BeyondTrustは、Remote Support（RS）ソリューションに存在する重大なセキュリティ脆弱性について顧客に警告した。同社は、8月下旬からゼロデイ攻撃で悪用されていたことを確認した。CVE-2026-102764として識別されるこの脆弱性は、バージョン26.2.3以前に影響し、リモートの権限を持たない攻撃者が認証を回避し、未修正の端末上でファイル操作を実行することを可能にする。
同社は10月8日、SaaS版を利用するRemote SupportおよびPrivileged Remote Accessの顧客向けに修正プログラムを公開した。自社ホスト環境では、自動更新が有効になっていない場合、管理者が手動でアップデートを適用する必要がある。BeyondTrustの社内テストでは、Privileged Remote Accessにおける脆弱性の悪用方法は特定されなかったものの、同製品はRemote Supportと影響を受けるコードを共有している。そのため同社は同製品向けにも修正プログラムを公開し、自社ホスト版の顧客に対して直ちに適用するよう推奨している。
アクセス後に権限を昇格
MandiantとGoogle Threat Intelligence Groupの研究者は攻撃を確認し、Armory Castleと呼ばれる組織によるものと帰属した。同組織は以前UNC5221として知られており、CrowdStrikeはWarp Pandaと呼んでいる。このグループは中国と関連していると疑われている。
攻撃者はこの脆弱性を悪用して端末への初期アクセスを獲得し、その後、Set User ID（SUID）権限を有効にすることでroot権限へ昇格した。続いて、悪意のあるウェブシェルSawflyと、ネットワーク内での横展開に使用するツールBareclawを展開し、検知される可能性を下げるためにログを消去した。また、侵害したAdministrator認証情報を使い、ネットワーク内部の別のシステムでリモートセッションを開始した。
Mandiantによると、root権限でホストにアクセスできた攻撃者は、端末が保存または中継する認証情報にアクセスし、再起動後も存続するファイルを変更し、設定をリセットすることが可能だった。そのため研究者は、悪用期間中にインターネットへ公開され、影響を受けるバージョンを実行していた端末について、調査を受けるまでは侵害された可能性があるものとして扱うよう推奨した。
なぜこのニュースが重要なのか
この脆弱性は、深刻度を高める3つの要因を兼ね備えている。修正前に実際の悪用が存在したこと、Remote Supportがネットワーク境界に位置すること、そしてサポートチームや接続システムが使用する認証情報にアクセスできる可能性があることだ。またShadowserverは、インターネット上に公開されたBeyondTrust Remote Supportのインスタンスを1,400件以上追跡しているが、保護された端末の数や、テスト用のハニーポットに該当する端末の数は明らかにしていない。
これは、公開されているすべての端末が侵害されたことを意味するわけではない。しかし、ログの確認、アカウントとファイルのレビュー、修正プログラムの適用を直ちに優先すべき状況であり、特に自社ホスト版を利用する組織では重要である。
脅威の背景と未解決の疑問
Armory Castleには、Citrix NetScalerやIvanti Connect Secureなど、ネットワーク境界の機器を標的にして企業ネットワークへアクセスし、カスタムマルウェアを展開してきた実績がある。Mandiantは、CVE-2026-102764の情報が公開された後、悪用が拡大する可能性があると警告した。過去のキャンペーンでも、脆弱性の選択的な悪用から始まり、その情報が広まった後に大規模な活動へ移行していた。
今回のキャンペーンで侵害された組織の数や、特定の顧客の認証情報が窃取されたかどうかは、情報源では明らかにされていない。そのため、修正プログラムの適用は必要な措置であるものの、悪用期間中に公開されていた端末を調査する代わりにはならない。