BeyondTrust Remote Supportのゼロデイ脆弱性「CVE-2026-102764」、中国関連が疑われるAPTが悪用―内部端末へ横展開

米BeyondTrustは2026年10月15日、Remote Supportの深刻な脆弱性CVE-2026-102764を公表した。GTIGとMandiantの調査で、中国関連が疑われる脅威アクターARMORY CASTLEが8月下旬からこの脆弱性をゼロデイとして悪用していたことが判明しており、アプライアンスへ侵入した後に内部端末へ横展開したとされる。

攻撃者はアプライアンス上にWebシェルを設置し権限昇格と認証情報の取得を試み、正規のリモートサポート機能を悪用して内部端末へ接続した。Jump Itemsの権限変更や内部環境の把握を目的としたファイル持ち出しも確認され、独自のトンネルツールBARECLAWで通信を中継し痕跡を削除しようと試みた。

修正パッチBT26-05-RSはバージョン24.3.1～26.2.3向けに提供され、セルフホスト型は適用済みの確認と未適用場合のアップデートが案内された。SaaS環境に関しては2026年10月9日までに修正が完了しているとされ、PRではPRAにも共通コードが含まれるが現時点で悪用は確認されていないと説明された。

今回の事案は8月の悪用開始から10月の公表へと進み、侵害の兆候は脅威ハンティングの検知によって初めて封じ込め・再現が報告された。BeyondTrustは高重大度アラートの自動判定だけに依存せず、横展開を想定した脆弱性管理とパッチ適用の運用見直しを促している。