CVE-2026-102764: 中国のハッカーによって悪用されたBeyondTrustリモートサポートの重大なゼロデイ脆弱性

BeyondTrustは、疑わしい中国関連のサイバー諜報活動者によってゼロデイとして悪用された、リモートサポート（RS）の重大な脆弱性であるCVE-2026-102764を公開しました。この欠陥はCVSS 4.0スコア9.3を持ち、認証されていないリモート攻撃者が脆弱なデバイスで任意のファイル操作を実行できる可能性があります。

Google Threat Intelligence GroupとMandiantは、観測された悪用を属性づけ、ARMORY CASTLEと呼び、以前はUNC5221として追跡され、またWARP PANDAの名でも知られているグループとしています。これまで、インターネットに接続されたセキュリティ機器を対象として、未知の脆弱性を悪用して高価値な環境に持続可能なアクセスを得る歴史があります。

攻撃は早くも2026年8月29日に始まり、脅威アクターはBeyondTrustホストのリモートサポートインスタンス1件とセルフホストの機器1件を成功裏に悪用しました。BeyondTrustはその後、脆弱性を再現し、修正を開発し、2026年10月15日にCVEを公開する前にBT26-05パッチを配布し始めました。

悪用が成功すると、攻撃者は特権付きリモートアクセスを仲介するアプライアンス及び管理者の資格情報、APIシークレット、サポートセッション、内部エンドポイントへのアクセスなどを含むか、アクセスを提供する可能性のあるアプライアンスに足場を得ることができます。Mandiantは、攻撃者がルート権限にエスカレートし、カスタムマルウェアを展開し、資格情報を収集し、アクセス制御を変更し、下流システムにピボットするのを観測しました。

組織はSOC PrimeのAIネイティブ検出インテリジェンスプラットフォームを活用して、新たな脆弱性や活動中の悪用キャンペーンに対する脅威ハンティングと検出エンジニアリングをSIEM、EDR、XDR、データレイク環境全体で加速できます。

Prime Architectはセキュリティチームが技術的脅威インテリジェンスを検出ロジック、ハンティングクエリ、環境特有のルールに変換し、新たに公開された攻撃技術の迅速な分析をサポートするのにも役立ちます。

営業へのお問い合わせ

CVE-2026-102764分析

CVE-2026-102764はBeyondTrustのリモートサポートバージョン26.2.3まで及びそれを含むバージョンに影響します。BeyondTrustはこの問題をCWE-290の内部メッセージングコンポーネントにおける不適切な起源検証と分類しました。影響を受けるコンポーネントは受信メッセージの起源を十分に検証せず、リモート攻撃者が特定の条件下でアプライアンスでファイル操作を行えるようにしました。

この欠陥は、ネットワークからアクセス可能な攻撃ベクトル、低攻撃複雑性、必要な特権なし、使用者の相互作用なしで、CVSS 4.0スコア9.3を受け取りました。成功した悪用は、機密性、整合性、可用性に対して大きな影響を有する可能性があります。

BeyondTrustは、セルフホスト組織が修正を完了するまで、脆弱性のより低いレベルの技術詳細を保留にしています。しかし、Mandiantのインシデント対応調査は、攻撃者がどのように弱点を悪用したかについての大幅な洞察を提供します。

ARMORY CASTLEはこの脆弱性を悪用して、BeyondTrustのリモートサポートアプライアンスに悪意のあるファイルを配置しました。Mandiantは、カスタムウェブシェルSAWFLYの作成前に通常でないPHPリソースに対するPOSTリクエストを観測しました。

mangoapi.phpとして保存されたSAWFLYは、その存在を隠しつつ対話型コマンド実行を提供する軽量なPHPウェブシェルです。それはカスタムBase32通信層を使用し、RC4暗号化と組み合わせられ、特定のパラメータを含むリクエストのみに応答します。このチェックに失敗したリクエストはHTTP 404応答を受け取り、ウェブシェルが自動クローラーと基本的なセキュリティスキャンを回避するのに役立ちます。

ウェブシェルは最初は特権のないサイトサービスアカウントで実行されました。ルートアクセスを得るために、攻撃者は/bin/shを/usr/bin/dbus-authdにコピーし、ファイルオーナーをルートに変更し、SUID許可ビットを有効にしました。改変されたバイナリを実行することで、持続的なルートレベルのコマンド実行を提供しました。

