【緊急】BeyondTrust Remote Support CVE-2026-102764：BT26-05-RSパッチを適用（CVSS v4.0 9.3）— 8月下旬から悪用、自社運用の機器は侵害されたものとして調べる

リモートサポート製品「BeyondTrust Remote Support」に、攻撃者が認証なしで、機器上のファイルを操作できる脆弱性が見つかりました。CVE-2026-102764です。NVDには2026年10月15日に登録され、CISAは10月16日にKEV（悪用が確認された脆弱性のカタログ）へ追加しました。カナダのサイバーセキュリティセンターも「悪用されている」と注意喚起しています。

自社で運用している（セルフホストの）機器は、パッチ「BT26-05-RS」を適用してください。そして、パッチを当てるだけで終わらせず、侵害されていないかを調べてください。Mandiantの報告では悪用は8月下旬から始まっており、パッチが出る前に攻撃を受けた機器がありえます。

SaaS版（Remote Support）は、メーカーが10月9日までに全テナントへパッチを適用済みです（Mandiant／GTIG、カナダ サイバーセキュリティセンター）。機器そのものについて利用者の作業は不要ですが、Mandiantは「資格情報と設定に関する手順（本記事の対策欄）は引き続き当てはまる」と書いています。SaaS側で何をすべきかは、メーカーの案内で確認してください。

このスコアの出どころを明記します。9.3は採番元のBeyondTrustが付けたCVSS v4.0の値で、ベクタは `CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N`（ネットワーク経由・特別な権限不要・ユーザー操作不要）です。NVD（NIST）はCVSS v3.1で9.8（CRITICAL）を付けています。v3.1とv4.0で数字が違うのは版が違うためです。この記事はメーカーの値（v4.0 9.3）を表に採り、NISTの値を併記します。弱点の種類はCWE-290（なりすましによる認証の回避）で、CISAのKEVでは「Authentication Bypass by Spoofing（なりすましによる認証回避）」と呼ばれています。

今すぐ行う対策

• ✓SaaS版かセルフホスト版かを確認する。SaaS版は10月9日までにメーカーが適用済みで、機器そのものについての作業は不要です（ただし上の通り、資格情報と設定の手順は当てはまりうる。必要ならメーカーのサポートへフォレンジック保全を依頼できる、とMandiantは書いています）。自社のサーバーなどで動かしているセルフホスト版は、利用者自身の作業が必要です
• ✓セルフホスト版は、パッチ「BT26-05-RS」を適用する。対象はバージョン24.3.1〜26.2.3です。24.3.1より古い版は、先にサポート中の版へアップグレードしてからパッチを当てます（カナダ サイバーセキュリティセンター）
• ✓自動更新が有効か確認する。無効なら手動でパッチを当てる必要があります。メーカーの手順は、機器の管理画面や公式アドバイザリ（BT26-05）で確認してください
• ✓脆弱だった期間にインターネットから届いていた機器は、侵害されたものとして調べる。カナダ サイバーセキュリティセンターは、機器上に予期しない、または許可していないファイル操作の形跡がないか確認するよう求めています。Mandiantも、パッチを当てても以前の侵害は解消されないと書いています
• ✓証拠を残してから作業する。Mandiantは、攻撃者が機器上のログを消すため、仮想アプライアンスのスナップショット（メモリ込み）やディスクの書き出し、外部に転送していたsyslog・リバースプロキシ／WAF・ファイアウォールのログを、脆弱だった期間の全体にわたって集めるよう勧めています
• ✓侵害が疑われたら、きれいなイメージから作り直す。Mandiantは、最新パッチ済みの新しいイメージに入れ直し、TLS証明書を発行し直し、脆弱だった期間より前の設定バックアップだけを戻すよう勧めています。資格情報の入れ替えは、パッチ適用または再構築の後に行います（先に入れ替えると、機器をまだ攻撃者が握っている場合、新しい資格情報も渡してしまうため）。管理者、APIの秘密情報、SAML署名鍵、連携先の資格情報などを、依存関係の順に入れ替えます
• ✓接続先のシステムも確認する。リモートサポート機器は、保管・仲介している資格情報で他のシステムへ入れます。管理者アカウントでの不審なセッションや、権限が上げられたユーザー・Jump Itemがないかを見ます。どれが自社の機器か分からない場合は、まず台帳を作る（カナダ サイバーセキュリティセンターも、SaaSかセルフホストかを分けて洗い出すよう勧めています）

何が起きるのか

• ▸場所と種類：NVDの説明では、Remote Supportの内部コンポーネントが、受け取ったメッセージの出どころを十分に検証していません。条件がそろうと、攻撃者が機器上でファイル操作を行えます
• ▸認証：CVSSは `PR:N`（権限不要）・`UI:N`（ユーザー操作不要）です。CISAは「リモートの攻撃者が機器上でファイル操作を行える」と書いています
• ▸悪用の状況：CISAがKEVに追加し、NVDに記録されたCISAの評価（SSVC）は、悪用が「active」、自動化が「yes」、技術的影響が「total（全面的）」です
• ▸ランサムウェアでの使用：KEVの欄は「Unknown（不明）」です

