BeyondTrust重大脆弱性！建設会社の遠隔保守と外部接続対策

建設会社の社長、パソコンや施工管理システムのトラブルが起きたとき、保守会社が遠隔操作で対応してくれることはありませんか。

遠隔保守は便利ですが、社外から社内システムに接続する仕組みである以上、適切な管理が必要です。

2026年10月15日、米国のセキュリティ企業BeyondTrustは、遠隔サポート製品「Remote Support」の重大な脆弱性「CVE-2026-102764」を公表しました。

この脆弱性は、特定の条件下で、認証を受けていない攻撃者が対象機器上で不正なファイル操作を行えるおそれがあるものです。深刻度はCVSS v4.0で9.3と評価されています。

ただし、今回の脆弱性が、すべての遠隔保守ソフトや建設会社のシステムに存在するという意味ではありません。対象製品、利用形態、更新状況を確認することが重要です。

この記事では、BeyondTrustの公式発表をもとに、建設会社が遠隔保守や外部接続を安全に利用するための確認事項を解説します。

1. BeyondTrustで何が公表されたのか

BeyondTrustは2026年10月15日、遠隔サポート製品「Remote Support」に関するセキュリティ情報「BT26-05」を公開しました。

対象の脆弱性は「CVE-2026-102764」です。製品内部のメッセージ処理で送信元の検証が不十分なため、一定の条件下で攻撃者が対象機器上のファイル操作を行える可能性があります。

深刻度はCVSS v4.0で9.3、Critical（重大）です。

ここで注意したいのは、脆弱性が存在することと、実際に情報が流出したことは別だという点です。脆弱性の情報だけで、利用企業すべてに情報漏えいが発生したとは判断できません。

公式情報：BeyondTrust Security Advisory BT26-05

2. 対象製品と更新状況

BeyondTrustの公式情報では、Remote Supportのバージョン26.2.3以前が対象とされています。

自社設置型のRemote Supportでは、24.3.1～26.2.3向けの修正パッチが案内されています。それより古いバージョンでは、更新可能なバージョンへのアップグレードが必要です。

また、BeyondTrustは関連製品「Privileged Remote Access」にも予防的な修正パッチを提供しています。同社によれば、同製品については社内検証で今回の脆弱性を悪用できる経路は確認していませんが、共通コードがあるため適用を推奨しています。

自社で製品を管理していない場合は、保守会社に対象製品の利用有無と対策状況を確認してください。

3. 実際の悪用について分かっていること

BeyondTrustは、今回の脆弱性が公表前に悪用されたことを明らかにしています。

同社の10月16日更新情報によると、8月29日にBeyondTrustが提供するRemote Support環境1件と、顧客が自社設置したRemote Support環境1件で、悪用が確認されました。

10月16日の更新時点で、同社が把握する影響顧客はこの2件とされています。ただし、今後の調査によって状況が変わる可能性があります。

攻撃者の属性についても分析が公表されていますが、建設会社が優先すべきなのは攻撃者の名称ではなく、自社の接続環境が対象か、修正が適用されているかを確認することです。

参考：BeyondTrust「ARMORY CASTLE and BT26-05: What Security Teams Need to Know」

4. 建設会社に関係する理由

建設会社では、次のような業務で外部の保守会社やシステム会社が遠隔接続を利用する場合があります。

• 施工管理システムの保守
• 積算・見積システムの設定変更
• 会計・給与システムの障害対応
• 社内サーバーやネットワーク機器の管理
• 工事写真・図面共有サービスのサポート
• 現場事務所のパソコンへの遠隔サポート

ただし、これらの業務でBeyondTrustが利用されているとは限りません。製品名を知らない場合も、まず保守会社に確認することが重要です。

仮に外部接続経路が不正利用されれば、設定や権限によっては、重要な工事資料へのアクセスやシステム停止などにつながるおそれがあります。

これは建設会社で想定されるリスクであり、今回のBeyondTrustの事例で建設図面や見積書の流出が確認されたという意味ではありません。

5. 遠隔保守の接続経路を把握する

遠隔保守の安全管理は、まず接続経路を把握することから始まります。

次の項目を、保守契約やシステム管理台帳で確認してください。

• どの保守会社が遠隔接続できるか
• 接続に使用する製品・サービス名
• 接続対象のパソコン・サーバー・システム
• 常時接続か、必要なときだけ接続する仕組みか
• 接続の承認者と管理責任者
• 操作記録や接続履歴の保存先

特に、以前の保守会社が使っていた遠隔操作ソフトや、使われなくなった接続アカウントが残っていないか確認することが重要です。

6. 保守会社へ確認したい5項目

今回のニュースを受けて、建設会社の社長が保守会社へ確認したいことは次の5つです。

1. 当社の遠隔保守にBeyondTrust製品を使用していますか
2. 使用している場合、Remote SupportまたはPrivileged Remote Accessのどちらですか
3. 自社設置型ですか、それともクラウド型ですか
4. 今回のBT26-05に関する更新・対策は完了していますか
5. 不審な接続や操作がなかったか、ログを確認できますか

