ScreenConnect ― 侵害されたMSPの環境から攻撃用クライアントを配布
MSP（IT運用の委託先）が使うScreenConnectのクラウド版管理画面から、Run Commandで攻撃者のScreenConnectクライアントとツールキット「SCKit」が顧客の端末に一斉に入れられた。Huntressは6社のMSP、48組織の288台を確認し、ConnectWiseは関係が疑われる他社製拡張機能5種を約400の環境で止めた。侵入の入口は調査中。
← タグ一覧へ
タグ / 対象技術
リモート管理ツール
すべての面から7件。公開日の新しい順。（リモートサポート・リモートデスクトップ・リモート管理・AnyDesk・BeyondTrust・MSP のタグが付いた記事を含みます）キーワードと組み合わせて探す →
N-able N-central ― 未修正の脆弱性群が公開され、クラウド版を停止
MSP向けのリモート管理製品N-centralについて、研究者が11月8日に33件の未修正の脆弱性と攻撃コード（Able2Shell）をGitHubで公開した。認証なしのXXEからOSコマンド実行に至る連鎖を含み、N-ableは11月9日にクラウド版を止め、オンプレミスのサーバーも停止するよう求めた。修正版は11月10日時点で未公開。
NEC「WebSAM WinShare」 ― 細工したパケットでSYSTEM権限の実行が可能に
NECのリモート操作ソフトWebSAM WinShareで、操作される側のPC（リモートPC）に細工したパケットを送るとSYSTEM権限でコマンドやコードを実行できる脆弱性2件（CVE-2026-113363・113364、CVSS 3.0 9.8）と、一般ユーザーがSYSTEM権限を得られる脆弱性（CVE-2026-113362）が11月9日に公表された。対象はVer 7.7.2までの各版で、NECは修正モジュールを提供している。
UpdraftCentral ― 盗まれた署名鍵でバックドア入りプラグイン配布
バックアッププラグイン UpdraftPlus の開発元 TeamUpdraft のサイトが10月17〜18日に不正アクセスを受け、遠隔管理サービス UpdraftCentral（クラウド版）の接続鍵を含む顧客データベースが盗まれた。攻撃者はその鍵で正しく署名したコマンドを接続先のWordPressサイトに送り、99種類以上の名前のバックドアプラグインを入れた。プラグインの脆弱性ではないため、サイト側のファイアウォールや二要素認証は効かなかった。修正版は UpdraftPlus 1.26.13／2.26.13（1.26.12／2.26.12 は鍵を消せない不具合あり）。UpdraftCentral の接続鍵流出。開発元のサイトから盗まれた正規の署名鍵で、WordPressサイトに「正しく署名された」バックドア入りプラグインが送り込まれた。
BeyondTrust Remote Support ― ゼロデイで遠隔サポート装置を奪取
BeyondTrust Remote Support（旧Bomgar）の内部コンポーネントが、受け取ったメッセージの送り主を正しく確かめておらず、ログインなしで装置上のファイル操作ができた（CVE-2026-102764、CVSS 4.0で9.3）。中国系とされるARMORY CASTLE（旧UNC5221）が8月29日にゼロデイとして悪用し、Webシェルからrootを取り、装置に保管された認証情報と「Jump Item」の権限を使って社内の端末へ遠隔セッションを張った。自前運用の装置は BT26-05-RS パッチの適用が必要で、CISAは10月16日にKEVへ追加し対処期限を10月19日とした。BeyondTrust Remote Support CVE-2026-102764。内部メッセージの「送り主」を確かめない欠陥で、遠隔サポート装置ごと奪われ社内の端末へ。
AhsayCBS ― 認証回避とコマンド注入でバックアップ管理コンソール奪取
Huntressが、バックアップ管理コンソールAhsayCBSの2件の脆弱性（CVE-2026-105133／105134）を悪用した攻撃を観測したと公表した。認証を迂回してからOSコマンドを実行し、JSPのWebシェルとXMRigマイナーを仕掛ける。NVDでは10.3.4で修正と書かれているが、Huntressは最新の10.3.4も影響を受けると確認しており、管理画面の公開を絞るしかない。AhsayCBS CVE-2026-105133／105134。認証回避とコマンド注入の連鎖でバックアップ管理コンソールが奪われ、最新版もまだ直っていない。
AnyDesk Linux「AnyPwn」 ― 認証前rootの攻撃コードが公開
V12が、AnyDesk Linux 8.0.2のセッションプロトコルに認証前のヒープバッファオーバーフローがあり、接続承認の前にrootでコマンドを実行できるとする攻撃コード「AnyPwn」を公開した。ベンダーは6月に8.0.3で直したが、変更履歴は「クラッシュにつながる不具合の修正」だけで、CVEもセキュリティ情報もない。8.0.3以降（最新は8.1.0）へ更新し、直るまでTCP 7070を閉じる。AnyDesk Linux AnyPwn。「クラッシュ修正」とだけ書かれたヒープオーバーフローに、認証前rootの攻撃コードが公開された。