Kerngegevens
- Leverancier
- ManageEngine (Zoho)
- Product
- PAM360 en Password Manager Pro onderdeel ManageEngine Password Manager Pro alle ManageEngine Password Manager Pro-lekken onderdeel ManageEngine PAM360 alle ManageEngine PAM360-lekken
- Soort software
- beveiliging
- Getroffen versies
- ManageEngine Password Manager Pro tot en met 13235
- ManageEngine PAM360 tot en met 8600
- Oplossing
- Update beschikbaar
- Opgeloste versie
- ManageEngine Password Manager Pro 13236
- ManageEngine PAM360 8601
- CVE gepubliceerd
- 2 november 2026
- Gepubliceerd op LekkenRadar
- 2 november 2026
- Laatst gewijzigd bij NVD
- 2 november 2026
Simpel uitgelegd
Wat is er aan de hand?
In ManageEngine Password Manager Pro tot en met build 13235 en PAM360 tot en met build 8600 zit een lek waarmee een aanvaller die is ingelogd zelf code kan laten uitvoeren op de server; ManageEngine loste dit op in Password Manager Pro 13236 en PAM360 8601. De leverancier beschrijft dit als een geauthenticeerde 'remote code execution'.
Wie loopt risico?
Je loopt risico als je Password Manager Pro gebruikt met een versie ouder dan 13236, of PAM360 met een versie ouder dan 8601. De aanvaller heeft een geldig account nodig, maar kan het lek via het netwerk misbruiken en daarvoor hoeft een andere gebruiker niets te doen. Omdat deze producten wachtwoorden en bevoorrechte toegang beheren, is het verstandig dit snel te verhelpen. De updates zijn sinds eind juli 2026 beschikbaar. Het lek staat niet op de lijst van actief misbruikte lekken.
Wat moet je doen?
Controleer je versie
Kijk in Password Manager Pro of PAM360 welke versie je draait. Gebruik je Password Manager Pro lager dan 13236 of PAM360 lager dan 8601, dan ben je getroffen.
Werk Password Manager Pro bij
Installeer Password Manager Pro versie 13236 of nieuwer.
Werk PAM360 bij
Installeer PAM360 versie 8601 of nieuwer.
Beperk de toegang
Zorg dat de beheeromgeving alleen bereikbaar is voor wie dat nodig heeft en niet zomaar vanaf het internet. Controleer ook welke accounts toegang hebben en verwijder accounts die niet meer nodig zijn.
Lees het advies van de leverancier
Op de pagina met het advies van ManageEngine vind je de officiële details en de downloads van de opgeloste versies.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het gaat om een geauthenticeerde kwetsbaarheid voor code-uitvoering op afstand in ManageEngine Password Manager Pro (versies voor 13236) en PAM360 (versies voor 8601). De fout valt onder CWE-78, het onjuist neutraliseren van speciale elementen in besturingssysteemcommando's (commando-injectie). De aanvalsroute is het netwerk, met lage aanvalscomplexiteit, lage privileges en zonder gebruikersinteractie. Bij misbruik zijn vertrouwelijkheid, integriteit en beschikbaarheid volledig in gevaar. De CVSS 3.1-score is 8,8 en is afkomstig van de CNA. De leverancier heeft het lek verholpen in Password Manager Pro 13236 en PAM360 8601.
CVSS-vector (versie 3.1, basisscore 8,8, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-78 · Onjuiste neutralisatie van speciale elementen in OS-commando's (commando-injectie)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 2,5%
- Aanvalscode openbaar
- Nee