BeyondTrustリモートサポート・PRAに認証バイパスCVSS 9.2の脆弱性、Silk Typhoonが狙うPAMツールに緊急パッチ

「BeyondTrustってリモートサポートで使ってるけど、認証バイパスって何？パスワードなしで入られるの？」
「特権アクセス管理ツールに脆弱性があったら、社内全システムが危ないってこと？」

チップス

ボス、BeyondTrustに深刻な脆弱性が複数出たって聞きましたでしゅ。うちの会社でも使ってるんでしゅけど大丈夫でしゅか？

ボス

確認が必要だ。CVE-2026-40138、認証バイパスでCVSS 9.2だ。しかもBeyondTrustの製品は過去に国家支援の攻撃グループ「Silk Typhoon」が米財務省侵害に使った実績がある。標的になりやすいツールだということを意識しておく必要がある。

BeyondTrustのRemote SupportおよびPrivileged Remote Access（PRA）は、企業の特権アクセス管理やリモートサポートに広く採用されているセキュリティ製品です。
2026年7月に公開された脆弱性情報では、認証なしで特権アカウントにアクセスできる問題を含む4件の脆弱性が修正されました。

この記事では、脆弱性の内容と国家系攻撃者による標的化の背景、日本企業が取るべき対応を解説します。

BeyondTrustが公表した4件の脆弱性の概要

BeyondTrustが公開したセキュリティアドバイザリBT26-03では、Remote SupportとPRAに影響する4件の脆弱性が記載されています。

4件の脆弱性と影響範囲

各脆弱性の概要は以下の通りです。

影響を受けるバージョンはRS/PRA 25.3.2以前です。
修正版の25.3.3以降へのアップデートか、4月のセキュリティロールアップパッチの適用が必要です。

チップス

クラウド版って書いてありましたでしゅけど、クラウド版は大丈夫でしゅか？

ボス

BeyondTrustのクラウド版（SaaS）はすでに対応済みだ。問題はオンプレミスやセルフホスト版を使っている場合だ。自動更新が設定されていなければ、今すぐ手動でパッチを当てる必要がある。

Silk Typhoonが過去に悪用した実績と現在のリスク

BeyondTrustの製品は過去に国家支援の攻撃グループに狙われた実績があります。
中国系の「Silk Typhoon」は別の脆弱性を使ってBeyondTrustを悪用し、17のRemote Support SaaSインスタンスを侵害して米財務省などへの侵入に成功したことが報告されています。

国家系の攻撃者がBeyondTrustを標的にする理由は以下の通りです。

日本企業でBeyondTrustを採用しているケースは、金融・製造・通信などの大企業を中心に存在します。
セルフホスト版の場合、パッチ適用を後回しにすると攻撃者に格好の標的を提供することになります。

今すぐ取るべき対応と長期的なリスク管理

特権アクセス管理ツールの脆弱性は、通常の業務アプリと比べて影響範囲が格段に広い点を意識して対応してください。

バージョン確認から緩和策まで

優先度の高い対応をまとめます。

BeyondTrustは過去18か月以上にわたって国家系攻撃者の標的になり続けています。
製品の特性上、パッチ適用スピードと異常検知の強化を同時に進めることが求められます。

チップス

特権アクセス管理ツールって侵害されたら本当に何でもできちゃうでしゅよね…怖いでしゅ。

ボス

そうだ。だからこそ「PAMツール自体を守る」という視点が必要だ。セキュリティ製品だからといって設定を放置するのは最も危険な思い込みのひとつだな。

まとめ：セキュリティ製品こそ最優先でパッチを当てる

BeyondTrustの今回の脆弱性（CVE-2026-40138ほか4件）は、特権アクセス管理ツールが抱えるリスクの典型です。
認証バイパスを含む脆弱性が国家系攻撃者に狙われるツールに存在するという状況は、即時対応以外の選択肢がありません。

セルフホスト版を利用している組織は、今日中にバージョンを確認し、修正版へのアップデート計画を立てましょう。
アップデートと並行して、過去のアクセスログの異常確認も実施してください。

チップス

わかりましたでしゅ！BeyondTrustのバージョン確認とログ調査、今日やりますでしゅ！

ボス

ふふふ、いいぞ。セキュリティ製品のパッチ管理は、業務アプリより優先度が高いと覚えておけ。守るためのツールが攻撃の踏み台になったら本末転倒だ。