BeyondTrust Remote SupportにCVSS 9.2の認証バイパス脆弱性CVE-2026-40138/40139が発覚、未認証で特権アカウントに到達可能

「BeyondTrustを使っているけど、うちのバージョンは大丈夫？」
「認証バイパスって、ログインなしで特権アカウントを使えるってこと？」

チップス

ボスー！BeyondTrustにまた深刻な脆弱性でしゅか？CVSSが9.2って相当ヤバいでしゅよね？

ボス

ああ、CVE-2026-40138とCVE-2026-40139の2件だな。どちらもCVSS 9.2で、特定の認証設定が有効な環境では未認証の攻撃者が特権アカウントにアクセスできる恐れがある。パッチは既に出ているから、対象バージョンかどうかの確認が急務だ。

BeyondTrustのRemote SupportとPrivileged Remote Access（PRA）は、IT担当者のリモートサポート業務に広く使われているツールです。
今回の脆弱性は、悪用されると認証を経ずに特権アカウントへのアクセスが可能になる深刻なものです。

この記事では脆弱性の詳細・攻撃シナリオ・影響バージョンと対応手順を解説します。

CVE-2026-40138/40139の概要。2件の認証バイパスがBeyondTrust製品に発覚

BeyondTrustは2026年7月6日、リモートサポート製品群に2件の重大な認証バイパス脆弱性が存在することを公表し、パッチを提供しました。

2件の脆弱性の基本情報

どちらの脆弱性も「特定の認証設定が有効な環境」を前提条件としており、その条件が揃った場合にネットワーク上の未認証攻撃者がアクセス制御を回避して特権アカウントに到達できます。
2件の脆弱性の詳細は以下の通りです。

チップス

「特定の認証設定が有効な環境」って、どのくらい当てはまるんでしゅか？

ボス

公式発表では設定の詳細は非公開だが、一般的なリモートサポートの構成では有効になっているケースが多い。だから対象バージョンを使っているならパッチ適用を最優先にする必要があるんだ。

攻撃シナリオと今すぐ取るべき対応

認証バイパス脆弱性は、攻撃者が認証プロセスを迂回して特権アクセスを得る点で、リモートサポート環境にとって特に危険な種類の脆弱性です。

悪用された場合の影響と推奨対応

BeyondTrustのリモートサポート製品は、IT管理者がユーザーPCやサーバーに接続して操作する用途で使われます。
認証バイパスで特権アカウントにアクセスできた攻撃者は、管理対象端末への不正アクセスや社内ネットワークへの横移動が可能になります。
BeyondTrustはRS 25.3.3・PRA 25.3.3以降でこの脆弱性を修正しています。
取るべき対応は以下の通りです。

BeyondTrust製品は過去にも高リスクの標的に

BeyondTrustはリモートアクセスや特権アカウント管理の製品として多くの企業・政府機関が導入しているため、攻撃者からの関心が高い製品群です。
2025年には別の重大脆弱性（CVE-2024-12356等）が実際に悪用された事例もあり、パッチ管理の優先順位を高く設定しておく必要があります。
BeyondTrustを利用している場合は、定期的なバージョン確認とベンダーのセキュリティアドバイザリの購読を習慣化することが重要です。

チップス

特権アカウント管理ツール自体に脆弱性があるって、皮肉でしゅよね……

ボス

だからこそ、こういったツールのバージョン管理は最優先事項にする必要があるんだ。セキュリティツール自体が攻撃の入口になることは珍しくない。守りの要となるものだからこそ、常に最新の状態に保つことが鉄則だ。

まとめ

BeyondTrust Remote SupportとPRAに発覚したCVSS 9.2の認証バイパス脆弱性CVE-2026-40138/40139は、特定の条件下で未認証攻撃者が特権アカウントに到達できる深刻な問題です。
積極的な悪用は現時点では確認されていませんが、BeyondTrustは過去にも攻撃者の標的になってきた製品群です。
対象バージョン（25.3.2以下）を利用している場合は、RS/PRA 25.3.3以降への即日アップデートを実施してください。

チップス

バージョン確認、今すぐやってみるでしゅ！

ボス

ふふふ、その素早さが守りの要だ。