BeyondTrustを利用していない場合も、使用中の遠隔保守製品と更新管理の状況を確認する機会にしてください。

保守会社が「対策済み」と回答した場合は、対象製品、対策内容、適用日などを記録しておくと、後日の確認に役立ちます。

7. 外部アカウントと権限を見直す

遠隔保守のリスクは、製品の脆弱性だけではありません。外部利用者のアカウントや権限の管理も重要です。

• 退職者や契約終了した保守担当者のアカウントを削除しているか
• 保守会社ごとに接続先を制限しているか
• 必要以上の管理者権限を与えていないか
• 多要素認証を利用できる接続方式では設定しているか
• 共有アカウントの利用を減らし、操作した人を追跡できるか
• 保守作業が終わった後に不要な接続権限を解除しているか

なお、多要素認証は重要な対策ですが、ソフトウェアの脆弱性そのものを修正するものではありません。今回のような脆弱性には、公式の修正パッチ適用が必要です。

外部サービスや委託先の管理については、関連記事「クラウド事業者のリスクと企業が確認したいこと」も参考になります。

8. 接続ログと操作記録を確認する

万一、不正アクセスが疑われた場合、誰がいつ接続し、何を操作したかを確認できることが重要です。

遠隔保守の製品や設定によっては、次の記録を取得できる場合があります。

• 接続開始・終了日時
• 接続元アカウント
• 接続先の端末やサーバー
• ファイル転送の履歴
• 操作記録やセッション録画
• 管理者による設定変更の記録

ただし、すべての製品で同じ記録を取得できるわけではありません。保存期間、保存場所、閲覧権限も確認してください。

特に、保守会社側でしか記録を確認できない場合は、事故時にどのような手順で提供を受けられるか決めておきます。

9. 更新と一時的な接続制限の判断

対象製品を利用している場合は、BeyondTrustの公式情報を確認し、保守会社やシステム管理者と修正パッチの適用を進めます。

自社設置型で更新が未完了の場合は、影響を受けるシステムと業務を確認し、必要に応じて外部からの接続制限などの暫定対策を検討してください。

ただし、遠隔接続を突然停止すると、設備監視や障害対応などに影響する場合があります。業務への影響と緊急性を考慮し、管理者・保守会社と調整する必要があります。

「遠隔保守をすべて禁止する」ことではなく、必要な接続を適切に管理することが目的です。

10. 不正アクセスが疑われた場合

身に覚えのない遠隔接続、予期しないファイル操作、不審な管理者アカウントなどが見つかった場合は、速やかに管理者や保守会社へ連絡してください。

1. 異常を発見した日時と内容を記録する
2. IT担当者・保守会社・必要な専門家へ連絡する
3. 被害拡大防止のための接続制限や隔離を検討する
4. 接続ログ・操作記録などを保全する
5. 不正利用された可能性のあるアカウントや機器を調査する
6. 情報漏えいや業務停止の影響を確認する
7. 必要な取引先への連絡や法令上の対応を検討する

調査前に不用意な初期化や記録の削除を行うと、原因究明が難しくなる場合があります。具体的な対応は専門家と相談してください。

事故時の連絡体制については、関連記事「サイバー事故の緊急連絡先を事前に準備する重要性」も参考になります。

11. 今日からできる5つの対策

1. 遠隔保守の一覧を作る：保守会社名、製品名、接続先を確認する
2. 脆弱性対応を確認する：BeyondTrust利用の有無と更新状況を確認する
3. 権限を整理する：不要な外部アカウントや過大な管理者権限を見直す
4. 記録を確認する：接続ログや操作記録を後から調査できるか確認する
5. 事故連絡を準備する：異常時に誰へ連絡し、誰が接続制限を判断するか決める

すべてを一度に実施するのが難しい場合は、まず主要な保守会社1社へ「遠隔保守に使っている製品名と更新状況」を確認してください。

12. サイバー保険で確認すること

外部接続を悪用した不正アクセスでは、原因調査、システム復旧、情報漏えい対応、取引先への説明などの費用が発生する場合があります。

サイバー保険では、契約内容と事故の状況によって、これらの費用の一部が補償対象となる場合があります。

ただし、保守会社が管理する機器の事故、外部サービスに関する事故、委託先に起因する事故などは、契約条件によって取扱いが異なります。

事故対応費用の範囲、被保険者の範囲、免責事項、支払限度額、専門家への事前連絡・承認の要否などを確認する必要があります。

基本的な補償の考え方は、関連記事「中小企業が知るべきサイバー保険の全貌と実務ポイント」でも解説しています。

13. 社長向けチェックリストとまとめ

• □ 遠隔保守を行う会社を把握している
• □ 遠隔接続に使う製品名を把握している
• □ BeyondTrustの対象製品を利用しているか確認した
• □ 対象製品の更新・パッチ適用状況を確認した
• □ 保守会社が接続できるシステムを把握している
• □ 不要な外部アカウントを削除している
• □ 管理者権限を必要最小限にしている
• □ 遠隔接続の操作記録を確認できる
• □ 異常時の連絡先と対応責任者が決まっている
• □ 事故時に保守会社からログを取得できる

今回のBeyondTrustの脆弱性は、遠隔保守に利用する製品そのものにも重大な弱点が見つかることを示しています。

建設会社にとって重要なのは、保守会社に任せきりにせず、どの製品で、誰が、どのシステムへ接続できるかを把握することです。

今日、保守会社に一つ質問してみてください。

「当社の遠隔保守に使っている製品名と、最新のセキュリティ更新状況を教えてください」

その確認が、重要な工事データや社内システムを守る第一歩になります。

参考資料：BeyondTrust BT26-05／BeyondTrust公式解説／IPA・中小企業の情報セキュリティ対策ガイドライン