Critical BeyondTrust Vulnerability Faces Fresh Exploitation Probes as Hackers Prepare for Mass Scanning
2026/11/02 CyberSecurityNews — BeyondTrust Remote Support の脆弱性 CVE-2026-102764 を標的とする、新たな探索活動が確認されたことで、スパイ活動にとどまらず、攻撃が拡大するという懸念が高まっている。Previdian が報告したのは、米国と欧州に設置されたおとり用アプライアンスに対する2件の探索活動であり、いずれも香港に位置すると判定された同一の送信元 IP アドレスから実行されていた。同社は、これらの活動による悪用の成功を確認していない。そのため、広範囲にわたる大規模スキャンの可能性は警戒すべき兆候であるが、確認された事実ではない。
今回の調査結果により、脆弱性が存在するインターネット公開アプライアンスを運用する組織には、早急な対応が求められる。BeyondTrust は、この脆弱性 CVE-2026-102764 (CVSS 9.3) を Critical と評価している。必要なパッチが適用されていない、Remote Support バージョン 26.2.3 以前が影響を受ける。
Previdian が公開したレポートによると、リクエストは POST “/api/start_session” を標的とし、パラメータ “issue_menu=1&id=1&c2cjs=1&platform=thin” を含んでいる。この通信は、現在レビュー中の BeyondTrust 向け Metasploit モジュールと類似しているが、完全には一致していないと同社は強調している。
この類似性が示唆するのは、公開開発中のエクスプロイト手法を、攻撃者がインターネット公開システムに対して試行している可能性である。ただし、報告されたサンプル数は依然として少ない。
BeyondTrust の重大な脆弱性
同一の送信元から発信された 2件のリクエストだけでは、広範囲にわたる攻撃キャンペーンの存在／攻撃主体の特定／実際に動作するエクスプロイトが本番システムに到達したことの、いずれも証明できない。Previdian による、この活動に対する説明は、より広範な機会便乗型攻撃の初期兆候の可能性があるというものだ。
この脆弱性の原因は、受信メッセージの送信元を適切に検証していなかった、内部メッセージング・コンポーネントにある。
BeyondTrust によると、この脆弱性を悪用するリモート攻撃者は、影響を受けるアプライアンス上でファイル操作を実行する可能性がある。同社のセキュリティ・アドバイザリ BT26-05 には、影響を受けるバージョンとパッチ適用要件が記載されている。
Mandiant は、2026年8月下旬に確認された悪用の成功事例を、中国との関連が疑われるスパイ活動グループ ARMORY CASTLE (旧名称 UNC5221) に関連付けていた。これらの攻撃は、脆弱性の公開前に発生していたため、ゼロデイ攻撃に該当する。悪用に成功した攻撃者は、任意のファイルをアップロードできた。
以前にも Cyber Security News は、SAWFLY PHP Web シェルの設置や root 権限への昇格を含む BeyondTrust のゼロデイ脆弱性の悪用について報じていた。
中国のハッカーによる BeyondTrust の悪用に関するレポートでは、保存された認証情報や、侵害されたアプライアンスを通じて管理される、システムへのアクセス試行について詳しく説明している。これらの過去の侵害事例は、今回の探索活動で悪用の成功が確認されていなくても、警戒が必要である理由を示している。
セルフホスト環境の顧客は、BT26-05-RS を直ちに適用する必要がある。このパッチはバージョン 24.3.1 〜 26.2.3 までに対応している。それ以前のバージョンを使用している顧客は、先にアップグレードする必要がある。なお、ホスト型 Remote Support を利用する全顧客に対しては、2026年10月9日までにパッチを適用したと、BeyondTrust は述べている。
CISA が 10月16日に発表した警告 でも、この脆弱性が実際に悪用されていることが確認され、Known Exploited Vulnerabilities (KEV) カタログに追加されたことが記録されている。同機関は、外部からのアクセスを制限し、管理インターフェースへのアクセスを信頼できるネットワークのみに限定するよう勧告している。
パッチ適用と併せて、侵害の有無を調査する必要がある。CISA が推奨しているのは、不明な特権セッション／予期しないスクリプト／ログの欠落／不正なアカウント変更や権限変更の有無を確認することである。
侵害が疑われる組織は、アプライアンスを隔離し、フォレンジック証拠を保全する必要がある。復旧手順に含まれるのは、正常であることが確認された状態からの再構築／パッチ適用／アプライアンスが管理する認証情報の変更／サポートセッションの無効化／新規の多要素認証登録の確認である。これらの対策は、公開された脆弱性への対応だけではなく、攻撃者が以前に確保したアクセスへの対処も目的としている。
この記事は、リモート保守ツールである BeyondTrust Remote Support の欠陥が悪用確認済みとして CISA KEV カタログに登録された件と、その対策について解説するものです。内部メッセージ通信の検証不備による任意ファイル操作の可能性が背景に存在します。影響として、不正なスクリプトの配置／root 権限の取得／管理下システムへの侵入が生じる恐れがあります。対応策として、セキュリティパッチの緊急適用／管理画面へのアクセス制限／不審なセッションや不審ファイルの存在確認が求められます。
You must be logged in to post a comment.