BeyondTrust製品に深刻な脆弱性、緊急パッチ適用が必須
BeyondTrustは、同社の主要製品である「Remote Support (RS)」および「Privileged Remote Access (PRA)」に、認証なしでリモートコードが実行される可能性のある深刻なセキュリティ脆弱性を修正するアップデートをリリースしました。
この脆弱性は、成功した場合、リモートからのシステム侵害につながる恐れがあるため、BeyondTrustはユーザーに対し、速やかにパッチを適用するよう強く促しています。
脆弱性の詳細：CVE-2026-1731
この脆弱性は「CVE-2026-1731」として識別されており、CVSSスコアは9.9という極めて高い評価を受けています。分類としては「OSコマンドインジェクション」であり、BeyondTrustは2026年2月6日に公開されたアドバイザリで、「特別に細工されたリクエストを送信することにより、認証されていないリモート攻撃者がサイトユーザーのコンテキストでオペレーティングシステムコマンドを実行できる可能性がある」と説明しています。
これにより、不正アクセス、機密データの流出、サービスの中断など、深刻な影響が発生する可能性があります。
影響を受けるバージョンと修正パッチ
この脆弱性の影響を受けるのは、以下のBeyondTrust製品バージョンです。
- Remote Support: バージョン25.3.1およびそれ以前
- Privileged Remote Access: バージョン24.3.4およびそれ以前
以下のパッチおよびバージョンで修正されています。
- Remote Support: Patch BT26-02-RS、バージョン25.3.2以降
- Privileged Remote Access: Patch BT26-02-PRA、バージョン25.1.1以降
セルフホスト型（オンプレミス）の顧客は、自動更新を購読していない場合、手動でパッチを適用する必要があります。また、Remote Supportのバージョン21.3より古い、またはPrivileged Remote Accessのバージョン22.1より古い環境では、パッチ適用前にまず新しいバージョンへのアップグレードが求められます。
脆弱性の発見と背景
この脆弱性は、セキュリティ研究者でありHacktron AIの共同創設者であるHarsh Jaiswal氏によって、2026年1月31日にAIを活用した分析を通じて発見されました。Jaiswal氏によると、インターネット上には約11,000のBeyondTrustインスタンスが露出しており、そのうち約8,500のオンプレミス環境がパッチが適用されていない場合、依然として脆弱である可能性があるとのことです。
脆弱性の詳細は、ユーザーがパッチを適用するための猶予期間を確保するために、現在公開が差し控えられています。BeyondTrustのPrivileged Remote AccessおよびRemote Support製品の過去のセキュリティ脆弱性が実際に悪用された経緯があるため、ユーザーは早急に最新バージョンへアップデートすることが、最適な保護のために不可欠です。
元記事: https://thehackernews.com/2026/02/beyondtrust-fixes-critical-pre-auth-rce.html