Mandiant／GTIGが報告している攻撃の様子

この節は、Google Cloud（Mandiant／Google Threat Intelligence Group）が公開した調査報告に基づきます。BeyondTrustの公式ページは自動取得できなかった（アクセス制限）ため、メーカーの原文は開いていません。報告の中身は、メーカーのブログからも案内されています。

• ▸悪用の開始：2026年8月下旬に、Mandiantがゼロデイ攻撃を観測。正確な日付は報告に書かれていません。ゼロデイとは、修正版が出る前に攻撃が始まっていた状態です
• ▸攻撃者：「中国と関係が疑われるスパイ活動の攻撃者ARMORY CASTLE（旧UNC5221）」と報告されています。「疑われる」という表現であり、断定ではありません
• ▸攻撃後の動き（報告より）：Webシェル（SAWFLY）の設置 → 権限をrootへ引き上げ → 保管されていた資格情報の取り出し → 再起動や設定リセットでも消えない常駐の仕込み → ログの削除 → 管理者の資格情報で管理画面へ入り、他の端末へのリモートサポートセッションを開始、ファイルを持ち出し、さらに通信を中継するトンネル型ツール（BARECLAW）の稼働
• ▸公開されている侵害の痕跡（IoC）：不審なWebシェルのファイル名 `mangoapi.php`（SHA-256 `dc14e215269a93fdbc4c1a80b984c23faf7af0911c6dbb85309796a6f2ae95fb`）、トンネルツール `ingredi_ws`（SHA-256 `1f19b9a27d79c11bda00a1e8faf74a7fdd683d38ccef1b60df2fd0307e3aa462`）、`/usr/bin/dbus-authd` のSUID付きコピー、`post_boot.d` 配下の `zz-root-persist`。追加のIoCとYARAルールは報告本体にあります。見つからなくても、攻撃者が痕跡を消している可能性があり、侵害されていない証拠にはなりません
• ▸Privileged Remote Access（PRA）：同じコードを共有しているため、メーカーはPRAにもパッチを出したと、BleepingComputerが報じています。ただしNVDの影響製品に載っているのはRemote Supportだけです。PRAをセルフホストしている場合は、メーカーのアドバイザリで自分の製品の扱いを確認してください

何が起きたか（日付つき）

• ▸8月下旬〜：Mandiantが、ゼロデイ攻撃を観測（Mandiant／GTIG）
• ▸10月8日：メーカーがSaaSへのパッチ適用を行ったと、BleepingComputerが報じています
• ▸10月9日：メーカーが、SaaSの全テナントへの適用が完了したと説明（Mandiant／GTIG、カナダ サイバーセキュリティセンター）
• ▸10月15日：BeyondTrustが脆弱性を公表。NVDにCVE-2026-102764が登録されました
• ▸10月16日：CISAがKEVに追加。NVDに記録された連邦機関の対応期限は10月19日（今日）です。米国の連邦機関に課された期限で、日本の組織を拘束しませんが、急がれている度合いの目安にはなります。同日、カナダ サイバーセキュリティセンターが注意喚起AL26-025を公開。Mandiant／GTIGの調査報告も10月15〜16日ごろに公開されています

確認できなかったこと

• ▸メーカーの公式アドバイザリ（BT26-05）の原文。自動取得が403で拒否されたため、パッチ名・対象範囲は、NVD・カナダ サイバーセキュリティセンター・Mandiant／GTIGの記述で確認しました
• ▸IoCの全体。この記事に載せたのは報告の一部です。追加のIoCは、報告の中でGTI Collection（VirusTotal）として案内されており、登録ユーザー向けです。被害ごとに痕跡は変わりうるため、載せた指標が見つからないことは安全の証明になりません
• ▸攻撃者の属性。Mandiantの「疑われる」という評価で、他社の評価（報道では別名の追跡名もある）との突き合わせはしていません
• ▸PRAの影響範囲。上の通り、NVDの影響製品はRemote Supportのみです

共有するならこの3行

• ▸リモートサポート製品BeyondTrust Remote Support（26.2.3以前）に、認証なしで機器のファイルを操作される脆弱性（CVE-2026-102764・CVSS v4.0 9.3）。8月下旬から悪用が報じられ、10月16日にCISAもKEVに追加した
• ▸★セルフホスト版は、パッチ「BT26-05-RS」を適用する（24.3.1より古い版は先にアップグレード）。SaaS版は10月9日までにメーカー側で適用済み（資格情報と設定の手順は当てはまりうる）
• ▸パッチを当てても、それ以前に侵害されていた可能性は残る。インターネットから届いていた機器は、証拠（スナップショット・ログ）を残したうえで調べ、侵害が疑われたら作り直す。資格情報の入れ替えはパッチ／再構築の後