BeyondTrustのリモート支援製品に重大脆弱性
- BeyondTrustの「Remote Support」「Privileged Remote Access」に4件の脆弱性が判明
- 認証データの検証不備や認証処理の不備により、認証なしで特権アカウントとしてアクセスされる恐れ
- CVSSv4.0ベーススコアは最大9.2で、重要度は最高レベルの「クリティカル」
AIセキュリティとの関連: リモートアクセス製品は、社内のAI開発基盤やAI関連データへの保守・運用アクセス経路として使われることがあり、認証回避が悪用されるとAIシステムへの不正アクセスにつながり得るため掲載しています。
一次情報(BeyondTrust公式アドバイザリ BT26-03、CVEレコード)は本文中で言及していますが、直接確認できたリンクは以下の報道のみです。公式アドバイザリの内容は報道記事の要約に基づいています。
何が起きたか
BeyondTrustは2026年7月6日、リモートサポートツール「Remote Support（RS）」および「Privileged Remote Access（PRA）」に関するセキュリティアドバイザリを公開した。CVEベースで4件の脆弱性が確認されており、対象製品は脆弱性ごとに異なるとされる。代表的なものとして、認証サブシステムにおける認証データの検証不備により、アクセス制御を回避して特権アカウントとしてアプライアンスにアクセスできる「CVE-2026-40138」が判明した。また「RS」のみに影響するとされる「CVE-2026-40139」は、認証要求の処理に問題があり、認証を経ずに特権アカウントとしてアクセスされる可能性がある。両脆弱性ともCVSSv4.0のベーススコアは9.2で、4段階評価のうち最も深刻な「クリティカル」とされている（ベンダー評価）。詳細は原典のBeyondTrust公式アドバイザリ（BT26-03）を参照されたい。
誰に・どう影響するか
中小企業の視点では、リモートサポートツールは社内システムへの外部アクセス経路として使われることが多く、認証を回避されると社内ネットワークへの侵入口になりかねない。IT担当者が少ない環境では脆弱性情報の把握が遅れがちなため、ベンダーからの通知やアドバイザリの定期確認が重要となる。大企業の視点では、PRAやRSはヘルプデスクやIT運用部門で広く利用されるケースが多く、特権アカウントへの不正アクセスが成立すると影響範囲は複数システムに及ぶ可能性がある。特にサプライチェーンの一部としてこれらの製品を外部委託先が利用している場合、自社だけでなく取引先を含めた対応状況の確認が必要になる。いずれの規模の組織においても、リモートアクセス製品は攻撃者にとって魅力的な侵入経路であるため、優先度を上げて対応することが求められる。
今すぐやるべきアクション
- BeyondTrust公式アドバイザリ（BT26-03）を確認し、対象バージョンを特定する
- Remote SupportおよびPrivileged Remote Accessを最新版へ速やかに更新する
- アップデートまでの間、外部からのアクセスを制限するなど暫定的な緩和策を検討する
- アクセスログを確認し、不審な特権アカウントの利用がないか点検する
- 委託先やパートナー企業が同製品を利用している場合、対応状況を確認する
重大度の判定理由
重大度「高」: ベンダー評価はCVSSv4.0で9.2（Critical）ですが、本記事作成時点で実際の悪用は確認されていません。認証回避型の重大な脆弱性である一方、悪用実績が未確認である点を踏まえ、本メディアでは「高」と判定しています。