Source: https://www.bleepingcomputer.com/news/security/beyondtrust-warns-of-critical-rce-flaw-in-remote-support-software/

Original Title: BeyondTrust warns of critical RCE flaw in remote support software

Published (UTC): 2026-02-09T04:07:03+00:00

要旨（日本語）

・BeyondTrustがRemote Support（RS）およびPrivileged Remote Access（PRA）に関する重大な事前認証RCE（CVE-2026-1731）へのパッチ適用を勧告。
・原因はOSコマンドインジェクション。発見者はHarsh JaiswalとHacktron AIチーム。
・影響バージョン：RS 25.3.1以前、PRA 24.3.4以前。
・攻撃は未認証・低複雑度で細工したクライアント要求により成立し、ユーザー操作は不要。成功時はサイトユーザー権限でOSコマンド実行が可能となり、侵害・不正アクセス・データ流出・サービス停止の恐れ。
・BeyondTrustは2026年2月2日までにクラウド版RS/PRAを保護済み。オンプレ利用者は（自動更新未設定なら）RS 25.3.2以降、PRA 25.1.1以降へ手動アップグレードが必要。
・Hacktron推計では、インターネット公開インスタンスは約11,000件で、うち約8,500件のオンプレが未適用なら潜在的に危険。
・現時点でCVE-2026-1731の悪用は確認されていないとBeyondTrustは説明。
・前史として、2025年6月にRS/PRAのSSTIに起因する高深刻度脆弱性（未認証RCEに至り得る）を修正。
・さらに2年前、盗難APIキーとゼロデイ（CVE-2024-12356／CVE-2024-12686）を悪用され、RSのSaaS 17インスタンスが侵害。
・その一件は米財務省の侵害に波及し、Silk Typhoon（中国支援）と関連。制裁関連の機微な非機密情報の窃取が疑われ、CFIUSやOFACも標的に。
・CISAは2024年12月19日にCVE-2024-12356をKEVに追加し、米政府機関へ1週間以内の対策を指示。
・BeyondTrustは100超の国で2万社超、Fortune 100の75%に提供。RSは企業向けリモート支援、PRAは特定システム/リソースへの認可制御を担うゲートウェイ。