BeyondTrust Remote Supportのゼロデイ脆弱性「CVE-2026-102764」、中国関連が疑われるAPTが悪用―内部端末へ横展開

米BeyondTrustは2026年10月15日、リモートサポート製品「Remote Support（旧Bomgar）」の重大な脆弱性「CVE-2026-102764」を公表しました。Google Threat Intelligence Group（GTIG）とMandiantの調査では、中国との関連が疑われるスパイ活動グループ「ARMORY CASTLE（旧UNC5221）」が、修正前の8月下旬からこの脆弱性をゼロデイとして悪用していたことが判明しています。

攻撃者はRemote Supportアプライアンスへ侵入した後、Webシェルを設置し、管理権限の奪取や認証情報の取得を試みたほか、正規のリモートサポート機能を悪用して内部端末へアクセスしました。BeyondTrustは修正パッチ「BT26-05-RS」を提供しており、セルフホスト型の利用企業に早急な適用を呼びかけています。

BeyondTrustのゼロデイ悪用に関するサマリー

• 対象製品は「BeyondTrust Remote Support」で、影響するのはバージョン26.2.3以前のすべてです。
• 脆弱性の識別番号は「CVE-2026-102764」、深刻度はCVSS v4.0で9.3（Critical）です。
• 内部メッセージの送信元検証が不十分で、攻撃者がアプライアンス上でファイル操作を実行できる可能性があります。
• GTIGとMandiantは、ARMORY CASTLEによる2026年8月下旬のゼロデイ悪用を確認しました。
• BeyondTrustによると、8月29日に同社ホスト型1台とセルフホスト型1台への悪用が発生しました。同社が10月16日更新の発表で把握している影響先は、この2顧客です。
• 攻撃後には「SAWFLY」Webシェルや「BARECLAW」トンネルツールが使われ、権限昇格、認証情報へのアクセス、ログの消去、内部端末へのアクセスが確認されました。
• 修正パッチは10月8日に提供され、BeyondTrustのRemote Support SaaS環境には10月9日までに適用されています。
• 米CISAは10月16日、この脆弱性を実際に悪用された脆弱性のリスト（KEV）に追加しました。

CVE-2026-102764の原因と修正対象

BeyondTrustのセキュリティアドバイザリ「BT26-05」によると、問題はRemote Supportの内部コンポーネントで受信メッセージの送信元を十分に検証していなかった点にあります。一定の条件下で外部の攻撃者がアプライアンスに対するファイル操作を実行でき、Mandiantは実際の侵害で任意ファイルのアップロードが起点になったと説明しています。

修正パッチ「BT26-05-RS」はバージョン24.3.1～26.2.3を対象に提供されています。それ以前のバージョンは、対応する新しいバージョンへアップグレードしたうえでパッチを適用する必要があります。自動更新を利用していないセルフホスト型の顧客は、管理画面から適用状況を確認し、未適用なら更新してください。

なお、BeyondTrustは「Privileged Remote Access（PRA）」にも共通のコードが含まれることから、予防措置として同製品向けにも修正を提供しました。ただし、同社の社内検証ではPRAで今回の脆弱性を悪用する方法は確認されておらず、Remote SupportとPRAを同一の「悪用確認製品」として扱うことは適切ではありません。

攻撃者は正規のリモート接続機能を悪用して内部端末へアクセス

GTIGとMandiantの10月15日付調査報告では、ARMORY CASTLEが侵入後、軽量なPHP Webシェル「SAWFLY」を設置し、アプライアンス上で操作を続けていたことが記録されています。攻撃者は権限昇格によってホストのroot権限を取得し、機器内に保存されている認証情報の抽出を試みました。また、再起動後も特権を維持できるよう設定を改変しています。

攻撃者は続いて侵害済みの管理者アカウントを使い、Remote Supportの管理画面にログインしました。接続対象端末を管理する「Jump Items」やチームの権限を管理者相当に変更し、アプライアンス経由で内部端末へリモート接続しています。調査では、正規のファイル転送機能を使い、ソフトウェア一覧など内部環境の把握に役立つ文書が端末から持ち出されたことも確認されました。

さらに、独自のトンネルツール「BARECLAW」によって通信を中継し、システム、Webサーバー、アプリケーションのログを削除して活動の痕跡を消そうとしていました。攻撃の影響はアプライアンス本体に限らず、そこからアクセス可能な端末や認証情報に及ぶ可能性があります。

