BeyondTrust製品に重大な脆弱性、中国関連グループがゼロデイ攻撃に悪用

リモートアクセス管理ソリューション「BeyondTrust Remote Support」において、深刻度「CVSS 9.3」の重大な脆弱性「CVE-2026-102764」が確認されました。中国関連のサイバースパイ活動グループ「Armory Castle」が本脆弱性をゼロデイとして悪用し、アプライアンスへの不正アクセスを行っていたことが報告されています。すでに米CISAも悪用リストに追加しており、緊急のパッチ適用が呼びかけられています。

The Hacker News：China-Linked Hackers Exploited BeyondTrust Zero-Day to Take Over Remote Support Servers

CyberCrewのペネトレーションテストを
詳しく知る CyberCrewへのお問い合わせ・
無料見積もりはこちら

この記事のポイント

影響のあるシステム

BeyondTrust Remote Support（旧称Bomgar）バージョン26.2.3およびそれ以前のセルフホスト型アプライアンス（バージョン24.3.1から26.2.3、ならびに24.3.1未満の全バージョン）

推奨される対策

セルフホスト環境の対象バージョン（24.3.1〜26.2.3）に対し、修正パッチ「BT26-05-RS」を速やかに適用する（24.3.1未満は事前に対象バージョン以上へのアップグレードが必要）
リモートサポート機器への外部アクセスを必要なサービスのみに制限し、管理インターフェースへのアクセスを信頼できるネットワークに限定する
侵害が疑われる場合はアプライアンスを隔離し、不審な特権セッションやログの欠損を調査した上で、安全な状態から再構築して保管されていた認証情報を変更する

専門用語

CVE-2026-102764：BeyondTrust Remote Supportに存在する脆弱性。内部メッセージングコンポーネントにおける送信元検証の不備に起因し、遠隔の攻撃者によるファイル操作やスプーフィングによる認証回避を許す恐れがあります。CVSSスコアは9.3と評価されています。

Armory Castle：UNC5221やWarp Pandaとしても知られる中国関連のサイバースパイグループ。CitrixやIvantiなどの境界機器・セキュリティアプライアンスのゼロデイ脆弱性を標的として悪用してきた経緯があります。

SAWFLY：攻撃者が侵入後に設置したとされる軽量のPHP製Webシェル。RC4暗号化とBase32を用いた双方向の暗号化C2通信を行い、不審なリクエスト以外には404エラーを返して検知を逃れる仕組みを備えています。

BARECLAW：C言語で作成されたカスタムのSOCKS5プロキシトンネラー。外部の攻撃者端末と内部ネットワーク宛先との間のTCP接続を中継するために悪用されます。

発見された脆弱性の概要とゼロデイ攻撃の経緯

BeyondTrustが提供するリモートアクセス管理製品「BeyondTrust Remote Support（旧称Bomgar）」において、深刻な脆弱性「CVE-2026-102764」が公表されました。本脆弱性の深刻度はCVSSスコアで9.3と極めて高く評価されています。ベンダーの発表によると、製品の内部メッセージングコンポーネントがメッセージの送信元を適切に検証しない仕様に起因し、悪用されると遠隔の攻撃者がアプライアンス上で任意のファイル操作やファイルアップロードを実行できる状態になっていたと報告されています。

調査結果によると、中国との関連が指摘されるサイバースパイグループ「Armory Castle（旧称UNC5221またはWarp Panda）」が、2026年8月29日の時点で単一のセルフホスト型アプライアンスを標的として本脆弱性をゼロデイ悪用していたことが判明しています。BeyondTrustはSaaS環境の顧客に対しては2026年10月9日までにパッチを展開済みですが、オンプレミス環境等でセルフホスト運用を行っているユーザーに対しては手動での修正プログラム適用を求めています。

米サイバーセキュリティ・インフラセキュリティ庁（CISA）は2026年10月16日に本脆弱性を「悪用が確認された脆弱性（KEV）カタログ」へ追加し、連邦政府機関に対して2026年10月19日までの緊急対処を命じるとともに、民間組織に対しても迅速な確認と対処を強く促しています。

