BeyondTrust Remote Support の未認証 RCE（ランサムウェア利用確認済み）

Critical（CVSS 9.8）に分類されるBeyondTrust Remote Support (RS) / Privileged Remote Access (PRA)の脆弱性です。リモートサポート／特権リモートアクセス製品 BeyondTrust Remote Support と、一部の旧バージョンの Privileged Remote Access に、認証前のリモートコード実行がある。細工したリクエストを送ることで、未認証のリモート攻撃者がサイトユーザーの権限で OS コマンドを実行できる。この製品はヘルプデスクが利用者端末へ接続するための踏み台であり、特権アクセス管理の一部として組織内の重要システムへの接続経路を集約している。したがって侵害の波及範囲が広く、過去にも同種製品を足がかりにした大規模な侵害が起きている。影響は NVD の CPE によると Remote Support が 25.3.2 より前、Privileged Remote Access が 25.1 より前。CVSS は評価元で分かれており、NVD（Primary）は CVSS 3.1 で 9.8 Critical（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）、CNA の BeyondTrust は CVSS 4.0 で 9.9 Critical（AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:L/SI:H/SA:L）としている。CNA は後続システムへの完全性影響（SI:H）を明示的に評価に含めている。NVD の vulnStatus は Analyzed。CISA KEV には 2026-02-13 に収載され、是正期限は 2026-02-16 と収載から3日という短さで、さらに KEV の判定では **ランサムウェアキャンペーンでの利用が確認済み（Known）** とされている。要求アクションも定型文ではなく、露出評価とインターネット到達可能な BeyondTrust 製品すべてに対する侵害痕跡の確認を明示している。GitHub に実証コードが公開され、GreyNoise は本件を狙った偵察活動を観測している。

ランサムウェア利用が確認済みで、KEV 期限が収載から3日という組み合わせは、KEV の中でも最上位の緊急度である。判定は製品ごとの版確認で、Remote Support が 25.3.2 より前、PRA が 25.1 より前なら該当する。アプライアンスの管理インタフェース（/appliance）でビルドが分かる。到達性の確認は形式的なものになりがちで、この製品は外部のサポート担当者や在宅の利用者が接続するために、ほぼ必ずインターネットに面している。つまり「公開しているか」ではなく「いつから公開していたか」を問うべき状況である。対応は BeyondTrust のセキュリティアドバイザリ（bt26-02）に従って修正版へ更新することである。BeyondTrust のアプライアンスは自動更新の仕組みを持つため、更新チャネルが有効かどうかと、実際に適用済みかを管理画面で確認する。KEV の要求アクションが痕跡確認を明示している以上、更新と侵害調査は同時に進める必要がある。確認すべきは、（1）アプライアンス上の管理者アカウントの追加と権限変更、（2）セッションの記録に残る想定外の接続（時間外の接続、見慣れないサポート担当者名、通常使わない接続元 IP）、（3)Jump Client や Jump Item として登録された見覚えのない対象、（4）保存されている資格情報（Vault に格納した特権アカウント）の利用履歴である。この製品は特権資格情報の保管庫を兼ねているため、侵害された場合は保管していた全アカウントの再発行が必要になる。加えて、Remote Support 経由で接続された先の端末・サーバでも、リモート操作による変更の痕跡（新規サービス、スケジュールタスク、追加された管理者）を確認する。攻撃者はここを取ると、正規のリモート操作機能を使って組織内へ広がるため、痕跡が正規操作に埋もれやすい。緩和策としては、アプライアンスへの到達元を可能な範囲で絞る（サポート担当者の拠点 IP に限定する、利用者側の接続経路を分ける）ことが挙げられるが、外部公開が前提の製品なので緩和で凌ぐ余地は小さく、更新が唯一の道である。完了条件は、（1）RS 25.3.2 以降 / PRA 25.1 以降へ更新、（2）痕跡確認が完了、（3）Vault に保管していた特権資格情報の再発行と、接続先端末の点検が済んでいることである。KEV 是正期限 2026-02-16 は大きく経過しているため、未対応なら期限超過として最優先で扱う。

BeyondTrust Remote Support (RS) / Privileged Remote Access (PRA) を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-1731）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/02/16 です。推奨される対応: ベンダーの指針に従って露出を評価し、リスクを緩和すること。本脆弱性の影響を受けるインターネット到達可能な BeyondTrust 製品すべてについて侵害の兆候を確認すること。