ManageEngine heeft zeven beveiligingslekken in Key Manager Plus bekendgemaakt, allemaal met ernst hoog. Key Manager Plus is software waarmee organisaties hun SSL/TLS-certificaten en SSH-sleutels centraal beheren, en dus precies het soort systeem waar je geen fouten in wilt hebben. Het goede nieuws: de oplossing is al lang beschikbaar. Build 7151 verscheen op 21 augustus 2026; ManageEngine (Zoho) heeft de CVE-nummers pas begin november gepubliceerd. Er is geen actief misbruik gemeld. Wie sinds augustus heeft bijgewerkt, is al beschermd.
Wat valt op?
- Twee lekken verzwakken de inlog. Bij CVE-2026-77799 is de tweestapsverificatie te omzeilen en bij CVE-2026-77800 de aanmelding via SAML. Juist die extra beveiligingslagen moeten voorkomen dat iemand met alleen een gestolen wachtwoord binnenkomt.
- Twee lekken geven code-uitvoering. Bij het uitrollen van certificaten (CVE-2026-77690) en bij het instellen van een Microsoft CA (CVE-2026-77691) kan een ingelogde gebruiker eigen opdrachten op de server laten uitvoeren. Met 8,8 en 8,1 zijn dit de zwaarste lekken uit deze reeks.
- Drie lekken in de toegangscontrole. Een ingelogde gebruiker kan de ACME-inloggegevens van een ander wijzigen (CVE-2026-77777), certificaten van anderen naar zijn eigen key vault exporteren (CVE-2026-77778) of sleutels exporteren waar hij geen recht op heeft (CVE-2026-77779).
- Vooral een risico van binnenuit. Op de inlogomzeilingen na heeft een aanvaller voor alle lekken een account nodig. Het risico is dus het grootst in omgevingen met veel gebruikers of zwak beveiligde accounts.
- Late publicatie. Dit past in een patroon: ManageEngine publiceert CVE-nummers vaak in grote batches, maanden nadat de update al uit is. Daarom zie je deze week veel ManageEngine-lekken langskomen.
Wat betekent dit voor jou?
Gebruik je Key Manager Plus, controleer dan je buildnummer. Staat er 7151 of hoger, dan hoef je voor deze lekken niets te doen. Draai je een oudere build, plan de update dan snel in: de software beheert de sleutels en certificaten waarmee je andere systemen beveiligt, dus een inbraak hier heeft gevolgen voor veel meer dan alleen Key Manager Plus zelf. Loop na het bijwerken ook na wie er toegang heeft en of er wijzigingen zijn die je niet herkent.
- 7 lekken opgelost
- 0 kritiek, 7 hoog
- Opgelost in build 7151 (beschikbaar sinds 21 augustus 2026)
Wat moet je doen?
Werk bij naar build 7151
Controleer eerst welke build van Key Manager Plus je gebruikt. Builds ouder dan 7151 zijn getroffen. Installeer build 7151 of nieuwer in een onderhoudsvenster. Daarmee zijn alle 7 lekken opgelost.
Beperk wie er toegang heeft
Geef alleen mensen die het echt nodig hebben een account in Key Manager Plus. Zorg dat de beheerinterface niet onnodig bereikbaar is vanaf andere netwerken of internet.
Controleer ACME-instellingen en key vaults
Kijk of de inloggegevens voor de uitrol van ACME-certificaten nog kloppen en of er wijzigingen zijn die je niet herkent. Controleer ook of er key vaults geregistreerd staan die je niet kent.
Vervang gevoelige certificaten bij twijfel
Vermoed je dat certificaten of sleutels zijn geëxporteerd? Overweeg ze dan te vervangen. Controleer na de update of alles weer normaal werkt.
Alle lekken in deze update
Lekken met een eigen pagina op LekkenRadar zijn gelinkt. Bij de andere lekken verwijzen we naar de NVD.
| CVE | Ernst | Wat is het |
|---|---|---|
| CVE-2026-77690 | Hoog 8,8 | Command injection bij certificaatuitrol door ingelogde gebruikers |
| CVE-2026-77691 | Hoog 8,1 | Key Manager Plus: injectie in Microsoft CA |
| CVE-2026-77779 | Hoog 7,7 | Onjuiste toegangscontrole bij exporteren van sleutels |
| CVE-2026-77800 | Hoog 7,7 | Key Manager Plus: SAML-omzeiling |
| CVE-2026-77799 | Hoog 7,4 | Key Manager Plus: 2FA-omzeiling |
| CVE-2026-77777 | Hoog 7,1 | Key Manager Plus: toegangsfout bij ACME |
| CVE-2026-77778 | Hoog 7,1 | Key Manager Plus: certificaten exporteren |
Bronnen
- ManageEngine Key Manager Plus: advies van de leverancier (CVE-2026-77777)
- ManageEngine Key Manager Plus: advies van de leverancier (CVE-2026-77778)
- ManageEngine Key Manager Plus: advies van de leverancier (CVE-2026-77691)
- ManageEngine Key Manager Plus: advies van de leverancier (CVE-2026-77799)
- ManageEngine Key Manager Plus: advies van de leverancier (CVE-2026-77800)
- ManageEngine Key Manager Plus: advies van de leverancier (CVE-2026-77690)
- ManageEngine Key Manager Plus: advies van de leverancier (CVE-2026-77779)