BeyondTrustの顧客が抱える問題は、パッチ適用だけではない。Mandiantによると、中国とつながりがあるとみられる諜報グループが、Remote Supportの重大な脆弱性をゼロデイとして悪用し、ルートアクセスを取得したほか、保存された認証情報の窃取を試み、下流システムにもアクセスした。
Googleは、ARMORY CASTLEが8月下旬にCVE-2026-102764を悪用し、現在では脆弱性が公になったため、攻撃が拡大する可能性があると警告した。BeyondTrustはこの脆弱性を深刻度9.3の重大と評価し、Remote Supportのバージョン26.2.3以前が影響を受けるとしている。SaaS顧客には10月9日までにパッチが適用されたが、自己ホスト型の顧客はBT26-05-RSがインストールされていることを確認する必要がある。
中国系ハッカー、リモートサポートをルートアクセスに悪用
Reutersは、GoogleとMandiantが8月の悪用を、疑いのある中国系の脅威グループであるARMORY CASTLEと結び付けたと報じた。攻撃者は悪用に成功すると、認証情報へのアクセスや任意のファイルのアップロードが可能になり、影響を受けたホストを制御できる状態になった。
The Hacker NewsはMandiantの情報として、攻撃者がSAWFLY PHPウェブシェルを展開し、権限をルートまで昇格させたと報じた。また、BeyondTrustのネイティブなシークレットデータベースから認証情報を窃取しようとしたほか、下流システムにアクセスできるようRemote Supportの権限を変更した。その後、攻撃者はBARECLAWトンネラーを展開し、検知を困難にするため、システム、ウェブサーバー、アプリケーションのログを削除した。
防御側が懸念すべき対象は、アプライアンス自体に限られない。Remote Supportは管理者が他のエンドポイントにアクセスできるよう設計されているため、侵害されたサーバーが、組織からすでに信頼されているシステムへの侵入経路になり得る。
CVE-2026-102764はRemote Support 26.2.3以前に影響
BeyondTrustは、CVE-2026-102764が内部メッセージングコンポーネントにおける不適切なオリジン検証の脆弱性だと説明している。条件がそろえば、リモートの攻撃者はこの脆弱性を利用して、影響を受けたアプライアンス上でファイル操作を実行できる。同社はこの脆弱性を重大と評価しており、CVSS v4.0のスコアは9.3だ。
Remote Supportは26.2.3までのすべてのバージョンが影響を受ける。BeyondTrustは、10月9日までにすべてのSaaS顧客へパッチを適用したと説明している。自己ホスト型の顧客で、24.3.1から26.2.3までのバージョンを実行している場合は、BT26-05-RSを適用するか、自動更新によってインストール済みであることを確認する必要がある。古いリリースを利用している顧客は、パッチを適用する前にアップグレードしなければならない。
BeyondTrustは、影響を受けたコードを共有しているため、自己ホスト型のPrivileged Remote Accessアプライアンスにも予防措置としてパッチを適用するよう推奨している。同社によると、テストではこの製品の脆弱性を悪用する方法は確認されていない
パッチ適用は最初の一歩にすぎない
Googleは、一般公開によって日和見的な悪用が広がり、外部に公開されたBeyondTrustアプライアンスがより優先度の高い標的になる可能性があると警告した。
Infosecurity Magazineは、侵害の疑いがある組織は変更を加える前にテレメトリを保全すべきであり、侵害が確認された場合や否定できない場合にはアプライアンスの再構築が必要になる可能性があると指摘した。
セキュリティチームにとって、BT26-05-RSのインストールは脆弱性を塞ぐが、すでに発生した可能性のある活動を元に戻すものではない。
ARMORY CASTLEは、攻撃者が侵害したRemote Supportアプライアンスを利用して特権認証情報を取得し、永続化を確立し、プラットフォーム経由で管理されるシステムに到達できることを示した。したがって組織は、パッチをインストールする前にアプライアンスが悪用されていなかったかどうかを判断する必要がある。
セキュリティチームは、次の3つの対応を優先すべきだ。
- パッチ状況を確認：自己ホスト型のRemote SupportアプライアンスにBT26-05-RSが適用されていることを確認する。24.3.1より前のバージョンを実行しているシステムは、パッチを適用する前にアップグレードする必要がある。
- 侵害の痕跡を調査：権限の変更、欠落したログ、プロキシや起動設定の改変、不審な管理者権限、SAWFLYやBARECLAWの兆候を確認する。また、予期しないリモートセッションやファイル転送が発生していないかも調査すべきだ。
- 影響を受けたシステムを封じ込め：アプライアンスの通信を制限し、アクティブなサポートセッションを終了させ、露出した認証情報をローテーションし、侵害が確認された場合や否定できない場合は、クリーンなパッチ適用済みイメージから再構築する。
リスクはRemote Supportアプライアンス自体の外部にも及ぶ可能性がある。この製品は他のエンドポイントへの特権アクセスを仲介できるため、盗まれた認証情報や永続的な管理者アクセスによって、元の脆弱性にパッチを適用した後も、攻撃者が追加のシステムへ侵入できる可能性がある。
悪用期間中に影響を受けるバージョンのインターネット公開アプライアンスを稼働させていた組織にとって、より安全な対応は、パッチ適用と侵害評価を別々の作業として扱うことだ。まず修正を確認し、その後、インストール前に攻撃者がアクセスを取得していなかったか、また認証情報、セッション、下流システムにも対処が必要かどうかを判断する。
関連記事：Cisco Talosは、Antinoバックドア、クラウドインフラ、コマンド＆コントロール用のMicrosoft 365を使った11カ月間の活動について、UAT-11587との関連を指摘した。