BeyondTrust製品にCVE-2026-102764——KEV掲載、至急確認を

CVE-2026-102764 の概要——BeyondTrust Remote Supportで何が起きているか

2026年10月15日、BeyondTrustはRemote Support製品に認証バイパスの脆弱性（CVE-2026-102764）が存在することを公表した（最終更新：2026年10月17日、出典：CVE Program — cve.org）。脆弱性の種別はCWE-290「なりすましによる認証バイパス（Authentication Bypass by Spoofing）」であり、Remote Supportの内部コンポーネントが受信メッセージの送信元を適切に検証していないことに起因する。条件が整えば、攻撃者がアプライアンス上でファイル操作を実行できる可能性がある。

CVSS 4.0スコアは9.3（Critical）（評価者：BeyondTrust / CNA）。ベクトルはAV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H であり、ネットワーク経由・認証不要・ユーザー操作不要で、機密性・完全性・可用性のすべてに高い影響が生じる評価となっている。

CVE公開の翌日である2026年10月16日、米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は本脆弱性をKnown Exploited Vulnerabilities（KEV）カタログに追加した。KEVへの掲載は「実際の攻撃での悪用が確認された」ことをCISAが公式に認定したことを意味する（出典：CISA Known Exploited Vulnerabilities Catalog）。ランサムウェアとの関連はKEV上で「Unknown（不明）」とされている。

EPSS（悪用される確率の統計的推定）は0.1895（97.3パーセンタイル、2026年10月29日時点）と高水準にある。EPSSは統計モデルの出力であり、特定の環境で悪用されることを断定するものではないが、同種の脆弱性の中でも相対的に高い悪用可能性が示唆されている。

関連記事テキストマイニングのやり方とツールは？ ／ GANの仕組みと活用事例は？

影響を受けるバージョンと修正対象の確認方法

CVE公式記録（cve.org）によれば、影響を受けるバージョンはBeyondTrust Remote Support 26.2.3以下のすべて（バージョン0から26.2.3まで）とされている。

日本国内でBeyondTrust Remote Supportを運用している組織は、まず利用中のバージョンを確認することが出発点となる。BeyondTrustの告知（BT26-05）によると、対処は修正パッチ（BT26-05-RS）の適用で、パッチの対象はバージョン24.3.1から26.2.3だ。24.3.1より古い版は、先にバージョンを上げてからパッチを適用する必要がある。SaaSで使っている場合は、BeyondTrust側で修正が適用済みとされている。自社で運用している（セルフホストの）場合は、アプライアンスの管理画面で自動更新を購読していなければ、手動でパッチを適用する。

版の判断は、BeyondTrustの公式告知を優先すること。

CVE-2026-102764 主要情報まとめ

項目	内容
CVE ID	CVE-2026-102764
対象製品	BeyondTrust Remote Support
影響を受けるバージョン	0 〜 26.2.3 以下
脆弱性の種別	CWE-290（なりすましによる認証バイパス）
CVSS 4.0スコア（評価者：BeyondTrust）	9.3（Critical）
CVSSベクトル	AV:N / AC:L / AT:N / PR:N / UI:N / VC:H / VI:H / VA:H
CISA KEV掲載	あり（追加日：2026-10-16）
米連邦機関向け対処期限	2026-10-19（BOD 26-04に基づく。日本企業への義務ではない）
EPSS（2026-10-29時点）	0.1895（97.3パーセンタイル）※統計的推定
公式回避策	パッチの適用（パッチ以外の公式な回避策は確認できていない）

Remote Support 脆弱性 CVE-2026-102764——CISA KEV掲載が日本企業に意味すること

KEVへの掲載は、CISAがこの脆弱性の実際の攻撃での悪用を確認したことを示す。CISAの対処期限（2026年10月19日）は米連邦機関向けのもので、日本企業に法的な義務はない。EPSSは0.1895（97.3パーセンタイル）だが、これは統計的な推定で、特定の環境での悪用を断定するものではない。

CVE-2026-102764 への対処

• 修正パッチを適用する：BeyondTrustの告知（BT26-05）のパッチ BT26-05-RS（対象24.3.1〜26.2.3。より古い版は先にバージョンを上げる）。SaaSはBeyondTrust側で適用済みとされている。詳細はBeyondTrustの公式告知を参照。
• 公式の回避策：パッチ以外は確認できていない。
• CISAの対処期限：2026年10月19日（米連邦政府機関向け）。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

---

参考文献

• CVE Program — CVE-2026-102764 公式記録（cve.org）：https://www.cve.org/CVERecord?id=CVE-2026-102764
• NVD — CVE-2026-102764 詳細（nvd.nist.gov）：https://nvd.nist.gov/vuln/detail/CVE-2026-102764
• CISA Known Exploited Vulnerabilities Catalog（cisa.gov）：https://www.cisa.gov/known-exploited-vulnerabilities-catalog