米当局、FortinetとBeyondTrustの脆弱性悪用に注意喚起

米サイバーセキュリティ・インフラストラクチャ・セキュリティ庁（CISA）は、Fortinet製品およびBeyondTrustのリモートサポート製品に関する脆弱性2件が悪用されているとして、2026年10月16日、脆弱性カタログ「Known Exploited Vulnerabilities（KEV）」に追加した。

事案の詳細

対象は、Fortinetの複数製品に存在する「CVE-2025-61624」と、BeyondTrustの「Remote Support」に存在する「CVE-2026-102764」だ。

CVE-2026-102764は、BeyondTrust Remote Supportに存在する認証回避の脆弱性。内部コンポーネントでメッセージの送信元に対する検証が十分でないことにより、リモートの攻撃者が認証なしでアプライアンス上のファイルを操作できる可能性がある。BeyondTrustはCVSS v4.0のベーススコアを9.3、重要度を「クリティカル」と評価している。

Google Cloud傘下のMandiantによると、中国との関連が疑われる攻撃グループ「ARMORY CASTLE」が、2026年8月下旬に同脆弱性を悪用したゼロデイ攻撃を展開した。侵害した機器にはウェブシェルなどを設置し、アクセス経路の維持や権限昇格を図っていたという。

BeyondTrustによると、Remote Support 26.2.3以前のバージョンが影響を受ける。同社は2026年10月15日にセキュリティアドバイザリ（BT26-05）を公開し、24.3.1〜26.2.3向けの修正パッチ「BT26-05-RS」を提供している（24.3.1より古いバージョンは先にアップグレードが必要）。クラウドサービスには同年10月9日までに修正を適用した。オンプレミス環境の利用者にはアップデートを求めている。

CVE-2025-61624は、FortiOS、FortiPAM、FortiProxy、FortiSwitchManagerなど複数のFortinet製品に影響するパストラバーサルの脆弱性だ。悪用には管理者権限が必要とされるが、細工したコマンドをコマンドラインインタフェースから実行することで、任意のファイルの書き込みや削除が可能になる。

KEVに追加された脆弱性について、CISAは米連邦政府機関に期限内の対処を求めている。一般組織についても、該当製品とバージョンの確認、修正の適用、ログや不審なファイルの調査を急ぐ必要がある。

影響と背景

両脆弱性は、ネットワーク境界やリモートサポート、運用管理に関わる製品を対象としている。侵害を許すと、攻撃者によるファイル操作、ウェブシェルの設置、永続的なアクセスの確保などにつながる可能性がある。

特にCVE-2025-61624は、FortiOSをはじめ複数のFortinet製品に影響するため、製品名だけでなく、実際に稼働している製品とバージョンを特定する必要がある。CVE-2026-102764については、BeyondTrustのクラウドサービスには修正が適用済みとされる一方、オンプレミス環境の対応状況は利用者ごとに確認が必要だ。

対策・今後の展望

まず、Fortinet製品およびBeyondTrust Remote Supportの導入状況とバージョンを確認し、ベンダーの案内に従って修正を適用する。悪用が確認されているため、更新前に管理インターフェースを外部から到達できない状態にするなど、案内された緩和策も検討する。

• 利用状況の確認：FortiOS、FortiPAM、FortiProxy、FortiSwitchManager、BeyondTrust Remote Supportの導入有無、バージョン、公開状況、管理者を確認する。
• 更新・修正の適用：FortinetおよびBeyondTrustが提供する修正プログラムを適用する。BeyondTrust Remote Supportは26.2.3以前が影響対象とされるため、適用後のバージョンを記録する。
• 侵害有無の確認：認証のないアクセス、管理者権限の不審な利用、任意ファイルの作成・削除、ウェブシェルなどの不審なファイル、外部への通信を調査する。
• 監視と連絡体制：更新完了まで監視を強化し、SOCやMDR、外部保守先を含めて、対象製品への不審なアクセスを優先的に確認する。侵害が疑われる場合は、機器の隔離と専門機関への相談を行う。

CSRIからの現場アドバイス

【観点①：現場で何が起きているか】CSRIが支援する中小企業のMDR運用では、境界機器や管理系ツールの更新が後回しになり、「現行バージョン不明」「担当者不在」のまま放置される例がある。今回のように悪用が確認された製品では、外部からの不審なアクセスだけでなく、管理者権限の利用、ファイルの作成・削除、ウェブシェルの設置なども確認対象になる。

【観点②：セキュリティ専門家でない人への平易な解説】会社の正面玄関の鍵に「開きやすい欠陥」が見つかり、実際にその欠陥を試す人が現れている状態に近い。鍵を交換するだけでなく、すでに誰かが侵入していないか、室内に不審なものを残していないかも確認する必要がある。

【観点③：中小企業が今週中にできること】まず、社内にFortinet製品やBeyondTrust Remote Supportがあるかを総務、情シス、外部保守先に確認し、機器名、バージョン、管理画面へアクセスできる担当者を特定する。次に、修正プログラムの適用予定日を決め、適用前後の設定とログを保存する。最後に、適用までの間は、対象製品への不審なアクセス、管理者権限の不自然な利用、見覚えのないファイルやウェブシェルの有無を優先的に確認する。

参照: 「Fortinet」「BeyondTrust」の脆弱性悪用に注意喚起 – 米当局