--- title: "ManageEngine Key Manager Plus 7151 より前で、デプロイ先の設定からコマンドを実行されるおそれ（CVE-2026-77690）: 証明書デプロイ権限が必要、CVSS v3.1 8.8、悪用の有無は未確認" url: https://n-t-p.io/worldsecurity/articles/manageengine-key-manager-plus-cve-2026-77690-deployment-target-command-injection lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月7日 updated: 2026年11月7日 severity: 高 cve: CVE-2026-77690 --- # ManageEngine Key Manager Plus 7151 より前で、デプロイ先の設定からコマンドを実行されるおそれ（CVE-2026-77690）: 証明書デプロイ権限が必要、CVSS v3.1 8.8、悪用の有無は未確認 > **TL;DR:** ManageEngine Key Manager Plus 7151 より前に、デプロイ先の設定でコマンドを実行されるおそれ（CVE-2026-77690、CWE-78、CVSS v3.1 8.8）。証明書デプロイ権限を持つ認証済み利用者が前提（PR:L）。7151 以降への更新を勧める。修正内容と悪用の有無は未確認。KEV 未掲載、EPSS データなし。 **要点** - ManageEngine Key Manager Plus 7151 より前で、デプロイ先の設定から任意のコマンドを実行されるおそれ（CVE-2026-77690）。 - CVSS v3.1 は 8.8。証明書デプロイ権限を持つ認証済み利用者が前提（PR:L）。NVD の状態は Received。 - 7151 以降への更新と、デプロイ権限を持つアカウントの絞り込みを。修正内容は未確認。 - 悪用の有無は未確認。KEV には載っておらず、EPSS はデータなし。 Zoho の ManageEngine Key Manager Plus の 7151 より前の版に、OS コマンドインジェクション（CWE-78）があるとして、CVE-2026-77690 が 2026-11-04 に NVD に登録されました。登録元は Zoho 側の CNA です。 ## 何が起きるか - NVD の記載によると、証明書のデプロイ権限を持つ認証済みの利用者が、デプロイ先（deployment target）を設定するときに細工した入力を渡すことで、任意のコマンドを実行できるおそれがあります。 - 認証が必要で、必要な権限も「証明書のデプロイ」に限られます。誰でも突ける脆弱性ではありませんが、この権限を持つ担当者のアカウントが乗っ取られた場合や、内部の悪意ある利用者がいる場合には、サーバー上でのコマンド実行に発展するおそれがあります。 - 実行されるコマンドの権限（サービスアカウントの権限）や、サーバー上で何ができるかは、NVD の記載からは分からず、未確認です。 ## 影響を受ける版 - NVD は Key Manager Plus の 7151 より前のすべての版を影響ありとしています。 - 7151 が修正版にあたると読めますが、修正の内容と完全性は未確認です。 ## 数値と severity - CVSS v3.1 は 8.8（HIGH）で、ベクターは AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H です。評価元は登録元の CNA です。 - PR:L（低い権限が必要）のため、critical にはせず severity は high とします。 - NVD の状態は「Received」で、NVD 自身の評価はまだありません。FIRST の EPSS はデータなし、CISA の KEV には載っていません（2026-11-04 時点）。 ## 対策 - Zoho の勧告を確認し、Key Manager Plus を 7151 以降に更新してください。 - 更新までの間は、証明書のデプロイ権限を持つアカウントを必要な人に絞り、管理画面へのアクセス元を制限してください。 ## 未確認の点 - 7151 の修正内容と完全性、最初の影響版。 - コマンドが実行される権限と、実際にできること。 - 悪用の有無、攻撃コードの流通。 - Zoho の勧告の詳しい内容（未開封）。 - NVD の最終評価と EPSS。 ## 出典 - NVD: CVE-2026-77690 - ManageEngine Key Manager Plus セキュリティ勧告（NVD の参照先。未開封） - FIRST EPSS（データなし）、CISA KEV（掲載なし） ## 出典 - [NVD CVE-2026-77690](https://nvd.nist.gov/vuln/detail/CVE-2026-77690) — NIST NVD - [ManageEngine Key Manager Plus Advisory（未開封）](https://www.manageengine.com/key-manager/advisory/cve-2026-77690.html) — Zoho ManageEngine --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/manageengine-key-manager-plus-cve-2026-77690-deployment-target-command-injection