ManageEngineは、ADSelfService Plusに存在する深刻なリモートコード実行脆弱性への対応を発表しました。この脆弱性を悪用すると、未認証の攻撃者が任意のコードを実行できる可能性があり、Windowsデバイスのログオン画面からNT AUTHORITY\SYSTEM権限でコードを実行できてしまいます。
脆弱性スキャンサービス
CVE-2026-74849として識別されるこの脆弱性は、製品のGINAクライアントを利用するADSelfService Plusのビルド7000以前に影響します。
問題の所在は、Windowsログオン画面上でセルフサービスによるパスワードリセットやアカウントロック解除機能を直接提供するコンポーネント「GINAクライアント」にあります。このクライアントは組み込みのキオスク型ブラウザを通じてこれらの機能を提供しており、その結果、管理対象のWindowsエンドポイントに認証前からアクセス可能なインターフェースが露出する形になっています。
ManageEngineのRCE脆弱性
ManageEngineによると、脆弱なWindowsログオン画面にアクセスできる攻撃者は、組み込みブラウザのセキュリティ上の問題を悪用することで、NT AUTHORITY\SYSTEMのコンテキストでコードを実行できる可能性があるとしています。
SYSTEMはWindowsにおいて最も権限の高いローカルセキュリティコンテキストであるため、この悪用に成功すると、マルウェアのインストール、セキュリティ設定の変更、ローカルデータへのアクセス、永続化の確立などを含め、対象デバイスが完全に侵害される恐れがあります。
公開されているCVEの記録では、この問題はCVSS v3.1スコア9.8の深刻な脆弱性に分類されており、ベクター文字列はCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hとなっています。
このスコアは、攻撃の複雑さが低く、攻撃者に特権もユーザー操作も要求されない一方、機密性・完全性・可用性に対して重大なリスクをもたらすことを示しています。ベンダーのアドバイザリではこの問題を「高（High）」に分類していますが、公開されているCVEおよびNVDの記録では深刻度スコア9.8のクリティカルと評価されています。
この脆弱性は、2026年8月24日にリリースされたビルド7001より前のManageEngine ADSelfService Plusの全バージョンに影響します。このアップデートでは、アプリケーションのエラー処理を修正し、Windowsログオン画面で使用される組み込みブラウザを強化することで、この問題に対応しています。
この脆弱性が特に懸念される理由は、ユーザーが認証情報を復旧したりアカウントのロックを解除したりするために設計された、ログイン前のコンポーネントを標的にしている点です。組織はこの種のツールを従業員のエンドポイントに広く展開していることが多いため、資産の把握とパッチ適用状況の確認が極めて重要になります。
ベンダーのアドバイザリでは、悪用の前提条件としてデバイスのログイン画面への物理的アクセスが必要であると明記されています。ただし、防御側としては、GINAクライアントの設定、エンドポイントの露出状況、キオスク制御、リモートアクセスのワークフロー、ネットワークセグメンテーションが実際の攻撃経路にどう影響し得るかについても、あわせて評価すべきです。
- ADSelfService PlusのGINAクライアントを稼働させているエンドポイントを特定する
- インストールされているADSelfService Plusのバージョンが7000以前かどうかを確認する
- ManageEngineのサービスパック適用手順に従い、直ちにADSelfService Plusのビルド7001以降にアップグレードする
- 影響を受けるエンドポイントにパッチが適用されるまで、Windowsシステムへの信頼できない物理アクセスを制限する
- ログオン画面での操作に関連する、想定外のプロセスやコマンド実行がないかエンドポイントのテレメトリを確認する
- GINAクライアントのブラウザが更新されており、修正済みの構成が管理対象デバイス全体で一貫して展開されていることを検証する
ManageEngineは、Zoho BugBountyプログラムを通じてこの脆弱性を報告したMarouane Belabbassi氏とAmjad E Alhejaili氏に謝意を表しています。
SOCにおけるすべてのアラート調査時間を21分短縮。即座のIOCコンテキストでSOCの対応力を強化: TI LookupをSOCに統合する
翻訳元: https://gbhackers.com/manageengine-rce-flaw/
