Googleは2026年10月15日、BeyondTrust Remote Supportのアプライアンスを狙った攻撃を報告しました。同日に公開された脆弱性CVE-2026-102764について、Mandiantは2026年8月下旬の悪用の証拠を確認しています。Googleは、BeyondTrustが提供する修正パッチを直ちに適用するよう推奨しています。
公開前から悪用、任意のファイルをアップロード
対象はBeyondTrust Remote Supportのアプライアンスです。Googleによると、この脆弱性を悪用すると任意のファイルをアップロードできます。Mandiantが確認したのは、脆弱性が公開される前に攻撃する「ゼロデイ悪用」です。
Mandiantは攻撃主体をARMORY CASTLEと特定しました。Googleは、中国との関連が疑われるスパイ活動主体と説明しています。旧称はUNC5221です。Googleは、脆弱性の公開後に広範な悪用が起きることに備えるよう、組織に呼び掛けています。
対象バージョンや、管理画面で修正状況を確認する具体的な操作手順は発表には書かれていません。修正パッチの日本での提供は発表には書かれていません。
再起動や設定リセットだけでは消えない裏口も
今回の報告で重要なのは、侵入の入口だけでなく、侵入後の活動も確認されている点です。Mandiantは、侵害後の足場確保、権限を引き上げる行為、別の機器へ侵入を広げるための活動を確認しました。
攻撃には、新たな独自マルウェアのSAWFLYとBARECLAWが使われていました。SAWFLYは、外部から操作するために置かれるPHP製のウェブシェルです。暗号化通信を使い、特定のパラメーターがない要求には404を返します。BARECLAWでは、侵害した機器を経由する通信のトンネル化が確認されています。
また、攻撃者はSUIDという権限の仕組みを利用し、強い管理権限であるroot権限の裏口を設けていました。パスワードなしでroot権限を維持する起動スクリプトも確認されています。この仕組みは再起動や設定リセット後も残るため、それらの操作だけで侵害が解消したとは判断できません。
管理面では、侵害した管理者認証情報による管理ポータルへのログインや、侵害アカウントのJump ItemsとTeamの権限引き上げが確認されました。標準管理CLIというコマンド操作機能を悪用した認証情報保管庫の抽出試行や、標準ファイル転送機能を使ったソフトウェア一覧などの内部文書の窃取も報告されています。
さらに、システム、ウェブサーバー、アプリのログ削除も確認されています。記録が見つからないことだけを根拠に、侵害がなかったと結論付けない点が重要です。
影響する会社・しない会社
- 影響する: BeyondTrust Remote Supportのアプライアンスを利用している会社です。まず対象バージョンと修正状況を確認する必要があります。具体的な対象バージョンは発表には書かれていません。
- 影響する: 対象アプライアンスの管理を外部に委託している会社です。委託先に更新状況だけでなく、管理者権限や侵害の有無の確認結果を求めることが実務上の確認点になります。
- 影響しない: 対象アプライアンスを利用していない会社は、この機器へのパッチ適用の対象ではありません。ただし、今回の報告だけでBeyondTrustの他製品の安全性まで判断することはできません。
情シスが今日やること
- 今日、利用の有無と管理担当を確認する。 IT資産台帳や保守契約でBeyondTrust Remote Supportのアプライアンスを探し、機器の管理者または委託先を特定します。担当者には、バージョンとパッチ適用状況を確認してもらいます。
- 修正パッチの適用を直ちに手配する。 Googleの推奨は即時適用です。管理担当者にBeyondTrustの修正情報との照合を依頼し、未適用なら作業を手配します。適用できない場合は、理由と対応予定を社内のセキュリティ責任者へ共有します。
- 管理ポータルのアカウントと権限を点検する。 管理者のログイン状況と、Jump Items、Teamに関する権限を確認対象にします。意図しない変更がないか、運用担当者や委託先の作業記録と照合してください。具体的なメニュー階層は発表には書かれていません。
- 更新とは別に、侵害の有無を調べる。 セキュリティ担当者へ、起動スクリプト、root権限の裏口、ファイル転送、ログ削除の確認を依頼します。調査対象には悪用の証拠がある2026年8月下旬も含め、取得できる記録を保全します。不審な点があれば、修正完了だけで対応を終えず、社内のインシデント対応責任者へ報告してください。
