Kerngegevens
- Leverancier
- ManageEngine (Zoho)
- Soort software
- beveiliging
- Getroffen versies
- ManageEngine Key Manager Plus ouder dan build 7151
- Oplossing
- Update beschikbaar
- Opgeloste versie
- ManageEngine Key Manager Plus 7151
- CVE gepubliceerd
- 3 november 2026
- Gepubliceerd op LekkenRadar
- 3 november 2026
- Laatst gewijzigd bij NVD
- 3 november 2026
Simpel uitgelegd
Wat is er aan de hand?
In ManageEngine Key Manager Plus ouder dan build 7151 zit een fout in de toegangscontrole; ManageEngine loste die op in build 7151. Een ingelogde gebruiker kan de inloggegevens aanpassen die een andere gebruiker gebruikt om ACME-certificaten uit te rollen. Dat hoort niet te kunnen.
Wie loopt risico?
Je loopt risico als je Key Manager Plus gebruikt met een build ouder dan 7151. De aanvaller moet wel al een account in het systeem hebben, en de aanval is volgens de beoordeling niet eenvoudig uit te voeren. Zijn er in jouw omgeving meerdere gebruikers met toegang tot Key Manager Plus, dan is het goed om dit snel na te lopen. De oplossing is al sinds augustus 2026 beschikbaar. Er zijn geen aanwijzingen dat het lek actief wordt misbruikt.
Wat moet je doen?
Controleer je versie
Kijk na welke build van Key Manager Plus je gebruikt. Builds ouder dan 7151 zijn getroffen.
Werk bij naar build 7151
Installeer build 7151 of nieuwer. In die build is het lek volgens de leverancier opgelost.
Controleer je ACME-instellingen
Kijk na of de inloggegevens voor de uitrol van ACME-certificaten nog kloppen en of er wijzigingen zijn die je niet herkent.
Beperk wie er toegang heeft
Geef alleen mensen die het echt nodig hebben een account in Key Manager Plus, en zorg dat het beheerplatform niet onnodig bereikbaar is via het netwerk.
Dezelfde update lost meer lekken op
Build 7151 verhelpt ook CVE-2026-77691, CVE-2026-77778, CVE-2026-77799 en CVE-2026-77800. Met de update hierboven zijn die ook opgelost.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een kwestie van onjuiste toegangscontrole in ManageEngine Key Manager Plus. Een geauthenticeerde gebruiker kan de inloggegevens voor de uitrol van ACME-certificaten van een andere gebruiker wijzigen. De CVSS-vector (AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:L/A:N) wijst op een aanval via het netwerk met een laag privilegeniveau, zonder gebruikersinteractie, maar met een hoge aanvalscomplexiteit. De impact op vertrouwelijkheid is hoog, op integriteit laag, en het effect kan buiten het kwetsbare onderdeel zelf doorwerken. De fout is ingedeeld als onvoldoende fijnmazige toegangscontrole (CWE-1220). Builds ouder dan 7151 zijn getroffen; build 7151 verscheen op 21 augustus 2026.
CVSS-vector (versie 3.1, basisscore 7,1, bron: CNA)
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:L/A:N- Zwakheid (CWE)
- CWE-1220 · Onvoldoende fijnmazige toegangscontrole
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,7%
- Aanvalscode openbaar
- Nee