Kerngegevens
- Leverancier
- ManageEngine (Zoho)
- Soort software
- beveiliging
- Getroffen versies
- ManageEngine Key Manager Plus ouder dan build 7151
- Oplossing
- Update beschikbaar
- Opgeloste versie
- ManageEngine Key Manager Plus 7151
- CVE gepubliceerd
- 3 november 2026
- Gepubliceerd op LekkenRadar
- 3 november 2026
- Laatst gewijzigd bij NVD
- 3 november 2026
Simpel uitgelegd
Wat is er aan de hand?
In ManageEngine Key Manager Plus ouder dan build 7151 zit een lek bij het instellen van een Microsoft CA (certificaatautoriteit); ManageEngine loste dit op in build 7151. Een ingelogde gebruiker kan daar kwaadaardige invoer invullen die niet goed wordt gecontroleerd. Het gaat om een fout van het type commando-injectie. Daarmee kan de aanvaller mogelijk opdrachten laten uitvoeren op het onderliggende systeem. De ernst is hoog (8,1).
Wie loopt risico?
Je loopt risico als je Key Manager Plus gebruikt met een build ouder dan 7151. De aanvaller moet wel kunnen inloggen, maar heeft geen speciale rechten nodig en kan het lek via het netwerk misbruiken. Vooral omgevingen waar veel mensen toegang hebben tot Key Manager Plus, of waar accounts zwak beveiligd zijn, lopen meer risico. De oplossing is al sinds augustus 2026 beschikbaar. Het lek staat niet op de lijst van actief misbruikte lekken.
Wat moet je doen?
Controleer je versie
Kijk na welke build van ManageEngine Key Manager Plus je gebruikt. Builds ouder dan 7151 zijn kwetsbaar.
Werk bij naar build 7151
Download het upgrade pack van ManageEngine en installeer build 7151 of nieuwer. Daarin is dit lek opgelost.
Beperk wie kan inloggen
Controleer welke accounts toegang hebben tot Key Manager Plus en verwijder accounts die dat niet nodig hebben. Zorg dat de beheerinterface niet onnodig bereikbaar is vanaf andere netwerken of internet.
Dezelfde update lost meer lekken op
Build 7151 verhelpt ook CVE-2026-77777, CVE-2026-77778, CVE-2026-77799 en CVE-2026-77800. Met de update hierboven zijn die ook opgelost.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Bij het configureren van een Microsoft CA in Key Manager Plus wordt invoer van de gebruiker onvoldoende gefilterd. Het gaat om CWE-78, onjuiste neutralisatie van speciale elementen in een OS-opdracht. Een geauthenticeerde gebruiker met beperkte rechten kan via het netwerk speciaal samengestelde invoer meesturen, zonder tussenkomst van een andere gebruiker. De CVSS-vector (AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N) wijst op een grote impact op vertrouwelijkheid en integriteit, zonder gevolgen voor beschikbaarheid. Builds ouder dan 7151 zijn getroffen; ManageEngine heeft het lek opgelost in build 7151, die op 21 augustus 2026 verscheen.
CVSS-vector (versie 3.1, basisscore 8,1, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N- Zwakheid (CWE)
- CWE-78 · Onjuiste neutralisatie van speciale elementen in een OS-opdracht (commando-injectie)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 2,3%
- Aanvalscode openbaar
- Nee