ルートアクセスはARMORY CASTLEにBeyondTrustアプライアンス上およびその特権付きアクセスデータに関する大幅な制御を与えました。Mandiantは、アクターが正当な/ns/sbin/bt-secrets管理ユーティリティを乱用して、アプライアンスのネイティブシークレットボールトに保存されたパスワード、APIキー、その他の認証情報を取得しようとするのを観測しました。

攻撃者はまた、再起動と設定リセットを通じてアクセスを維持するための措置も取りました。/home/bomgar/sbin/post_boot.dにzz-root-persistというスタートアップスクリプトを作成し、アプライアンスのsudoersテンプレートを改変して、破損したサービスアカウントがパスワードなしのルート特権を受け取るようにしました。

別のカスタムツールBARECLAWは、侵害されたデバイスを通じた秘密トンネルの確立に展開されました。BARECLAWは、認証、トラフィックの難読化、送信先の制限、上流のプロキシング、およびTLSをサポートできるWebSockets上で動作するCベースのSOCKS5プロキシです。

攻撃者はアプライアンスのHAProxy設定を変更し、特別に選ばれたWebSocketパスへの外部リクエストをローカルホストで待機しているBARECLAWに透過的にリダイレクトしました。これにより、トンネルは基本的な外部ポートスキャンから隠されつつも、アプライアンスの正当なHTTPSインフラストラクチャを通じて到達可能なままに保たれました。

侵害後の活動はアプライアンス自体を超えて拡張されました。ARMORY CASTLEは盗まれたまたは変更されたBeyondTrust管理権限を使用して、内部エンドポイントに対してリモートサポートセッションを起動し、ファイルシステムアクセスを要求し、偵察に有用な内部文書をダウンロードしました。

また、脅威アクターは広範囲にわたるアンチフォレンジックも行いました。Mandiantは認証ログ、ウェブサーバーの記録、アプリケーションログ、PHPログ、及び資格情報ボールトアクセスに関連する記録の削除を観測しました。これらの行動は、アプライアンステレメトリをホストレベルの侵害後に消去できない外部のSIEMやログリポジトリに転送することの重要性を強調しています。

BeyondTrustはこの活動をARMORY CASTLEに中程度から高い信頼性で帰属とし、Mandiantの評価と一致しています。このグループは、長期的な諜報活動の一環としてCitrix NetScalerおよびIvanti Connect Secureを含む、従来の脆弱性を悪用してきました。

現在の公開には、CVE-2026-102764の公開されたPoCは含まれていません。BeyondTrustは、脆弱なセルフホストの機器が未保護のままである間は、コピーキャット攻撃のリスクを減らすために悪用の詳細を明確に控えています。

CVE-2026-102764の検出には、異常なPHPファイル、ウェブアクセス可能なディレクトリ内での予期しないファイル作成、説明のつかないSUIDバイナリ、HAProxyまたはsudoersテンプレートの変更、管理者ロールの疑わしい変更、アプライアンスログ転送の中断を調査することが必要です。

CVE-2026-102764の緩和

BeyondTrustは、影響を受けた顧客に協調公開の前にBT26-05パッチをリリースしました。2026年10月9日時点で、同社はすべてのリモートサポートSaaS顧客インスタンスに修正を適用しました。SaaS顧客はアプライアンス自体を手動でパッチする必要はありません。

セルフホストのリモートサポート顧客はバージョン24.3.1から26.2.3を実行している場合は、アプライアンス管理インターフェースを通じて即座にBT26-05-RSパッチをインストールする必要があります。バージョン24.3.1より古いバージョンを実行している組織は、サポートされているリリースに最初にアップグレードした後、セキュリティパッチを適用する必要があります。

BeyondTrustはリモートサポートが脆弱であることを確認しましたが、特権付きリモートアクセスも影響を受けるコードの一部を共有しています。ベンダーは、PRAに対する問題の悪用に成功した方法を特定していませんが、予防策として対応するパッチをリリースしており、セルフホストのPRA顧客がそれを適用することを推奨しています。

