BeyondTrustに悪用済みの脆弱性、自己ホスト型は手動修正が必要

Center for Internet Security(CIS)は2026年10月19日、BeyondTrust Remote Supportに任意のファイルをアップロードされる脆弱性があると公表しました。対象は26.2.3以下の全バージョンで、すでに悪用の証拠が確認されています。SaaS版は修正済みですが、自社などでシステムを運用する自己ホスト型は、提供されたパッチを手動で適用する必要があります。

対象は26.2.3以下、ファイル操作につながる恐れ

脆弱性の識別番号はCVE-2026-102764です。CISによると、内部コンポーネントで、受信したメッセージの送信元を確かめる処理が不十分でした。条件がそろうと、遠隔の攻撃者が対象機器のファイルを操作する恐れがあります。

今回の発表には、攻撃が成立する条件の詳細は書かれていません。特定の設定でなければ安全だと判断せず、まず製品名と導入バージョンで対象を確認する必要があります。

BeyondTrustによると、SaaS版には修正を適用済みです。一方、自己ホスト型では同社提供のパッチを手動適用する必要があります。CISは、適切なテストを行ったうえで、対象システムへ更新を直ちに適用するよう勧告しています。修正後のバージョン番号や具体的な管理画面の操作手順は、今回の発表には書かれていません。日本での提供は発表には書かれていません。

修正だけでなく、過去の侵害の確認も

Mandiantは、修正前の脆弱性を狙うゼロデイ攻撃について、2026年8月下旬の悪用の証拠を確認しました。同社によると、悪用したのは中国との関連が疑われるARMORY CASTLEです。

Mandiantは、悪用後に侵入先への足場を確保し、権限を引き上げ、ほかのシステムへ侵入を広げるための活動も観測しています。CISAも2026年10月16日、この脆弱性を既知の悪用脆弱性カタログに追加しました。

このため、対応を「パッチを適用したか」だけで終わらせないことが重要です。更新は今後の悪用への対策ですが、過去に侵害があったかどうかは別に確認する必要があります。なお、この情報だけで、すべての利用企業に侵害があったとは判断できません。

影響する会社・しない会社

• 影響する: BeyondTrust Remote Supportの26.2.3以下を自己ホスト型で運用する会社です。提供パッチの手動適用が必要なため、社内担当者または運用委託先による作業確認が必要です。
• 影響する: 対象製品を利用する大・中規模企業について、CISはリスクを「高」と評価しています。小規模企業も「中」であり、規模が小さいことを理由に対象から外すことはできません。
• 影響しない: SaaS版では修正を適用済みとされています。ただし、修正済みであることは、過去に侵害がなかったことを示すものではありません。
• 影響しない: BeyondTrust Remote Supportを利用していない会社は、今回示された対象製品には該当しません。ほかのBeyondTrust製品への影響は発表には書かれていません。

情シスが今日やること

1. 今日、IT資産台帳と運用契約を確認し、BeyondTrust Remote Supportの有無、SaaS版か自己ホスト型か、導入バージョン、運用担当者を一覧にします。版の確認に使う管理画面の場所は発表にはないため、不明なら運用担当者や委託先へ確認を依頼します。
2. 自己ホスト型で26.2.3以下なら、今日中に運用担当者へパッチの入手状況、テスト予定、適用予定の回答を求めます。CISの勧告は、適切なテスト後の即時適用です。通常の更新日まで待つ前提にせず、対応日程を決めます。
3. セキュリティ担当者や運用委託先に、識別番号と2026年8月下旬の悪用情報を共有します。過去の侵害有無について調査を依頼し、確認に使える記録と調査範囲を相談します。具体的な侵害の痕跡やログの確認場所は、発表には書かれていません。
4. 対応の完了時には、パッチ適用の記録と侵害調査の状況を分けて責任者へ報告します。SaaS版でも、修正済みという情報だけで過去の侵害確認まで完了扱いにしないよう、担当者間で確認範囲をそろえます。