BeyondTrust Remote Support (RS) and Privileged Remote Access (PRA) のOSコマンドインジェクションの脆弱性（CVE-2026-1731）

何が起きた

BeyondTrust Remote Support（RS）と、Privileged Remote Access（PRA）の一部の古い版に、OS コマンドインジェクションの弱点が見つかりました。攻撃者が細工したリクエストを送ると、ログインしていなくても、サイトの利用者の権限で OS のコマンドを実行できるおそれがあります。ネットワーク経由で、ログイン不要、利用者の操作も不要で悪用できます。実際の悪用が確認されており、CISA はランサムウェアでの悪用も確認済み（Known）としています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

BeyondTrust の勧告では、Remote Support（RS）の 25.3.1 以前と、Privileged Remote Access（PRA）の 24.3.4 以前が影響を受けます。SaaS 版はすでに修正済みのため、主に自社で運用している組織が対象です。

何をすればいい

自社で運用している場合は、BeyondTrust の勧告 BT26-02 に従い、RS にはパッチ BT26-02-RS、PRA にはパッチ BT26-02-PRA を当てるか、RS は 25.3.2 以降、PRA は 25.1 以降に更新してください。自動更新を有効にしていれば、パッチはすでに当たっています。RS の 21.3 より前、PRA の 22.1 より前は、新しい版に上げてからパッチを当てる必要があります。2026年2月9日の時点でパッチを当てずにインターネットに公開していた場合、BeyondTrust は、すぐに更新したうえでサポートに問い合わせるよう強く勧めています。

やることチェックリスト

• RSとPRAのバージョンを確かめる
• BT26-02のパッチを当てるか修正版に更新する
• 2月9日まで未修正で公開していたらサポートに相談する

用語メモ

OS コマンドインジェクション

外から送った文字列が、サーバーの OS コマンドとしてそのまま実行されてしまう弱点です。

ランサムウェア

データを暗号化して使えなくし、元に戻すことと引き換えに身代金を要求する不正なプログラムです。