深刻度の高い新たなエッジ機器の脆弱性が次々と発覚し、実際に悪用されている今週の状況はなお続いています。今度は、BeyondTrustのRemote Supportアプライアンスに見つかった重大な脆弱性を突く、中国系の攻撃が明らかになりました。
今週は、Ivanti、Cisco、Palo Alto Networksの各社が、主力のエッジ製品に見つかった重大な脆弱性を相次いで公表しました。いずれもすでに悪用が確認されています。そこへさらにもう1件が加わった形です。BeyondTrustのブログ記事によると、Mandiantが「Armory Castle」（旧UNC5221、別名UTA0178）として追跡している中国と関係の深い攻撃グループが、2026年8月29日からBeyondTrust Remote Supportの重大な脆弱性をゼロデイとして悪用していました。この脆弱性は「CVE-2026-102764」として追跡されており、CVSSスコアは9.3です。原因は、内部メッセージングコンポーネントが、受信したメッセージの送信元を適切に検証していなかったことにあります。
リモートアクセスツールの重大なバグ以上に深刻なものは、そう多くありません。IT部門はRemote Supportを使って、離れた場所にあるコンピューターやサーバーに接続し、操作しています。攻撃者はこの脆弱性を悪用することで、ほぼ同じことができる状態でした。
Dark Readingは、本件についてBeyondTrustにコメントを求めています。
中国とエッジ機器のバグ：繰り返される構図
Remote Supportは、企業のIT環境で広く使われているソリューションです。BeyondTrustは、顧客が2万社以上に上り、Fortune 100のうち75社が含まれるとしています。
このうちRemote Supportを使っている顧客が具体的にどれほどいるかは不明です。最も参考になる推計は、今年前半に出たものかもしれません。このとき、AIエージェントが、Remote Supportと関連製品のPrivileged Remote Access（PRA）に、CVSS 9.9の認証前の脆弱性を発見しました。当時、研究者はインターネットに公開されたRemote Supportのインスタンスを、クラウドとオンプレミスを合わせて約1万1,000件確認しています。
今回は、防御側のエージェントより先に、攻撃者がこのバグにたどり着きました。しかも攻撃は迅速でした。Armory Castleは、脆弱性を武器化してからわずか11分後に、新たに開発したカスタムのPHP Webシェル「SAWFLY」を展開しています。
その後、このサイバースパイ集団は本格的な活動に移りました。MandiantとGoogleの脅威インテリジェンスグループ（GTIG）のレポートによると、Armory Castleはアプライアンスに組み込まれたシークレット管理データベースを真っ先に狙いました。パスワード、アプリケーションプログラミングインターフェース（API）キー、エンドポイントの認証情報を組織的に探し出し、最終的にすべての管理者の認証情報を抜き取っています。
攻撃者はスクリプトで永続化の仕組みを築き、システム、Webサーバー、アプリケーションの各ログを削除してフォレンジック調査を妨害しました。さらに、一般的なサービスアカウントから完全な管理者権限へ昇格しています。これにより、下流のシステムへのリモートセッションの開始、内部ネットワークの偵察、被害者のデスクトップにある機密性の高い社内文書のダウンロードと外部送信が可能になりました。加えて、SOCKS5トンネリング用の新たなカスタムツール「BARECLAW」も初めて投入しています。
こうした活動が可能だったのは、Mandiantが「深い理解」と評価するほど、攻撃者がBeyondTrustの内部の技術的な仕組みに精通していたためです。
BeyondTrustは10月9日にCVE-2026-102764のパッチを公開し、オンプレミス版のRemote Supportを使う組織に、できるだけ早く更新するよう強く呼びかけました。すべての顧客は、悪用の痕跡がないか調査することが望ましく、可能な限り、ネットワーク管理ツールのインターネット公開を厳しく制限すべきです。
こうした助言はセキュリティチームにとって聞き慣れたものですが、常に実践されているとは限りません。今回、MandiantとGTIGの研究者は、エッジ機器に関するセキュリティ助言が実際にはほとんど守られていない現状を踏まえたのか、運用上の必要性、許容できるリスク、すでに侵害の痕跡を見つけているかどうかに応じて、組織が自らを守るための3つの選択肢を示しました。
研究者はまず、パッチの適用を最優先に挙げています。あわせて、リスクのあるアプライアンスを隔離することも提案しました。具体的には、アクセス経路を遮断し、外向きの通信をベンダーのエンドポイントのみに制限したうえで、クリーンなイメージから再展開します。
組織は、さまざまな種類の補完的な制御を講じることもできます。たとえば、エッジアプライアンスの前段にWebアプリケーションファイアウォール（WAF）を置くといったネットワーク制限があります。認証情報と設定の衛生管理としては、認証情報のローテーションやセッションの確認・失効などがあります。さらに、コントロールプレーンの制限として、権限を最小限に抑え、認証情報をアプライアンス内蔵のボールトではなく外部のボールトに保管する方法もあります。このほかにも多くの対策があります。
ネットワークセキュリティベンダーにとって厄介な1週間
エッジ機器のバグは、牛乳配達のようなものです。毎週ほぼ確実に届き、見逃せば問題を抱えることになります。それでも、ここ数日は深刻なバグが立て続けに明らかになりました。
発端は10月13日です。Volexityの研究者が、正体不明の攻撃者が、最新の状態に更新されたIvanti Connect Secure（ICS）VPNアプライアンスに対し、ゼロデイの攻撃チェーンを悪用していると明らかにしました。このチェーンは、認証バイパス、リモートコード実行（RCE）、権限昇格という、最悪の種類の脆弱性をすべて組み合わせたものです。このうち前の2つは「CVE-2026-104935」として一括で追跡されており、CVSSスコアは10点満点中8.6の「高」です。
翌日には、CiscoのSecure Email Gateway（SEG）のAdvanced Malware Protection（AMP）機能に存在する脆弱性「CVE-2026-76519」が公表されました。リモートの攻撃者がデバイスのオペレーティングシステムに任意のファイルを書き込める脆弱性で、CVSSは10点満点中9.8と極めて高く、同日中に米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）の悪用が確認された脆弱性（KEV）カタログに追加されました。
同じ日にCISAのKEVカタログに追加されたものには、「CVE-2026-0322」もあります。Palo Alto NetworksのPAN-OSに存在する深刻度の高いRCEの脆弱性で、CVSSスコアは8.6です。PAN-OSは、同社のファイアウォール製品すべての基盤となるオペレーティングシステムです。
その翌日には、MandiantとGTIGがArmory Castleに関する調査結果を公開しました。これとは別に、GreyNoiseは、「skynox7」として追跡している攻撃者に関するブログ記事を公開しています。この攻撃者は、パッチ未適用でインターネットに公開されたネットワーク接続ストレージ（NAS）やネットワークビデオレコーダー（NVR）などの家庭用機器を使い、レジデンシャルプロキシネットワークを構築しているとのことです。
Bambenek Consultingのジョン・バンベネク（John Bambenek）社長は、次のように嘆いています。「いまや、ネットワーク機器や、組織のIT環境の大部分を管理するツールで、こうした種類の脆弱性が月に1回ほどのペースで起きています。企業は結束して声を上げ、これらのベンダーに、セキュリティに本気で取り組むべき時だと伝える必要があります」
翻訳元: https://www.darkreading.com/endpoint-security/beyondtrust-remote-support-exploited-edge-bugs
