GoogleとMandiantによると、ARMORY CASTLEがBeyondTrust製アプライアンスを侵害した事実は、Ivantiの脆弱性悪用が相次いだ過去の事例と同様に、攻撃が広範囲に拡大するリスクを高めています。
MandiantとGoogle Threat Intelligence Groupによると、中国の関与が疑われるスパイ集団が重大なゼロデイ脆弱性を悪用し、root権限の掌握、認証情報保管庫へのアクセス、横展開のための足場の確立に成功しました。セルフホスト型のBeyondTrust Remote Supportを運用する組織は、インターネットに公開されているアプライアンスが侵害されている可能性があるものとして扱う必要があります。
「この情報公開を受けて、広範囲で悪用される事態に備えるべきです」。Google Threat Intelligence Group（GTIG）とMandiantは、ブログ記事でこう述べています。記事はこのゼロデイ攻撃を、中国との関係が疑われるスパイ攻撃グループ「ARMORY CASTLE」の仕業と断定しています。同グループは以前「UNC5221」として追跡されていたもので、攻撃は8月下旬に始まったとしています。
BeyondTrustは同日、セキュリティ勧告BT26-05で脆弱性「CVE-2026-102764」を公表し、10月8日にすでにパッチを公開したと説明しました。CVEレコードによると、CVSS 4.0のスコアは9.3で、26.2.3までのRemote Supportバージョンが影響を受けます。Mandiantによれば、認証されていない攻撃者がこの脆弱性を悪用してファイル操作を実行し、ホストレベルの制御を奪って、アプライアンスが保存または仲介するすべての認証情報にアクセスできます。
BeyondTrustは、セルフホスト型の顧客に対して直ちにパッチを適用するよう促しました。ブログ記事では、顧客が対応を終えるまで技術的な詳細は公開しないとしています。
1カ月間、気づかれず
BeyondTrustの時系列によると、最初の悪用は8月29日で、BeyondTrustがホストするインスタンス1件とセルフホスト型アプライアンス1件が標的になりました。同社が侵入を発見したのは9月28日です。他社のエッジアプライアンスが侵害されたと公に報告された後、Mandiantから具体性に乏しい簡単な警告を受けたことがきっかけでした。
「攻撃者が権限を昇格させた際、当社のセンサーはリアルタイムで反応しました」。BeyondTrustはブログでこう明かしています。ところが、同社が利用するサードパーティ製検知プラットフォームの組み込みトリアージツールが、これらのアラートを誤検知として処理してしまったといいます。同社はこのベンダー名を明らかにしていません。BeyondTrustは、ホスト型インスタンスを特定してから27分後に封じ込めたと説明しました。現在はこのベンダーと協力し、重大度の高いシグナルを自動トリアージが単独で閉じられないようにしています。
他の顧客が侵害されたかどうかについて、両社は明らかにしていません。
root権限の奪取、永続化、ログ消去
Googleのブログ記事によると、最初の悪意あるリクエストから約11分後、MandiantがSAWFLYと呼ぶPHP製Webシェルがアプライアンスのウェブルートに設置されました。
Mandiantによると、攻撃者はSAWFLYの権限のないサービスアカウントから権限を昇格させるため、/bin/shを/usr/bin/dbus-authdにコピーし、所有者をrootに変更したうえでSUIDビットを設定しました。さらに起動スクリプトを仕込み、BeyondTrustのsudoersテンプレートにパスワード不要のsudoエントリを書き込んでいます。これにより、再起動や設定リセット後もアクセスを維持できます。
ブログ記事によると、攻撃者はBeyondTrust独自のコマンドラインユーティリティであるbt-secretsのバリエーションをいくつも試し、アプライアンスの認証情報保管庫のダンプも試みました。その後、システム、Webサーバー、アプリケーションのログを12件以上削除しています。
Mandiantはブログ記事で、攻撃者が侵害した管理者アカウントを使い、アカウントのJump ItemとTeamの権限を「アクセスなし」から「管理者」に引き上げたことも明らかにしました。
「この設定変更により、攻撃者は、アプライアンスのJump Itemリストに登録された下流のシステムに対して、リモートセッションを開始する恒久的かつ無制限の権限を得ました」とブログ記事は指摘しています。
攻撃者はカスタムSOCKS5トンネラー「BARECLAW」も展開しました。さらに、アプライアンスのHAProxy設定を書き換え、隠しローカルリスナー経由でトラフィックがBARECLAWに流れるようにしたと、記事は伝えています。
SaaS利用者も無関係ではない
BeyondTrustによると、Remote SupportとPrivileged Remote AccessのSaaSインスタンスには自動でパッチが適用されており、該当する顧客が追加で対応する必要はありません。一方、Mandiantのレポートは、SaaSへの展開を10月9日としています。認証情報のローテーションと設定の確認は、SaaSの顧客にも引き続き必要だと指摘しています。
Mandiantによれば、バージョン24.3.1以降のセルフホスト型アプライアンスは、/applianceインターフェースからBT26-05-RSパッチを適用できます。それより古いバージョンは、先にアップグレードしなければなりません。ただし、アップグレードしても過去の侵害は解消されません。BeyondTrustは、同じコードを共有するPrivileged Remote Accessにもパッチを適用しましたが、PRAを悪用する方法は見つかっていないとしています。
「悪用が行われた期間中に、脆弱なバージョンでインターネットから到達可能だったアプライアンスは、確認が済むまで侵害された可能性があるものとして扱うべきです」。Mandiantは記事でこう述べています。
顧客はアプライアンスのホストファイルシステムを監査できません。そのためMandiantは、不審なアプライアンスは再起動の前にスナップショットを取得し、侵害されたものはクリーンなイメージから再構築するよう勧めています。認証情報のローテーションはパッチ適用後に行うよう助言しています。攻撃者が掌握したままの機器に、新しいシークレットが渡るのを防ぐためです。
同じグループ、同じ手口
GTIGによると、ARMORY CASTLEは少なくとも2023年10月から活動しています。今後もエッジデバイスのゼロデイを悪用し続けると、高い確度で評価しています。BeyondTrustによれば、CrowdStrikeは同じクラスタを「WARP PANDA」として追跡しています。
「CVE-2026-102764をめぐって、同様の広範な悪用の試みが観測される可能性があります」。Mandiantは記事でこう述べました。
GTIGはこのリスクを2024年の状況になぞらえています。この年、同グループはIvanti Connect Secureの脆弱性が公表された後、大規模な攻撃に移行しました。2025年には、Ivantiのパッチから実用的なエクスプロイトを作り上げています。BeyondTrustは、フォレンジック上の証拠はないものの、攻撃者がAIを使って標的製品をモデル化しているのではないかと見ています。これは、攻撃者が新たに公表された脆弱性をより速く武器化しているというGTIGの調査結果と符合します。
勧告一覧によると、BT26-05は、BeyondTrustが今年公表したRemote Supportの重大度「クリティカル」の勧告として3件目です。2月には、CVE-2026-1731が公表の直後から実際に攻撃を受けました。CISAはこの脆弱性を、悪用が確認された脆弱性のカタログ（KEV）に追加しています。
