ManageEngine Key Manager Plus 7151 より前で、デプロイ先の設定からコマンドを実行されるおそれ（CVE-2026-77690）: 証明書デプロイ権限が必要、CVSS v3.1 8.8、悪用の有無は未確認

Zoho の ManageEngine Key Manager Plus の 7151 より前の版に、OS コマンドインジェクション（CWE-78）があるとして、CVE-2026-77690 が 2026-11-04 に NVD に登録されました。登録元は Zoho 側の CNA です。

何が起きるか

• NVD の記載によると、証明書のデプロイ権限を持つ認証済みの利用者が、デプロイ先（deployment target）を設定するときに細工した入力を渡すことで、任意のコマンドを実行できるおそれがあります。
• 認証が必要で、必要な権限も「証明書のデプロイ」に限られます。誰でも突ける脆弱性ではありませんが、この権限を持つ担当者のアカウントが乗っ取られた場合や、内部の悪意ある利用者がいる場合には、サーバー上でのコマンド実行に発展するおそれがあります。
• 実行されるコマンドの権限（サービスアカウントの権限）や、サーバー上で何ができるかは、NVD の記載からは分からず、未確認です。

影響を受ける版

• NVD は Key Manager Plus の 7151 より前のすべての版を影響ありとしています。
• 7151 が修正版にあたると読めますが、修正の内容と完全性は未確認です。

数値と severity

• CVSS v3.1 は 8.8（HIGH）で、ベクターは AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H です。評価元は登録元の CNA です。
• PR:L（低い権限が必要）のため、critical にはせず severity は high とします。
• NVD の状態は「Received」で、NVD 自身の評価はまだありません。FIRST の EPSS はデータなし、CISA の KEV には載っていません（2026-11-04 時点）。

対策

• Zoho の勧告を確認し、Key Manager Plus を 7151 以降に更新してください。
• 更新までの間は、証明書のデプロイ権限を持つアカウントを必要な人に絞り、管理画面へのアクセス元を制限してください。

未確認の点

• 7151 の修正内容と完全性、最初の影響版。
• コマンドが実行される権限と、実際にできること。
• 悪用の有無、攻撃コードの流通。
• Zoho の勧告の詳しい内容（未開封）。
• NVD の最終評価と EPSS。

出典

• NVD: CVE-2026-77690
• ManageEngine Key Manager Plus セキュリティ勧告（NVD の参照先。未開封）
• FIRST EPSS（データなし）、CISA KEV（掲載なし）