Kerngegevens
- Leverancier
- ManageEngine (Zoho)
- Producten
- Log360, EventLog Analyzer
- Soort software
- beveiliging
- Getroffen versies
- Log360 ouder dan build 13062
- EventLog Analyzer ouder dan build 13062
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Log360 13062
- EventLog Analyzer 13062
- CVE gepubliceerd
- 3 november 2026
- Gepubliceerd op LekkenRadar
- 3 november 2026
- Laatst gewijzigd bij NVD
- 3 november 2026
Simpel uitgelegd
Wat is er aan de hand?
In ManageEngine Log360 en EventLog Analyzer van Zoho ouder dan build 13062 zit een fout in de toegangscontrole; ManageEngine loste die op in build 13062. Daardoor kan een aanvaller ongeautoriseerd toegang krijgen tot het product. De leverancier geeft in de beschikbare gegevens geen verdere details over hoe dit precies werkt.
Wie loopt risico?
Je loopt risico als je Log360 of EventLog Analyzer gebruikt met een build ouder dan 13062. De aanval kan via het netwerk, zonder inloggegevens en zonder dat een gebruiker iets hoeft te doen. Het risico is het grootst als de beheeromgeving bereikbaar is vanaf internet of vanuit een groot, minder vertrouwd intern netwerk. De oplossing is al sinds juli 2026 beschikbaar, dus wie regelmatig bijwerkt, is waarschijnlijk al beschermd. Het lek staat niet op de lijst van actief misbruikte lekken en er is geen publieke exploit bekend.
Wat moet je doen?
Controleer je build
Kijk na welke build van Log360 of EventLog Analyzer je gebruikt. Builds ouder dan 13062 zijn getroffen.
Werk bij naar build 13062 of nieuwer
Installeer via het servicepack van ManageEngine build 13062 of nieuwer. Werk bij voorkeur meteen bij naar 13071 of nieuwer, want daarin is ook CVE-2026-16900 opgelost.
Beperk de blootstelling
Zorg dat het product niet rechtstreeks vanaf internet bereikbaar is en dat alleen beheerders er via het interne netwerk bij kunnen, zeker zolang je nog niet hebt bijgewerkt.
Dezelfde update lost meer lekken op
Build 13062 verhelpt ook CVE-2026-8923 (code-uitvoering via Log Forward). Met de update hierboven is dat lek ook opgelost.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek valt onder CWE-284, onjuiste toegangscontrole, in ManageEngine Log360 en EventLog Analyzer. Volgens ManageEngine kan een aanvaller hierdoor ongeautoriseerde toegang tot het product krijgen; verdere technische details geeft de leverancier niet. De CVSS-vector (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N) wijst op een aanval via het netwerk met lage complexiteit, zonder vereiste rechten en zonder gebruikersinteractie, met hoge impact op vertrouwelijkheid en integriteit en geen impact op beschikbaarheid. De score van 9,1 komt van ManageEngine (CNA). De beschrijving noemt 'versie 13062 en lager', maar volgens de productstatus van de CNA en de release notes van Log360 is het lek opgelost in build 13062, die op 6 juli 2026 verscheen. Getroffen zijn dus builds ouder dan 13062.
CVSS-vector (versie 3.1, basisscore 9,1, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N- Zwakheid (CWE)
- CWE-284 · Onjuiste toegangscontrole
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 1,1%
- Aanvalscode openbaar
- Nee