BeyondTrust、重大なRCE脆弱性に対するパッチを公開

BeyondTrustは、認証不要のリモートコード実行（RCE）につながる可能性がある、Remote Support（RS）およびPrivileged Remote Access（PRA）における重大度クリティカルの脆弱性に対するパッチを公開しました。

CVE-2026-1731（CVSSスコア9.9）として追跡されているこの問題は、特別に細工されたリクエストを介して悪用され、サイトユーザーとしてオペレーティングシステムのコマンドを実行できてしまいます。

BeyondTrustはアドバイザリの中で、「悪用が成功するために認証やユーザー操作は不要であり、不正アクセス、データ流出、サービス妨害を含むシステム侵害につながる可能性がある」と述べています。

このセキュリティ欠陥は、RSのバージョン25.3.1以前、およびPRAのバージョン24.3.4以前に影響し、RSバージョン25.3.2およびPRAバージョン25.1.1で修正されました。

この欠陥を特定して報告したHacktron AIは、インターネットからアクセス可能なオンプレミスのRS導入環境が約8,500件あり、その多くがこのバグの影響を受けている可能性が高いと推定しています。

BeyondTrustによると、同社のRS製品は主に大企業で利用されており、医療、金融サービス、政府、ホスピタリティ分野の組織でも使用されています。

Hacktron AIは次のように述べています。「BeyondTrust Remote SupportおよびPrivileged Remote Accessは、リモートアクセスと特権セッション管理のために企業環境で広く導入されているため、この脆弱性の潜在的な影響範囲は大きい」。

CVE-2026-1731が実環境で悪用されているという報告は現時点ではありませんが、Rapid7は、過去に国家支援型の脅威アクターが脆弱なBeyondTrust製品を標的にしてきたと指摘しています。

中国に関連するとされるAPT「Silk Typhoon」は、CVE-2024-12356やCVE-2024-12686といった脆弱性に加え、米国政府機関を標的とした攻撃でゼロデイ欠陥を悪用したことが知られています。

Rapid7は次のように述べています。「このように広く利用されているプラットフォームに対する標的型攻撃の歴史を踏まえると、これらのツールは依然として重大な攻撃ベクターであり、直ちに防御措置を講じる必要がある」。