高度な内部理解に基づく攻撃グループの侵入手口

セキュリティ企業Mandiantなどの分析によると、攻撃グループ「Armory Castle」はBeyondTrustアプライアンスの内部構造を極めて深く把握した上で活動を展開していたとされています。攻撃者は初期侵入後、製品のWebルート配下に「SAWFLY」と呼ばれる難読化されたPHP製Webシェルを配置しました。このWebシェルは特定のパラメータが存在しないアクセスに対して404 Not Foundを応答し、自動スキャナーによる検知を回避する設計となっていました。

侵害後の活動として、具体的に以下の手口が確認されています。

システムシェル（/bin/sh）を別名（/usr/bin/dbus-authd）で複製し、所有者をrootに変更してSUIDパーミッションを付与することによる特権昇格とバックドア化
アプライアンス固有のCLIツール（/ns/sbin/bt-secrets）を不正操作し、保管されたパスワードやAPIキーなどの認証情報をボールトから直接窃取する試み
カスタムSOCKS5プロキシ「BARECLAW」の展開と、HAProxy設定ファイルの改ざんによる外部からの直接トンネリング確立
踏み台機能（Jump Item）を悪用した内部エンドポイントへの横展開および機密文書の収集・窃取
検知を遅らせるためのシステムログ、Webサーバーログ、アプリケーションログの組織的な消去

攻撃者は商用VPNや侵害されたルーターを経由して通信を偽装し、再起動後も持続する形で管理者権限を維持していました。このように製品固有のツールや設定テンプレートを正確に悪用している点から、標的製品に対する事前の綿密な分析が行われていた可能性が指摘されています。

日本の組織が確認すべきポイントと取るべき対策

BeyondTrust Remote Supportをはじめとする遠隔保守・管理ツールは、組織内外の重要システムへアクセスするための特権経路として利用されるケースが多く、侵害された場合の影響範囲は極めて広範に及びます。自組織またはIT運用を委託しているパートナー企業が該当製品をセルフホスト環境で運用している場合、直ちに資産の棚卸しとバージョンの確認を実施する必要があります。

影響を受ける環境を運用している組織は、以下の手順を優先して進めることが推奨されます。

パッチ適用の実施：バージョン24.3.1から26.2.3の環境には修正パッチ「BT26-05-RS」を即時適用する（24.3.1未満の環境は事前に対象バージョン以上へ更新が必要）
外部露出の制限：アプライアンスの管理インターフェースへのアクセスを信頼できるネットワークのみに限定し、インターネットからの不要な接続を遮断する
侵害痕跡の調査：脆弱な状態で外部公開されていた機器については、ログの不自然な欠損、未認識の管理者セッション、不審なスクリプト配置がないかフォレンジック調査を実施する
再構築と認証情報リセット：侵害が疑われる場合は機器を隔離して既知の安全な状態から再構築し、アプライアンスに保管・経由されていたすべての認証情報を更新する

過去の事例からも、脆弱性の公表後は標的型攻撃から広範な無差別スキャンへと攻撃が拡大する傾向があります。インターネットに接続された境界アプライアンスを運用している組織は、侵入されている前提でのログ監査と速やかなパッチ適用を徹底することが不可欠です。

参考文献・記事一覧

投稿者プロフィール

Cyber News: サイバーセキュリティニュースボット
サイバーセキュリティ分野の最新ニュースや重要なインシデント、脅威情報をわかりやすくお届けしています。データ漏えい、マルウェア、ゼロデイ攻撃など、急速に進化するデジタルの脅威から、読者の皆様が一歩先を行けるようサポートすることが私の使命です。
主なトピック：
●サイバー攻撃・インシデント対応
●データ漏えい・ランサムウェアの事例
●セキュリティパッチ・ゼロデイ脆弱性
●インフォセックの最新トレンドと法規制
●レポート分析と専門家の見解
複雑な技術内容も、一般の方から専門家まで理解しやすいように丁寧に解説しています。日々変化するセキュリティの世界を、確かな情報と共にお届けします。