セキュリティ · 2026年10月19日
他の言語でも公開 Português (Brasil), 한국어, 中文
BeyondTrust、8月以降に悪用されたゼロデイ脆弱性を修正
BeyondTrustは木曜日、同社のリモートサポート製品に存在する重大な脆弱性が、8月下旬以降にゼロデイ攻撃として悪用されていることを顧客に警告した。この脆弱性はCVE-2026-102764として追跡されており、認証回避を可能にする。権限のないリモート攻撃者が、パッチが適用されていない機器に対してファイル操作を実行できる。影響を受けるのは、リモートサポート26.2.3以前のバージョンである。BeyondTrustは10月8日に、リモートサポートおよび特権リモートアクセスのSaaS顧客向けにセキュリティ問題を修正した。セルフホスト環境では、自動更新が有効でない場合、手動でパッチを適用する必要がある。
MandiantおよびGoogle Threat Intelligence Groupの研究者は、このゼロデイを悪用したとされる中国系スパイアクターを「Armory Castle」として追跡している。CrowdStrikeはこれを「Warp Panda」と呼んでいる。Mandiantの研究者によると、Armory Castleのハッカーはこの脆弱性を悪用して初期アクセスを獲得し、Set User ID権限を有効化することで、侵害されたデバイス上でルート権限にエスカレートした。その後、新しいSawflyウェブシェルとBareclawトンネラーマルウェアを展開し、検知を回避するためにログを消去した。侵害された管理者資格情報を使用して、ダウンストリームシステムでリモートセッションを開き、被害者のネットワーク内で横向き移動を行った。
Mandiantは、ウェブシェルを通じて足場を築いた後、攻撃者がウェブサービスアカウントからアプライアンスホストのルートレベルの制御にエスカレートしたと述べた。これにより、アプライアンスが保存または仲介したすべての資格情報にアクセスし、再起動や設定リセット後も残るファイルを修正する能力が得られた。脆弱なバージョンでインターネットから到達可能だったアプライアンスは、レビューが完了するまで潜在的に侵害されたものとして扱うべきである。インターネット脅威監視組織Shadowserverは、オンラインに公開されているBeyondTrustのリモートサポートインスタンスが1,400件以上あると追跡しているが、すでに保護されているものやハニーポットの数は示していない。
Armory Castleは、少なくとも2023年10月以来、ネットワークエッジアプライアンスのゼロデイ脆弱性を標的としてきた。これには、Citrix NetScalerやIvanti Connect Secureのアプライアンスが含まれる。脅威情報企業Volexityは2024年1月に、UNC5221がGiftedVisitorウェブシェルを使用して2,100台以上のIvantiアプライアンスにバックドアを仕掛けたと述べた。Mandiantは、Armory Castleが過去に、選択的にゼロデイとして悪用した脆弱性の公開後に、パッチが展開される前に標的組織に浸透するために、広範かつ機会的な悪用を行ったと追加した。CVE-2026-102764に関連する同様の広範な悪用試みを観察する可能性がある。
BeyondTrustは、政府機関やフォーチュン100企業の75%を含む、世界中の2万を超える顧客にアイデンティティセキュリティサービスを提供している。