中国との関連が疑われるスパイ集団が、BeyondTrust Remote Supportの重大なゼロデイ脆弱性（CVE-2026-102764）を悪用しました。さらに、ログを削除して活動の痕跡を隠していました。
BeyondTrustはこの脆弱性をセキュリティアドバイザリBT26-05で修正し、2026年10月15日にMandiantの分析とともに公表しました。
BeyondTrustのゼロデイ
BeyondTrustが公開した調査によると、攻撃者は2026年8月29日にこの脆弱性を悪用しました。被害を受けたのは、BeyondTrustがホスティングするRemote Supportのインスタンス1件と、自社運用（セルフホスト型）のアプライアンス1台です。
Privileged Remote Access（PRA）も、影響を受けるコードを共有しています。BeyondTrustのテストではPRAを悪用する方法は見つかりませんでしたが、念のためPRAにもパッチを適用しました。
ExploitPrevention Tools
セルフホスト型アプライアンスへのパッチ適用が続いているため、BeyondTrustは技術的な詳細を公開していません。両製品のSaaSインスタンスには、自動でパッチが適用されました。
BeyondTrustは、この活動がUNC5221によるものである可能性が中程度から高いと評価しています。UNC5221は、Mandiantが現在ARMORY CASTLEと呼ぶグループで、CrowdStrikeは同じクラスターをWARP PANDAとして追跡しています。攻撃者は被害者ごとにインフラやツールを入れ替えるため、この帰属判断は手口（トレードクラフト）に基づいています。
このグループは過去に、Citrix NetScalerのゼロデイ攻撃（CVE-2023-4966）との関連が指摘されています。Ivanti Connect Secure（CVE-2023-46805、CVE-2024-21887、CVE-2025-0282）への攻撃にも関与したとされています。標的は、法務サービス、SaaSプロバイダー、ビジネスプロセスアウトソーシング（BPO）事業者、テクノロジー企業、政府機関などです。
BeyondTrustはさらに、攻撃者が標的製品のAIモデルを保持し、エクスプロイトチェーンの構築に使っているのではないかと疑っています。ただし、これを裏付けるフォレンジック上の証拠はないと認めています。
| 段階 | 確認された挙動 |
| 侵入 | アプライアンスに対するゼロデイエクスプロイト |
| 制御 | 既存のWebサーバー上で、Webシェルを対話的に使用 |
| インフラ | 商用VPNの出口ノード、および侵害された家庭用・小規模オフィス用ルーター |
| 権限昇格 | 数分で完全な管理者権限を掌握し、再起動後も残る永続化を確立 |
| 認証情報の窃取 | 保存されたシークレットを読み取り、管理者アクセスを使って下流のシステムに到達 |
| 痕跡消去 | 離脱前にログと自らのツールを削除 |
Mandiantは、カスタムのWebシェルとトンネリングツールを解析しており、ファイルハッシュとYARAルールも公開しています。
BeyondTrustの脅威ハンティングにより、SaaSへの侵入は9月28日に判明しました。同社は、侵害を特定してから27分後にそのインスタンスを封じ込めました。
攻撃者が権限昇格を行った際にはセンサーが反応しました。しかし、サードパーティ製検知プラットフォームのトリアージツールが、それらのアラートを誤検知として閉じていました。BeyondTrustは現在、このベンダーと協力し、自動トリアージが重大度の高いシグナルを独断で閉じないようにする対策を進めています。
BeyondTrustは、バリアント分析で追加の攻撃経路が見つかったことを受け、10月8日にパッチをリリースしました。
推奨される対策は次のとおりです。BT26-05に従い、セルフホスト型のRemote SupportおよびPRAアプライアンスに直ちにパッチを適用すること。管理インターフェースへのアクセスを信頼できるネットワークに限定すること。管理用アプライアンスからの外向き通信を制限すること。
ローカルのログが消去される恐れがあるため、組織はsyslogとセッションイベントをほぼリアルタイムでSIEMに転送すべきです。防御側はIoC（侵害指標）ではなく挙動に着目して調査することが重要です。具体的には、住宅用回線やVPNアドレスからの管理者セッション、Webディレクトリ内の不明なスクリプト、シェルを起動するWebサービスアカウント、「Jump Items」や「Teams」の権限変更を探します。
セキュリティチームは、単一セッション内で始まって終わるログ転送の欠落にも注意する必要があります。悪用の痕跡が見つかった場合、管理者はアプライアンスが保存していたすべての認証情報をローテーションし、特権アカウントでの新規MFA登録を確認したうえで、再構築の前にアプライアンスのイメージを取得しなければなりません。
CyberSecurity Tools
また、悪用が疑われる顧客は、「BT26-05」を明記してSev 1のサポートリクエストを起票してください。
Mandiantは、パッチ未適用のシステムに対する大規模な悪用は、通常、脆弱性の公表後に始まると警告しています。Google Threat Intelligence Groupは、2026年に悪用された脆弱性がほぼ倍増したと報告しました。
攻撃者は脆弱性の武器化を加速させており、AIの普及がその流れに拍車をかけています。パッチ適用の遅れ、アプライアンスの露出、そして機器外でのログ保管こそが、最も重要な対策だと捉えるべきです。
翻訳元: https://gbhackers.com/beyondtrust-zero-day-security-logs/