組織は、悪用期間中に脆弱なままであったインターネットにアクセス可能なリモートサポートアプライアンスを、完全に調査されるまで潜在的に侵害されたものと見なすべきです。パッチをインストールすることで将来の悪用を防ぎますが、修正前に確立されたマルウェアや持続性を取り除くものではありません。

Mandiantは疑わしいアプライアンスを再起動または再構築する前にフォレンジック証拠を保存することを推奨しています。仮想アプライアンスの場合、可能な限りメモリをキャプチャし、スナップショットを取り、ディスクをエクスポートすることが含まれます。組織はまた、攻撃者がホストレベルの侵害後に消去できない外部ファイアウォール、WAF、リバースプロキシ、およびSIEM記録を保存する必要があります。

確認されたまたは潜在的に侵害されたアプライアンスは、周辺部で隔離されるべきです。組織は、必須のBeyondTrustの更新およびライセンスインフラストラクチャへのアクセスだけを維持しつつ、アウトバウンドトラフィックを制限することも検討できます。

ホストレベルでの侵害が確認されるか、排除できない場合、Mandiantは個々の悪意あるコンポーネントを削除しようとするのではなく、クリーンで完全にパッチ済みのイメージからアプライアンスを再構築することを推奨しています。キャンペーンで観察されたホストレベルの持続性は、再起動および設定リセットを生き延びる可能性があります。

資格情報のローテーションは、侵入されたアプライアンスがパッチされ、隔離されるか再構築された後にのみ行うべきです。さもなければ、攻撃者がシステムの制御を保持している場合、新しい資格情報が直ちにアクセス可能になる可能性があります。

資格情報ローテーションの優先対象には、アプライアンス管理者、リモートサポート管理者、APIクライアントシークレット、SAMLキー、ディレクトリサービスバインドアカウント、リモートサポートボールト資格情報、統合シークレット、および潜在的に侵害されたサポートセッション中に入力された資格情報が含まれます。

CVE-2026-102764の悪用を検出するために、セキュリティチームは、ウェブリクエストやファイル作成イベントとアカウント変更、サポートセッション活動、予期しないファイル転送、疑わしいWebSocket接続、外部にフォワーディングされたロギングのギャップを相関させる必要があります。

公開されたCVE-2026-102764のIOCには、SAWFLYウェブシェルファイル名mangoapi.php（SHA-256: dc14e215269a93fdbc4c1a80b984c23faf7af0911c6dbb85309796a6f2ae95fb）、BARECLAWバイナリingredi_ws（SHA-256: 1f19b9a27d79c11bda00a1e8faf74a7fdd683d38ccef1b60df2fd0307e3aa462）、およびステージングパスapp_84304470.phpが含まれます。

追加の行動指標には、SUID許可での/usr/bin/dbus-authdの作成、zz-root-persist起動スクリプト、/ns/config/sudoers.templateへの疑わしい変更、/ns/config/haproxy.confへの予期しない修正、およびWebSocketパス/uidchanargeが含まれます。

セキュリティチームはまた、Jump Itemやチーム権限の予期しない増加、新規APIアカウントやユーザーの作成、疑わしい管理者ログイン、説明のつかないファイル転送セッション、アウトバウンドロギング先の変更についてBeyondTrust監査イベントを確認する必要があります。

ARMORY CASTLEが観察された侵入中にローカルログを体系的に削除したため、組織はアプライアンスに常駐する証拠にのみ依拠しないようにするべきです。集中ログ転送、ネットワーク周辺のテレメトリ、リバースプロキシログ、下流のエンドポイントテレメトリは、潜在的な侵害を再構築するために不可欠です。

BeyondTrustはまた、/loginおよび/applianceインターフェースへのアクセスを制限し、管理者に対するフィッシング耐性のMFAを強制し、ローカルの特権アカウントを最小限にし、APIの権限を制限し、操作上可能な場合はデフォルト拒否のアウトバウンドフィルタリングを適用することを推奨しています。

SOC PrimeのAIネイティブ検出インテリジェンスプラットフォームは、セキュリティチームが最新のARMORY CASTLE活動に関する脅威インテリジェンスを運用化し、アイデンティティ、ネットワーク、エンドポイント、アプライアンステレメトリ全体での行動ハンティングを加速するのを助けることができます。