではありません。
緊急対応では、明確な範囲設定が重要です。チームは未検証のPRA悪用を確立された事実として説明すべきではありませんが、共有される脆弱なコードを無視すべきでもありません。
CVE-2026-102764後に防御側が注視すべきこと
次の試金石は、パッチ適用がより広範な悪用を上回るかどうか、そして調査によって公開前から潜んでいた侵入が明らかになるかどうかです。
最初の兆候は、セルフホスト型Remote Supportアプライアンスのパッチ適用状況です。セキュリティチームは、承認済みの変更リクエストや予定された保守作業だけでなく、検証済みのインストールを追跡すべきです。
公開されているシステムの数が減少すれば、元のキャンペーンを模倣する攻撃者の機会は減少します。未パッチのシステムが引き続きインターネットから見える状態にあれば、日和見的な悪用が行われるとの見方が強まります。
2つ目の兆候は、新たな攻撃者の行動の出現です。Mandiantは、SAWFLY、BARECLAW、権限操作、ログ削除、サポートセッションの悪用を文書化しました。
他のグループがそれらとまったく同じツールを再利用する必要はありません。新しいWebシェル、リクエストパス、アカウント、トンネリング手法が現れれば、悪用が既知の1つの実行主体を超えて広がったことを示します。
したがって防御側は、完全一致する指標だけでなく、行動の連鎖を追跡すべきです。予期しないファイル作成に続く特権変更と管理セッションは、1つのファイル名よりも持続性のある指標です。
3つ目の兆候は、フォレンジック調査によって公開前の期間について何が判明するかです。8月または9月にさかのぼる追加事例があれば、既知の露出期間と影響を受けた母集団が拡大します。
その証拠はゆっくり現れるかもしれません。アプライアンスのログは不完全な場合があり、下流へのアクセスは通常のサポート活動と混在し得ます。
調査が続く間、組織は関連する記録を保持すべきです。ログ保持期間が短いと、試行された悪用と完全なネットワーク侵入を区別するために必要な証拠が失われる可能性があります。
このインシデントは、自動化されたアラートトリアージにも疑問を投げかけます。BeyondTrustは、同社のセンサーが不審な権限昇格を検知した一方で、第三者システムがアラートを誤検知としてクローズしたと報告しています。
セキュリティチームは、自動化システムによって却下されたアラートを保持し、定期的に確認すべきです。低信頼度の判定によって、異常なアプライアンスの挙動を脅威ハンティングの対象から恒久的に除外すべきではありません。
KEVカタログは引き続き重要な優先順位付けのシグナルですが、カタログへの掲載を起点にしてはなりません。CISAが項目を公開する前であっても、確認済みのベンダーまたはインシデント対応の証拠は対応を正当化できます。
同じ原則はパッチ適用後にも当てはまります。脆弱性スキャンの正常結果は、ソフトウェアが修正されたことを確認するものであり、環境がクリーンであることを示すものではありません。
BeyondTrust Remote Supportを運用する組織にとって、直ちに取るべき行動は明確です。BT26-05-RSパッチを確認し、その結果を文書化してください。古いインストールは、修正を受け取る前にアップグレードする必要があります。
次に、脆弱性が存在した期間にアプライアンスが外部から到達可能だったかどうかを確認します。アプライアンス外のログを保全し、管理上の変更を確認し、すべての不審なサポートセッションを下流のシステムまで追跡してください。
侵害を除外できない場合は、BeyondTrustのサポートおよびインシデント対応チームを関与させてください。疑わしいアプライアンスを再構築し、露出した認証情報をローテーションし、それらを経由して到達したエンドポイントを調査してください。
BeyondTrust Remote Supportの脆弱性は、最終的には2つの対応速度を試すものです。1つは脆弱性を解消し、もう1つは解消前に何が起きたかを明らかにします。
最初の作業だけを実施する組織は、2つ目の結果に引き続きさらされます。あなたのチームはパッチを確認しているだけでしょうか。それとも、信頼されたアクセスシステムが信頼に値する状態を保っていたことを証明しているでしょうか。
