BeyondTrustがリモートサポート製品などの深刻な脆弱性を修正、AIモデル「Claude Opus 4.8」も発見に貢献

要点

• セキュリティ企業のBeyondTrustは、リモートサポート製品「Remote Support（RS）」および「Privileged Remote Access（PRA）」に存在する複数の深刻な脆弱性を修正するアップデートをリリースしました。

• 修正された脆弱性のうち最も深刻な2件（CVE-2026-40138およびCVE-2026-40139）はCVSSスコアが9.2と評価されており、認証をバイパスして特権アカウントを含む不正アクセスを許す危険性があります。

• これらの脆弱性は、Anthropic社のAIモデル「Claude Opus 4.8」や同社の独自ツールを用いた社内のセキュリティ評価によって特定されました。

• 現時点で実際の悪用は報告されていませんが、過去には同社製品の別の脆弱性がWebシェルやバックドアの設置に悪用された経緯があるため、速やかなアップデートの適用が推奨されています。

• 特権アクセス管理ソリューションを提供するBeyondTrust（ビヨンドトラスト）は2026年7月7日（現地時間）、同社のリモートサポート製品である「Remote Support（RS）」および「Privileged Remote Access（PRA）」に複数の深刻なセキュリティ脆弱性が存在することを公表し、これらを修正するアップデートをリリースした。今回の脆弱性の中には、悪用に成功した場合に認証されていないリモートの攻撃者が対象デバイスを制御できるようになる危険な欠陥が含まれている。同社は影響を受けるバージョンの利用者に対し、早急に修正用アップデートを適用するよう呼びかけている。

• 今回公表された脆弱性は、主にシステムの認証や通信を行うサブシステムに存在しており、合計4件の欠陥が報告されている。それぞれの深刻度や影響は以下の通りである。

• まず、最も警戒されているのが、認証サブシステムに存在する「CVE-2026-40138」および「CVE-2026-40139」の2件の脆弱性である。これらの脆弱性は、脆弱性の深刻度を示す世界的な評価基準であるCVSS（Common Vulnerability Scoring System）において、最高値10のうち「9.2」という極めて高いスコアを記録している。

• 「CVE-2026-40138」は、RSおよびPRAの認証データ検証プロセスにおける不備に起因するものであり、ネットワーク上に位置する攻撃者がアクセス制御をすり抜け、特権を持つアカウントを含むアプライアンス（特定の機能に特化した専用のシステム）への不正なアクセスを取得する可能性がある。

• また、「CVE-2026-40139」はRSの認証リクエストの処理手順の不備によるもので、こちらも認証されていないリモートの攻撃者がアクセス制御をバイパスし、特権アカウントを含むアクセスを許してしまう危険性がある。ただし、これら2つの脆弱性の悪用が成功するかどうかは、特定の認証設定が有効になっている場合に限られるという。

• 次に、ネットワーク通信サブシステムに存在する「CVE-2026-40140」（CVSSスコア: 8.7）は、クライアントから送信される入力データの検証が不十分であることに起因している。認証されていないリモートの攻撃者がこの欠陥を悪用した場合、サービス拒否（DoS：システムの正常な稼働を妨げて利用不能にする攻撃）状態を引き起こし、アプライアンスの可用性を大きく損なう恐れがある。

• 最後に、Webアプリケーションのコンポーネントに存在する「CVE-2026-40141」（CVSSスコア: 8.5）は、ユーザーから入力されたデータの検証が不十分なために発生する。この脆弱性は、権限が限定された認証済みの攻撃者が、本来アクセスできないはずのリソースやデータにアクセスできてしまうというものである。なお、この脆弱性を悪用するためには、攻撃者が特定の権限を持つアカウントをすでに保有している必要があると説明されている。

• BeyondTrustは、これらの脆弱性がいずれも同社が継続的に実施しているセキュリティ評価の一環として、社内で特定されたものであると説明している。発見にあたっては、社内独自の調査ツールに加えて、Anthropic社の一般公開されているAIモデル「Claude Opus 4.8」などの人工知能技術による支援を活用したことを公表した。

• 同社は「最も深刻な脆弱性では、特定の構成において、認証されていないリモートの攻撃者がアクセス制御をバイパスし、アプライアンスへの不正アクセスを取得する可能性があります」と述べている。さらに、その他の脆弱性についても、サービスの稼働停止や意図しないデータ漏洩、特定の構成における認証ユーザーのアクセス権限昇格などが発生し、システムの整合性に重大な影響を及ぼす可能性があると警告している。

• これらの問題は、すでにBeyondTrustが提供を開始した以下の修正バージョンにおいて対策が施されている。

• Remote Support (RS): バージョン 25.3.2 以下（RS 25.3.3 以降で修正済み）

• Privileged Remote Access (PRA): バージョン 25.3.2 以下（PRA 25.3.3 以降で修正済み）

• 現時点で、BeyondTrustはこれらの脆弱性が実際にサイバー攻撃などで悪用された事例（イン・ザ・ワイルドでの悪用）については言及していない。しかし、同社のRSおよびPRA製品に過去に存在した脆弱性（「CVE-2024-12356」および「CVE-2026-1731」）は、侵入した攻撃者が遠隔操作用のWebシェル（サーバー上で不正なコマンドを実行するためのWebプログラム）や、恒久的な侵入経路となるバックドア（裏口となる不正プログラム）を設置するために繰り返し悪用された歴史がある。このような背景があるため、製品を導入しているユーザーは、今回の修正アップデートを迅速に適用することが強く推奨されている。