答え公開済み20 ソース
BeyondTrustのゼロデイ攻撃、更新だけでなく侵害の有無も確認を
Armory Castleは、BeyondTrust Remote SupportのCVE 2026 102764を修正プログラム公開前に悪用。CVSS 4.0で9.3と評価されたこの脆弱性により、攻撃者は機器のroot権限を得て、製品が保存・仲介する認証情報にアクセスしたと報告されています。[1][12] BeyondTrustは2026年10月8日に修正プログラムを公開し、10月15日に脆弱性を公表しました。自己ホスト型の利用組織は、修正の適用に加え、機器が侵害されていないか確認する必要があります。[1][7][12]
公開者GPT-6 Luna で編集GPT Image 2 で画像を生成
研究の答え
重要なポイント
- Armory Castleは、BeyondTrust Remote SupportのCVE 2026 102764を修正プログラム公開前に悪用。CVSS 4.0で9.3と評価されたこの脆弱性により、攻撃者は機器のroot権限を得て、製品が保存・仲介する認証情報にアクセスしたと報告されています。[1][12]
- BeyondTrustは2026年10月8日に修正プログラムを公開し、10月15日に脆弱性を公表しました。自己ホスト型の利用組織は、修正の適用に加え、機器が侵害されていないか確認する必要があります。[1][7][12]
AI プロンプト
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the October 17, 2026 report reveal about the suspected China-linked espionage group Armory Castle, formerly UNC5221 and also track. Article summary: The available reporting describes a suspected China-linked espionage campaign in which Armory Castle exploited BeyondTrust Remote Support before a patch was available, gaining appliance control and access to credentials . Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
中国との関連が疑われるサイバー諜報グループが、BeyondTrust Remote Supportの重大な脆弱性を修正プログラムの公開前に悪用していました。GoogleとMandiantの報告によると、攻撃者は対象機器で権限を昇格し、ホストのroot権限を取得。製品が保存または仲介する認証情報にもアクセスしたとされています。1
12
重要なのは、更新だけで対応を終わらせないことです。インターネットからアクセス可能だった自己ホスト型機器については、すでに侵害されていないかも調べる必要があります。12
脆弱性で可能になったこと
CVE-2026-102764は、CVSS 4.0で9.3と評価された脆弱性です。未修正のBeyondTrust Remote Support バージョン26.2.3以前が影響を受けます。内部メッセージ機能で送信元の検証が不十分だったため、認証されていないリモートの攻撃者が信頼されたコンポーネントになりすまし、機器上でファイル操作を行える可能性がありました。2
3
18
GoogleとMandiantによると、攻撃者はこの脆弱性を使って機器に侵入し、権限をホストレベルのrootまで引き上げました。そこから製品が扱う認証情報にアクセスし、ネットワーク内でのさらなる活動につなげられる状態になったと報告されています。1
3
12
攻撃グループと確認されたツール
GoogleとMandiantは、攻撃者をArmory Castleと特定しています。以前はUNC5221として追跡されていました。1 一部の報道では「Warp Panda」という呼称も使われていますが、ここで参照できる情報だけでは、その追跡名をCrowdStrikeが用いていることまでは独立して確認できません。
4
調査報道では、PHP製ウェブシェルのSawflyと、SOCKS5トンネリングツールのBareclawが挙げられています。これらは、侵入後のアクセス維持や、侵害された機器を足がかりにした活動に使われたとされています。28
33
ただし、今回確認できる情報は攻撃の全容を示すものではありません。特定のファイルが盗まれたか、データがどのような手段で持ち出されたかなど、詳しい活動内容については断定を避ける必要があります。
悪用から公表、修正までの経緯
報道によると、脆弱性の悪用は2026年8月下旬、BeyondTrustによる公表前に始まりました。ある報道では、8月29日にBeyondTrustのホスト型環境と自己ホスト型機器が攻撃を受けたとしています。1
19
BeyondTrustは10月8日に修正プログラムを公開し、10月9日までにSaaS環境の顧客への適用を完了したと説明しています。同社は10月15日、セキュリティアドバイザリーBT26-05でCVE-2026-102764を公表しました。1
7
自己ホスト型のRemote Supportでは、バージョン24.3.1から26.2.3までにパッチBT26-05-RSが案内されています。さらに古いバージョンを利用している場合は、修正を適用する前にアップグレードが必要です。1
利用組織が確認すべきこと
- 製品とバージョンを確認する。 自己ホスト型のRemote Support機器が、未修正のバージョン26.2.3以前で稼働していないか調べてください。自己ホスト型環境にSaaS向けの自動更新が適用されたと考えないようにしましょう。
1
18
- 利用バージョンに応じた修正を適用する。 古いリリースでは先にアップグレードが必要となる場合があるため、ベンダーの案内に沿って対応してください。
- 侵害の有無を調査する。 GoogleとMandiantの報告は、root権限の取得や認証情報へのアクセス、ネットワーク内での横展開のリスクを踏まえ、露出していた自己ホスト型機器を侵害された可能性のあるものとして扱うよう促しています。
12
- 関連する認証情報や接続先も確認する。 製品が扱う認証情報へのアクセスが報告されているため、調査対象は機器だけでなく、その機器からアクセス可能なアカウントやシステムにも広げる必要があります。
3
修正を適用すれば、既知の脆弱性を悪用されるリスクは抑えられます。しかし、修正前に機器へアクセスされていたかどうかは、それだけでは分かりません。更新と侵害調査は、別々に実施すべき対応です。1
12
Studio Global AI
研究を続けてください
このページにはソースに裏付けされた回答が含まれており、Studio Global 内で続行できます。
人々も尋ねます
「BeyondTrustのゼロデイ攻撃、更新だけでなく侵害の有無も確認を」の短い答えは何ですか?
Armory Castleは、BeyondTrust Remote SupportのCVE 2026 102764を修正プログラム公開前に悪用。CVSS 4.0で9.3と評価されたこの脆弱性により、攻撃者は機器のroot権限を得て、製品が保存・仲介する認証情報にアクセスしたと報告されています。[1][12]
最初に検証する重要なポイントは何ですか?
Armory Castleは、BeyondTrust Remote SupportのCVE 2026 102764を修正プログラム公開前に悪用。CVSS 4.0で9.3と評価されたこの脆弱性により、攻撃者は機器のroot権限を得て、製品が保存・仲介する認証情報にアクセスしたと報告されています。[1][12] BeyondTrustは2026年10月8日に修正プログラムを公開し、10月15日に脆弱性を公表しました。自己ホスト型の利用組織は、修正の適用に加え、機器が侵害されていないか確認する必要があります。[1][7][12]