BeyondTrust Remote Support の認証回避でファイル操作（KEV・BT26-05 で修正）

Critical（CVSS 9.8）に分類されるBeyondTrust BeyondTrust Remote Support（旧 Bomgar・自社運用版）の脆弱性です。**BeyondTrust の遠隔サポート製品 Remote Support（旧 Bomgar）に、認証を回避されてアプライアンス上のファイルを操作される欠陥がある。** NVD に載った BeyondTrust（CNA）の記述によれば、内部のメッセージ処理部品が受け取ったメッセージの送信元を十分に検証しておらず、条件がそろうと攻撃者がアプライアンス上でファイル操作を行える。対象は **26.2.3 以前**。 **評価値は2つある。** BeyondTrust（CNA）の CVSS 4.0 は **9.3 Critical**、NVD 自身の CVSS 3.1 は **9.8 Critical**（AV:N/AC:L/PR:N/UI:N＝ネットワーク経由・認証不要・利用者の操作不要）。 **悪用は確認済み。** CISA は2026年10月16日に KEV へ収載し、是正期限を **2026年10月19日**（収載から3日）とした。同日の CISA の注意喚起は、攻撃者がこの欠陥で初期侵入し、永続化・権限昇格・横展開まで行っていると説明している。ランサムウェアでの利用は「不明」。BeyondTrust がホストする SaaS 版は修正済みで、対応が要るのは自社運用のアプライアンスである。

**自社運用のアプライアンスにパッチ BT26-05-RS を当てる。** CISA の注意喚起によれば、パッチは BeyondTrust のアドバイザリ BT26-05 で配布され、サポート中の **24.3.1 以降**に適用できる。**24.3.1 より古い版は、先に 24.3.1 以降へ上げてから**パッチを当てる。BeyondTrust ホストの SaaS 版は利用者側の対応は要らない。 **外部への露出を絞る。** 利用者・顧客が使うサービスだけを公開し、管理インターフェースは信頼できるネットワークからだけ届くようにする（CISA の推奨）。 **侵害を疑う場合**は、CISA の推奨に沿って次の順で動く。（1）装置を隔離し、スナップショットかフォレンジックイメージを保全する。装置の syslog とセッションイベント、WAF・リバースプロキシ・境界ファイアウォールのログを公開期間の分まで集める。（2）見覚えのない特権・管理者セッション、不明なスクリプトファイル、ログの欠落や転送の停止、アカウント・権限・セッションポリシーの無断変更を探す。（3）既知の正常な状態から再構築してパッチを当て、装置が保存・注入していた認証情報をすべて入れ替え、有効なサポートセッションを失効させ、特権アカウントへの新しい MFA 登録を見直す。 BeyondTrust のアドバイザリ本文（BT26-05）は本稿では直接読めておらず、パッチの詳細は公式で要確認。 **完了条件**は、（1）全ての自社運用アプライアンスに BT26-05-RS が当たっていること、（2）公開していた期間について侵害の痕跡を確認し、必要なら再構築と認証情報の入れ替えを済ませたこと、の2点である。

BeyondTrust BeyondTrust Remote Support（旧 Bomgar・自社運用版） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-102764）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/10/19 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。緩和策が利用できない場合はクラウドサービス向けの BOD 26-04 指針に従うか、製品の使用を中止する。各資産のインターネット露出の評価は利用者側の責任である。