【ITニュース解説】Counting What Is Reachable: BeyondTrust Remote Support After the Armory Castle Intrusion

今回のニュースは、企業がリモートワークなどで利用するBeyondTrust Remote Supportという製品のセキュリティに関する非常に重要な出来事を伝えている。セキュリティの世界では「CVE-2026-102764」と識別される深刻な脆弱性が発見され、実際に「Armory Castle」という中国系のサイバー攻撃グループによって悪用されたという内容だ。

この脆弱性は「認証バイパス」と呼ばれる種類のもので、本来であればユーザー名とパスワードなどを使って本人確認を行うべきところを、その認証プロセスを不正にすり抜けてシステムに侵入できるというものだ。その危険性は9.3という非常に高いスコアがつけられており、BeyondTrust Remote Supportのバージョン26.2.3以前の製品が影響を受ける。BeyondTrust社はクラウドサービス（SaaS）を利用している顧客に対してはすでにパッチ（修正プログラム）を適用したが、自分たちのサーバーに製品をインストールして運用している企業（自己ホスト型アプライアンス）は、手動でパッチを適用する必要がある。もし自動更新が有効になっていない場合、特に注意が必要となる。

今回の攻撃グループ「Armory Castle」は、この認証バイパスの脆弱性を利用してBeyondTrustのアプライアンス（専用機器）に最初の侵入経路を確立した。その後、彼らは侵入したウェブサービスのアカウントから、システムの最高権限である「root権限」へと昇格させた。これは、システムシェル（コンピューターを操作するための基本的なプログラム）を別の場所にコピーし、特別な権限（SUID権限）を有効にすることで実現された。root権限を奪われると、システム全体が攻撃者の意のままに操作される危険性がある。 アプライアンスの制御を奪った後、攻撃者は「Sawfly PHPウェブシェル」という悪質なプログラムを設置し、これを介して外部から自由にコマンド（命令）を実行できるようにした。さらに、アプライアンスに保存されているパスワードなどの秘密情報も盗み出し、「Jump Items」という機能の権限を管理者レベルに引き上げることで、そのアプライアンスを経由して、さらに別の下流システム（社内ネットワーク内の他のサーバーなど）へも自由にリモート接続できるようになってしまった。これは、まさにリモートサポートツールが悪意あるリモート操作ツールに変貌してしまったことを意味する。

このような重大なインシデントが発生した場合、各企業にとって最初の、そして最も重要な疑問は「自社のBeyondTrust Remote Supportアプライアンスのうち、インターネットからアクセスできるものはいくつあるのか？」ということになる。今回のニュースでは、GoogleやBeyondTrust社は実際に侵害された組織の数を公表しておらず、脆弱性の根本原因もまだ明らかになっていない。そのため、企業自身が自社の状況を調査し、脆弱なバージョンが稼働しており、かつ攻撃期間中にインターネットからアクセス可能だったアプライアンスがないかを確認する必要がある。

自社のアプライアンスがインターネットからアクセス可能かどうか（リーチ可能性）を調査する方法として、ZoomEyeのようなインターネット検索エンジンが利用される。これらの検索エンジンは、インターネット上に公開されているデバイスやサービスをスキャンし、その情報をデータベース化している。しかし、ZoomEyeのフィンガープリント（特定のソフトウェアやサービスを識別するための特徴的な情報）は、このBeyondTrust製品に関しては完璧ではないことが示されている。例えば、app="BeyondTrust Remote Support"のように具体的な製品名で検索しても、結果が全く表示されない場合がある。これは、製品がインターネットに公開されていないからではなく、ZoomEyeがその製品を正しく識別できていない「フィンガープリントのカバー率の問題」である。 一方で、title="BeyondTrust"のように、ウェブページのタイトルに含まれるブランド名で検索すると、非常に多くの結果が表示される。しかし、この中には実際のBeyondTrustアプライアンスだけでなく、製品のログインページ、ドキュメントサイト、あるいは販売代理店のウェブページなど、本件とは直接関係のないウェブサイトも含まれるため、結果が過大評価されてしまう可能性がある。 このように、単一の検索クエリでは自社のアプライアンスの状況を正確に把握することは難しい。Shadowserverのような別の公開情報源も1,400以上のBeyondTrustインスタンスの公開状況を追跡しているが、これらはあくまで「インターネットからアクセス可能であること」を示しているだけであり、そのすべてが脆弱なバージョンであるとか、実際に侵害されているということを示すものではない。 正確な状況を把握するためには、まずブランド名での広範な検索から始め、その結果を自社が所有するIPアドレスの範囲（ネットブロック）、使用しているSSL証明書の情報、DNSレコードと照合してフィルタリングする必要がある。それでも残る不審なホストについては、手動で確認することが求められる。

今回の事態を受けて、企業が速やかに取るべき対策がいくつか示されている。 まず、インターネットに公開されている自社のIPアドレス範囲を、title="BeyondTrust"のようなブランド名検索でスキャンし、自社のネットワークブロック、証明書の対象、ホスト名で結果を絞り込む。次に、絞り込まれたホストがBeyondTrust Remote Supportのバージョン26.2.3以前を実行しているかを確認する。該当するすべてのアプライアンスには直ちにパッチを適用し、自動更新機能が意図せず無効になっていないかを再確認する。 さらに、ネットワークの境界（エッジ）で、アプライアンスへの/loginや/applianceといった特定のパスへのアクセスを制限することが重要だ。また、アプライアンス自体ではなく、その手前のファイアウォールでアプライアンスの公開アドレスへの外部からの通信をブロックし、その拒否ログを記録することも推奨される。

そして、最も重要なのは「攻撃期間中に脆弱なバージョンでインターネットからアクセス可能だったすべてのアプライアンスは、侵害された可能性があると見なすべきである」という点だ。これは、単にパッチを適用して終わりにするのではなく、システムをクリーンな状態に再構築することを意味する。つまり、既存のアプライアンスを完全に消去し、最新の修正済みバージョンをゼロからインストールし直すべきだということだ。Mandiantもこの点について、パッチを適用しただけで安心するのではなく、メモリや設定の入念な検査を行うべきだと強調している。この「再構築」というステップは手間がかかるため省略されがちだが、セキュリティを確保するためには不可欠な作業となる。

今回の調査で得られる数値は、2026年10月23日時点のスナップショットであり、情報公開後にすでにパッチを適用したり、アプライアンスをオフラインにした企業は反映されていない。また、VPNの背後や許可リストによってアクセスが制限されているアプライアンスは検出されないし、ハニーポット（攻撃を誘い込むための偽のシステム）や、単にベンダー名が記載されているだけのウェブページも含まれる可能性がある。そのため、これらの数値は脆弱なホストを特定するものでも、実際の侵害を測定するものでもない。 しかし、今回の測定が提供する価値は、リモートサポート環境の全体像を見失っていた組織にとって、その状況を把握するための信頼できる出発点となるリストを提供することにある。このBeyondTrust製品は過去3年間で3回も悪用されている事例があり、このようなリストを常に最新の状態に保つことは、企業のセキュリティ対策において非常に重要だと言える。