テック技報最新号へ →
セキュリティ

Zoho ManageEngine 11 件の更新：Key Manager Plus・Log360・PAM 系を先に当てる

Zoho が ManageEngine 製品群の認証回避・OS コマンド実行など 11 件を修正した。Key Manager Plus 7151、Password Manager Pro 13236、PAM360 8601、および Log360／EventLog Analyzer の修正ビルドへ上げる（公表時点で悪用は未確認）。

@yousukezan · 2026-11-07
#manageengine#zoho#patch#authentication#pam#cve

いつ使うか

  • Key Manager Plus／Password Manager Pro／PAM360／Log360／EventLog Analyzer などを社内外に出しているとき
  • 証明書・鍵・ログ基盤を ManageEngine に寄せているとき

分かっている欠陥の例（要約）

  • CVE-2026-13594: Log360 などで認証なしアクセス、ログ収集器の不正登録
  • CVE-2026-18199: Password Manager Pro／PAM360 で認証済み利用者によるコード実行
  • CVE-2026-77690／77691: Key Manager Plus で証明書設定などを通じた OS コマンド注入
  • CVE-2026-77800: 別アプリ向けトークンによる SAML 認証回避
  • CVE-2026-77799: 二要素認証の回避
  • 低権限での鍵書き出しや ACME 設定変更も含まれる、との整理

対応

  1. 管理コンソールまたはベンダー案内でビルド番号を確認し、上記以上へ更新する。
  2. インターネット公開している管理画面は VPN／IP 制限の内側へ移す（更新までのつなぎ）。
  3. 更新後、見知らぬログ収集器登録・SAML／2FA の設定変更・鍵の書き出し履歴を点検する。

注意

  • ビルド番号と CVE 対応表はベンダーの一次アドバイザリで再確認する（速報の要約に依存しない）。
  • 鍵・パスワード管理製品なので、侵害疑い時は保管していた秘密のローテーション範囲が広い。

出典

X の元の投稿を開く