Kerngegevens
- Leverancier
- ManageEngine (Zoho)
- Soort software
- beveiliging
- Getroffen versies
- ManageEngine Key Manager Plus t/m 7150
- Oplossing
- Update beschikbaar
- Opgeloste versie
- ManageEngine Key Manager Plus 7151
- CVE gepubliceerd
- 3 november 2026
- Gepubliceerd op LekkenRadar
- 3 november 2026
- Laatst gewijzigd bij NVD
- 3 november 2026
Simpel uitgelegd
Wat is er aan de hand?
In ManageEngine Key Manager Plus ouder dan build 7151 zit een fout waardoor de tweestapsverificatie (2FA) te omzeilen is; ManageEngine loste die op in build 7151. Een aanvaller die al een geldige gebruikersnaam en wachtwoord heeft, kan dan inloggen zonder de verificatiecode in te vullen. De tweede beveiligingslaag werkt in dat geval dus niet. Het lek heeft ernst hoog (7,4).
Wie loopt risico?
Je loopt risico als je Key Manager Plus tot en met build 7150 gebruikt en tweestapsverificatie aan hebt staan. Een aanvaller heeft wel een geldige gebruikersnaam en wachtwoord nodig, bijvoorbeeld door phishing, hergebruikte wachtwoorden of een eerder datalek. De tweede factor beschermt je in dat geval niet. De oplossing (build 7151) is al sinds 21 augustus 2026 beschikbaar. Er zijn geen aanwijzingen dat het lek actief wordt misbruikt of dat er publieke aanvalscode is.
Wat moet je doen?
Controleer je versie
Kijk na welke build van ManageEngine Key Manager Plus je gebruikt. Build 7150 en ouder is getroffen.
Werk bij naar build 7151
Download het upgrade pack van ManageEngine en installeer build 7151 of nieuwer volgens de instructies bij het upgrade pack.
Beperk de toegang tot de applicatie
Zorg dat Key Manager Plus alleen bereikbaar is vanaf netwerken waar dat nodig is, en niet zomaar vanaf internet.
Let op ongebruikelijke inlogpogingen
Controleer de inlogregistratie op aanmeldingen die je niet herkent. Vernieuw wachtwoorden als je twijfelt over de veiligheid van accounts.
Dezelfde update lost meer lekken op
Build 7151 verhelpt ook CVE-2026-77800, CVE-2026-77691, CVE-2026-77777 en CVE-2026-77778. Met de update hierboven zijn die ook opgelost.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Als tweestapsverificatie (2FA) aan staat, kan een aanvaller met een geldige gebruikersnaam en wachtwoord via een bepaald authenticatie-endpoint direct een ingelogde sessie krijgen, zonder de tweede factor. Hij krijgt dan de rol en rechten van die gebruiker. De fout is ingedeeld als CWE-288, authenticatiebypass via een alternatief pad. De CVSS 3.1-vector (AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N) geeft een grote impact op vertrouwelijkheid en integriteit en geen impact op beschikbaarheid. Alle versies tot en met 7150 zijn getroffen; ManageEngine loste het op 21 augustus 2026 op in build 7151 door de tweede factor op alle aanmeldroutes af te dwingen.
CVSS-vector (versie 3.1, basisscore 7,4, bron: CNA)
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N- Zwakheid (CWE)
- CWE-288 · Authenticatiebypass via een alternatief pad of kanaal
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 1,2%
- Aanvalscode openbaar
- Nee