BeyondTrustのリモートサポート製品に深刻な脆弱性、中国関連グループがゼロデイ攻撃に悪用

要点

• リモート支援製品「BeyondTrust Remote Support」に、遠隔から不正なファイル操作を可能にする深刻な脆弱性が判明した。

• 中国関連のサイバー諜報グループ「Armory Castle」が、パッチ公開前の2026年8月下旬に本脆弱性をゼロデイ攻撃で悪用していた。

• 攻撃者は侵入後にWebシェルを設置し、root権限の奪取や認証情報データベースからのデータ窃取を試行していた。

• SaaS環境には修正パッチが適用済みであり、オンプレミス環境の運用者には手動アップデートの適用が呼びかけられている。

• 米BeyondTrustは2026年10月15日、同社のリモート保守製品「BeyondTrust Remote Support」に深刻なゼロデイ脆弱性が存在し、中国関連のサイバー諜報グループに悪用されていたと発表した。米Google傘下のMandiantによる調査では、攻撃者が侵入後にWebシェルを配置して完全な管理者権限や認証情報を奪っていた実態が明らかになっている。

内部メッセージ検証の不備による脆弱性「CVE-2026-102764」

確認された脆弱性は「CVE-2026-102764」として追跡され、共通脆弱性評価システム（CVSS：情報システムの脆弱性の深刻度を評価する指標）のスコアは9.3と深刻な評価が下されている。

BeyondTrustによると、Remote Supportの内部コンポーネントが受信メッセージの発信元を適切に検証していなかったことが原因だという。この不備により、特定の条件下で遠隔の攻撃者がアプライアンス（特定の機能に特化した専用機器や仮想環境）上で不正なファイル操作を実行できる状態となっていた。

対象製品は「BeyondTrust Remote Support」（旧製品名：Bomgar）である。SaaS版には2026年10月9日に修正パッチが配信された。オンプレミス環境のバージョン24.3.1から26.2.3を使用するユーザーにはパッチ「BT26-05-RS」の手動適用が求められており、24.3.1未満の環境ではパッチ適用の前に新バージョンへのアップグレードが必要となる。

8月下旬のゼロデイ悪用と攻撃者の手口

公表されたタイムラインによると、攻撃は2026年8月29日に単一のオンプレミス型アプライアンスに対して実行されていた。当時パッチは存在せず、ゼロデイ（修正パッチ提供前の脆弱性を突く攻撃）として悪用されていたという。その後、9月27日に別のセキュリティ機器ベンダーへの攻撃成功が公表されたことを受け、同社が調査を開始したことで今回の悪用が判明した。

攻撃を実行したのは「Armory Castle」（旧称：UNC5221、Warp Panda）として知られる中国関連のサイバー諜報グループで、2023年10月頃からの活動が確認されている。

同社によると、このグループは選定した標的に対して選択的にゼロデイ攻撃を行い、脆弱性の公表後は未修正の端末全体へ広範な攻撃を仕掛ける傾向がある。さらに、標的製品の動作モデルをAIのコンテキスト内に保持し、エクスプロイトチェーン（侵入のための一連の攻撃手順）の開発に継続利用していると推測されている。

Webシェル「SAWFLY」の展開と権限奪取

Mandiantの報告によると、攻撃者は侵入後に「SAWFLY」と呼ばれる軽量なPHP製Webシェル（遠隔操作用の不正スクリプト）を設置していた。暗号化されたC2（遠隔指令サーバー）通信を確立し、商用VPNや乗っ取った家庭・小規模オフィスのルーターを経由して通常の通信に紛れ込ませていたという。

攻撃者はこのWebシェルを踏み台にして権限昇格を行い、システムの再起動後も持続する永続性を確保した上で、アプライアンスの完全な管理者権限を取得した。さらに、保存された機密情報を読み取って認証情報を盗み、下流システムへのラテラルムーブメント（組織内での水平移動）を試みていた。

確認された具体的な活動は以下のとおりである。

• システムシェル（/bin/sh）を /usr/bin/dbus-authd にコピーして所有者をrootに変更し、SUID（実行時に所有者権限で動作させるLinuxの設定）を付与してroot権限を奪取した。
• 専用CLIツール /ns/sbin/bt-secrets を悪用し、機密情報管理データベースからパスワードやAPIキーなどの直接窃取を試みた。
• 設定テンプレートを標的とし、パスワード不要のroot権限獲得を図った。

境界型機器を狙う諜報活動の継続性

Armory Castleは過去にもCitrix NetScaler（CVE-2023-4966）やIvanti Connect Secure（CVE-2023-46805、CVE-2024-21887、CVE-2025-0282）のゼロデイ脆弱性を悪用してきた。

法律サービス、SaaS事業者、BPO（業務受託企業）、テクノロジー、政府機関など多岐にわたる組織へ侵入し、長期的な情報収集活動を行ってきたとされる。