BeyondTrust RS／PRA に複数の脆弱性：アプライアンスへの不正アクセスを招く恐れ

Critical BeyondTrust Authentication Flaws Expose Remote Support Appliances to Attacks

2026/07/06 gbhackers — BeyondTrust が公表したのは、同社の Remote Support (RS) および Privileged Remote Access (PRA) アプライアンスに影響を及ぼす、複数の深刻度 Critical／High の脆弱性に関する情報である。これらの脆弱性を悪用する攻撃者は、認証バイパス／サービス拒否 (DoS) 攻撃／不正なデータアクセスなどのリスクを引き起こす可能性がある。これらの脆弱性は、アドバイザリ BT26-03 として追跡されており、CVSS v4 スコアは最大 9.2 である。なお、一連の脆弱性の特定は、公開 AI モデルと独自ツールを活用する、同社の AI 駆動型脆弱性調査プログラムを通じて行われた。

BeyondTrust の認証における深刻な脆弱性

最も深刻な脆弱性は、認証サブシステムに影響を及ぼすものである。認証データに対する不適切な検証／処理により、未認証の攻撃者がアクセス制御をバイパスし、影響を受けるアプライアンスへの完全なアクセス権を奪取する恐れがある。

特定のコンフィグでは、この脆弱性の悪用により特権アカウントが侵害され、企業全体に及ぶ情報の侵害／漏洩が生じ、ラテラル・ムーブメントにつながるリスクが大幅に高まる可能性がある。セキュアなリモート・アクセスおよび特権セッション管理のために、BeyondTrust ソリューションに依存する組織において、これらの脆弱性は特に懸念されるものであり、中核となる信頼境界を損なう要因となり得る。

同社のアドバイザリによると、これらの深刻な脆弱性を悪用する前提として、特定の認証コンフィグを有効化する必要があるが、ユーザーによる操作は不要であり、リモートから悪用される可能性がある。

認証バイパスの問題に加えて、制御されていないリソース消費によるサービス拒否 (DoS) の脆弱性も存在する。また、Web アプリケーション・コンポーネントでの不適切な入力処理により、限定的な権限を持つ認証済み攻撃者に対して、機密データ／リソースへのアクセスを許す脆弱性も存在する。

クラウド・ホスト型の顧客に対しては、2026年4月21日の時点で自動的にパッチが適用されたことを、BeyondTrust は確認している。その一方で、セルフ・ホスト型の導入環境ではアップデートが必要になる。

RS／PRA のバージョン 25.3.2 以下を使用している組織は、2026年4月のセキュリティ・ロールアップ・パッチの適用もしくは、バージョン 25.3.3 以降へのアップグレードにより、影響を軽減する必要がある。

セキュリティ・チームに対して強く推奨されるのは、インターネットに公開されているアプライアンスへのパッチ適用を優先することである。それに加えて、認証コンフィグを見直して悪用リスクを低減する必要がある。これらの脆弱性の性質上、認証バイパスを特権昇格やデータアクセスの脆弱性と組み合わせる攻撃者が、ユーザー組織全体へと影響を拡大させる可能性がある。

CVE の詳細
  • CVE-2026-40138：Critical (CVSS 9.2)：RS／PRA における不適切な認証 (CWE-287) により、特定のコンフィグにおいて、未認証の攻撃者がアクセス制御をバイパスし、昇格したアクセス権を取得できる。
  • CVE-2026-40139：Critical (CVSS 9.2)：Remote Support における認証処理の欠陥 (CWE-287) により、リモート攻撃者が認証をバイパスし、特権アカウントへアクセスできる。
  • CVE-2026-40140：High (CVSS 8.7)：制御されていないリソース消費 (CWE-400) により、未認証の攻撃者がサービス拒否 (DoS) 状態を引き起こし、アプライアンスの可用性に影響を及ぼす可能性がある。
  • CVE-2026-40141：High (CVSS 8.5)：クエリロジックにおける入力検証不備 (CWE-943) により、認証済みの低権限ユーザーが、機密データ／リソースへアクセスする可能性がある。

ユーザー組織に推奨されるのは、不審な認証アクティビティについてログを監査するとともに、可能な限りリモートアクセス・インフラストラクチャの外部公開を制限することである。

訳者後書：今回の問題の核心は、アプライアンスの認証サブシステムにおける、データに対する不適切な検証と処理にあります。これにより、特定の構成において認証を回避されてしまうリスクが生じていました。具体的には、CVE-2026-40138 や CVE-2026-40139 という脆弱性が、この問題に該当します。さらに、リソースの消費を適切に制御できない CVE-2026-40140 や、入力処理の不備である CVE-2026-40141 も含まれており、これらが組み合わさることで重大な影響を及ぼす可能性があります。ご利用のチームは、ご注意ください。よろしければ、BeyondTrust での検索結果も、ご参照ください。