BeyondTrustの脆弱性CVE-2026-102764｜Remote Supportで悪用確認、パッチと侵害の確認

CVE-2026-102764を悪用されると、遠隔の攻撃者に、Remote Supportの機器（アプライアンス）上でファイルを操作されるおそれがあります。Remote Supportの内部の部品が、受け取ったメッセージの送り元を十分に確かめていないことが原因で、条件がそろうとファイルの操作に使われます。BeyondTrustは2026年10月15日（米国の日付）に勧告BT26-05で公表し、CVSS v4の基本値を9.3（緊急）としています。[1][4]

米CISAはこの脆弱性を、緊急の認証の回避の脆弱性と説明しています。[2]Mandiantは、認証なしで機器上のファイルを操作でき、機器のroot権限の掌握と、機器が保存・中継するすべての認証情報への到達につながりうるとしています。[5]

対象は、Remote Supportの26.2.3以前のすべての版です。BeyondTrustの勧告とCVEの記録が対象に挙げている製品は、Remote Supportだけです。[1][4]

BeyondTrustのクラウドで動くRemote Support（SaaS）には、2026年10月9日にすべてパッチが当てられています。パッチの作業が要るのは、自社で設置した機器です。[1][2][5]

米CISAは2026年10月16日（米国の日付）、CVE-2026-102764をKEVへ追加し、同じ日に修正を促す告知を出しました。攻撃者はこの脆弱性を最初の侵入に使い、その後、居座り、権限の昇格、横への広がりを行っています。[2][3]

KEVでは、米国の連邦機関への対応期限を2026年10月19日とし、侵害の調査（Forensic Triage）の対象としています。ランサムウェアでの利用は不明としています。[3]

Mandiantは、インシデント対応の中で、中国とのつながりが疑われる攻撃者ARMORY CASTLE（旧称UNC5221）が、2026年8月下旬にこの脆弱性をゼロデイとして悪用していた証拠を見つけました。攻撃者はWebシェルを置いてroot権限を取り、機器の認証情報の保管庫を抜き出そうとし、機器のログを消していました。Mandiantは、公表の後に広い範囲で悪用される可能性があるとしています。[5]

JPCERT/CCの注意喚起の一覧には、2026年11月2日の時点でこの件はありません。

米CISAは、Remote Supportの機器に外から届く範囲を、利用者や顧客の支援に要るサービスだけに絞り、管理画面への接続は信頼できるネットワークに限るよう求めています。[2]Mandiantは、管理画面（/login と /appliance）への接続をIPアドレスかネットワークで絞り、インターネットから届くのはサポート担当者のコンソール、顧客向けの窓口、Jump Clientの通信だけにするよう勧めています。[5]

まず、自社で設置したRemote Supportの機器がどこにあるか（社内、データセンター、クラウド上の仮想アプライアンス）と、どの名前・IPアドレスで外から見えているかを一覧にします。保守を委託している機器も含めます。Mandiantは、対象の版のままインターネットから届いていた機器は、調べ終わるまで侵害されたものとして扱うよう求めています。[5]

米CISAは、自社で設置した対象の機器について、ネットワークとメモリの調査で侵害の痕跡を調べるよう求めています。調べる点として、次の4つを挙げています。[2]

1. 心当たりのない特権・管理者のセッション
2. 心当たりのないスクリプトのファイル
3. ログやログの転送の、思いがけない途切れ
4. 許可していないアカウント・権限・セッションの方針の変更

Mandiantは、利用者は機器のファイルシステムを直接調べられず、攻撃者は機器の上のログを消していたとしています。そのため、機器の外に残る記録で調べるよう勧めています。[5]

1. /login の設定を、悪用の期間より前の状態と比べる。特に、Jump Itemの役割が「No Access」から「Administrator」に上げられた利用者（syslogの user_changed）、心当たりのない利用者・APIアカウント・セキュリティプロバイダー、送り先が変わったsyslog・外部へのイベント通知
2. リバースプロキシ・WAFの記録で、Remote Supportで使わない経路への要求（見知らぬ .php、Mandiantが観測した /app_84304470%2Ephp や /uidchanarge）と、想定外の相手からのWebSocketへの切り替え
3. /login への、家庭用回線や商用VPNのアドレスからのログイン、業務時間外の管理者のログイン
4. サポートのセッションの記録で、期間中のファイル転送と、どの端末に入られたか
5. 機器から送るsyslogの途切れ

侵害が疑われるときの対応を、米CISAは次の順で示しています。[2]

1. 疑わしい機器を切り離す。仮想アプライアンスはスナップショット、物理の機器はフォレンジック用のイメージを取る。機器のsyslogとセッションの記録をすぐにSIEMへ送り、WAF・リバースプロキシ・境界のファイアウォールのログも、外から見えていた期間の分を集める
2. ネットワークとフォレンジックの調査で、侵害の証拠と上の点を調べる
3. 問題の無い状態から作り直してBT26-05-RSパッチを当てる。そのうえで、機器が保存・入力したすべての認証情報を変え、有効なサポートのセッションをすべて取り消し、特権アカウントに新しく登録された多要素認証を見直す

Mandiantは、物理の機器（B Series）とSaaSの証拠の保全はBeyondTrustのサポートに頼むこと、認証情報の入れ替えはパッチか作り直しの後に行うこと、入れ替えた後にJump Client・Jumpoint・担当者のコンソールを配り直すことも挙げています。[5]

対象は26.2.3以前のすべての版で、修正はBT26-05-RSパッチです。パッチは24.3.1〜26.2.3に当てられ、24.3.1より前の版は、先に新しい版へ上げてからパッチを当てます。[1][2]

1. 版を確かめます。Remote Supportの管理画面（サイトのURLの後ろに /login）にログインし、左のメニューの［Status］を開くと、［Product Version］に版、［Installed patches］に入っているパッチが出ます。[6]
2. 機器の管理画面（サイトのURLの後ろに /appliance）の［Updates］→［Installed Patches］で、入っているパッチの名前・版・入れた日時を確かめます。[7]自動更新に登録している機器も、BT26-05-RSパッチが当たったかをここで確かめます。[5]
3. 当たっていなければ、/appliance の［Updates］で［Check for updates］を押し、出てきたパッケージの［Install This Update］で入れます。機器がインターネットにつながらない場合は、［Appliance Download Key］で鍵を作り、別の端末からBeyondTrustの更新サーバーで更新を取得して、［Manual Installation］から入れます。入れている間、ログイン中の担当者のセッションは一時的に切れます。[8]
4. /appliance にパッチが出てこないときは、BT26-05を挙げてBeyondTrustのサポートに問い合わせます。[5]
5. 24.3.1より前の版は、先に新しい版へ上げてからパッチを当てます。[1][2]

一般の自動更新は既定で無効です。[8]

保守の会社に頼むときは、CVE-2026-102764とBeyondTrustの勧告BT26-05の番号、いまの版（24.3.1より前かどうか）、自動更新に登録しているかを伝えます。あわせて、上の確認点で侵害の痕跡を調べてもらいます。

BeyondTrustの勧告には、パッチの代わりになる回避策は書かれていません。[1]

米CISAは、パッチとあわせて、機器に外から届く範囲を利用者や顧客の支援に要るサービスだけに絞り、管理画面への接続を信頼できるネットワークに限るよう求めています。[2]