BeyondTrust Remote Supportの脆弱性CVE-2026-102764、ゼロデイとして悪用 CISAがKEVカタログに追加

BeyondTrustは、旧称Bomgarとして知られるRemote Support製品の重大な脆弱性CVE-2026-102764の修正を公開した。影響を受けるのはバージョン26.2.3以前である。米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は10月16日、この脆弱性を「既知の悪用された脆弱性」（KEV）カタログに追加し、セルフホスト型アプライアンスを運用する組織に直ちに対応するよう促すガイダンスを公表した。Mandiantによると、中国との関連が疑われるスパイ活動の攻撃者が、公表よりかなり前の8月下旬にこの脆弱性をゼロデイとして悪用していた。

Mandiantによると、BeyondTrustは10月15日にこの問題を公表した。CVSSスコアを9.3と報じたThe Hacker Newsは、Remote Supportの内部コンポーネントが受信メッセージの送信元を適切に確認しておらず、特定の条件下でアプライアンス上のファイル操作を可能にするおそれがあるとのベンダーの説明を引用した。CISAはこの脆弱性を認証バイパスと説明している一方、Mandiantは、認証されていないリモート攻撃者がこれを利用してファイルを操作でき、ホストレベルの制御を奪取して、デバイスが保存または仲介するすべての認証情報に到達する可能性があると述べた。修正はアドバイザリBT26-05に基づくパッチBT26-05-RSである。Mandiantによると、BeyondTrustは10月9日にすべてのSaaSテナントにこれを適用したため、ホスト型の顧客はアプライアンスの更新は不要だが、認証情報と設定の見直しは引き続き必要となる。バージョン24.3.1以降のセルフホスト型システムでは、パッチをインストールするか、自動更新による適用を確認する必要があり、それより古いリリースはまずサポート対象バージョンへアップグレードしなければならない。Mandiantは、アップグレードしても過去の露出は是正されないと指摘した。

Mandiantは、インシデント対応業務の中でこの活動を発見したと述べ、GTIGはこれを、以前はUNC5221として追跡されていたグループARMORY CASTLEによるものとしている。攻撃者は悪用後、MandiantがSAWFLYと呼ぶ難読化されたPHPウェブシェルを設置し、SUID権限を付与したシステムシェルのコピーを作成してroot権限を取得、BeyondTrustに組み込まれたコマンドラインツールで保存済み認証情報のダンプを試み、さらにsudoersテンプレートを改変するスタートアップスクリプトを追加して、再起動や設定リセット後も無制限のroot権限が維持されるようにした。Mandiantはまた、アプライアンスのHAProxy設定の変更によってインターネットから到達可能にされたBARECLAWという名称のカスタムSOCKS5トンネラー、繰り返されたログ削除、そしてJump Item権限を引き上げられた管理者アカウントの悪用についても説明した。これにより攻撃者は内部エンドポイントへのリモートセッションを開き、ソフトウェアインベントリなどの文書をコピーできたという。

CISAはパッチ適用に加え、Remote Supportアプライアンスの外部への露出を必要なサービスに限定し、管理インターフェースを信頼できるネットワーク内にとどめ、ネットワークおよびメモリのフォレンジックを実施するよう助言した。侵害が疑われる場合、同庁はアプライアンスを隔離し、スナップショットまたはフォレンジックイメージを保全し、ログをSIEMに転送したうえで、見慣れない特権セッションやスクリプト、ログの欠落を探索することを推奨している。その後、既知の正常な状態からの再構築、パッチ適用、デバイスが保持していたすべての認証情報のローテーション、アクティブなサポートセッションの無効化、特権アカウントにおける新たなMFA登録の確認を求めている。The Hacker Newsによると、連邦文民機関の修正期限は10月19日で、カナダのサイバーセキュリティセンター（Cyber Centre）もこの脆弱性に関するアドバイザリを発表している。

The Hacker Newsによると、BeyondTrustのタイムラインでは、1台のセルフホスト型アプライアンスに対するゼロデイ悪用は8月29日にさかのぼり、ベンダーは別のセキュリティ機器プロバイダーの侵害が9月27日に公になった後、同様の活動の探索を開始したことが示されている。GTIGによると、ARMORY CASTLEは少なくとも2023年10月から活動しており、過去にもエッジアプライアンスを悪用してきた。Mandiantは、このグループが過去に、脆弱性の公表後に広範かつ無差別な悪用へ移行してきたと警告し、2024年にIvantiの脆弱性CVE-2023-46805およびCVE-2024-21887の公表後にもそれが見られたと指摘した。そのうえで、悪用期間中にインターネットに公開されていた脆弱なアプライアンスはすべて「レビューが完了するまでは侵害された可能性があるものとして扱うべき」だと述べた。