8月に悪用、10月に修正を公開

BeyondTrustが公表した経緯は次のとおりです。

BeyondTrustは、発生時に検知機構が権限昇格のアラートを出していたにもかかわらず、外部の自動トリアージ機能が誤検知として処理していたことも明らかにしました。結果的に別系統の脅威ハンティングによって侵害が発見されています。同社は高重大度のアラートを自動判定だけで終了させない運用を勧めています。

Remote Support利用企業が確認すべき対応

BeyondTrustとMandiantは、セルフホスト型環境へのパッチ適用を最優先事項としています。ただし、今回のように侵害後に特権の維持や認証情報へのアクセスが行われた場合、パッチの適用だけで過去の侵害が解消されるわけではありません。

対応にあたっては、以下を確認します。

1. 稼働バージョンとパッチの確認：Remote Supportの各インスタンスでBT26-05-RSの適用状況を確認する。古いバージョンはアップグレードしてからパッチを適用する。
2. 侵害痕跡の調査：少なくとも8月下旬以降の管理者ログイン、Jump Item権限の変更、ファイル転送、想定外のスクリプト設置、ログ転送の中断などを調べる。
3. 外部ログの保全：機器内のログが消去されている可能性を考慮し、SIEM、リバースプロキシ、WAF、ファイアウォールに保管した記録を照合する。侵害が疑われる場合は、再起動や再構築の前に証拠保全と封じ込めを計画する。
4. 認証情報と権限の見直し：侵害が確認された場合は、アプライアンスが保管・中継した資格情報を影響範囲に含める。安全な状態へ復旧した後で認証情報を更新し、管理者、API、リモート接続の権限変更を点検する。
5. 侵害機器の再構築：ホストレベルの永続化が疑われる機器については、完全に修正したクリーンなイメージからの再構築を検討する。単純な設定初期化では攻撃者の改変が残る可能性があります。

今回の事案では、リモート管理装置が複数の内部端末へ接続できるという製品本来の機能が、侵害後の横展開にも利用されました。資産を一覧化し、実際の悪用状況と業務上の影響を踏まえて修正の優先順位を決める考え方は、脆弱性管理の運用と優先順位付けでも整理しています。

出典

• BT26-05：CVE-2026-102764セキュリティアドバイザリ – BeyondTrust
• ARMORY CASTLE and BT26-05: What Security Teams Need to Know – BeyondTrust
• ARMORY CASTLE Exploits BeyondTrust – Google Threat Intelligence Group / Mandiant
• CISA Urges Patching Critical Vulnerability in BeyondTrust Remote Support – CISA
• Known Exploited Vulnerabilities Catalog – CISA

関連記事

SonicWall、偽装されたNetExtenderアプリによる情報窃取キャンペーンを警告 九州電力送配電、最大1,090万口分の顧客の個人情報入り外部記憶媒体を紛失-需要者名・住所・使用電力量データなど保存 I-SOON 中国政府へサイバー攻撃 ツールを提供していた企業から内部リーク AI コーディング エージェント 10種に共通する構造的欠陥 GuardFall-数十年前のBashの欠陥がガードレールを回避 アサヒ グループホールディングス、サイバー攻撃で11万超の個人情報漏洩-再発防止策を発表 ChromeとEdgeのTikTok 動画 ダウンロード 拡張機能でサイバー攻撃 キャンペーン Google広告経由でClaude Codeの偽インストールページを配布-新たなマルバタイジング攻撃 pixivFANBOX、事務局を装うなりすましコメントで偽サイト誘導 フィッシング詐欺に注意喚起 パロアルトネットワークス、PAN-OSのAdvanced DNS SecurityにDoS脆弱性（CVE-2026-0229）

投稿者：三村

セキュリティ製品を手がける上場企業にて、SOC（セキュリティオペレーションセンター）運営およびWebアプリケーション脆弱性診断の営業に8年間従事。その後、システムエンジニアへ転身し、MDMや人事系SaaSの開発に携わる。
8年の実務経験と開発者としての知見を活かし、「セキュリティ対策Lab」ではダークウェブ調査、セキュリティインシデントの分析、および高度なセキュリティ対策解説の執筆・編集を統括しています。
LinkedIn(外部サイト)