ManageEngine Key Manager Plus 7151 より前で、低権限ユーザーが権限範囲外の鍵を書き出せるおそれ（CVE-2026-77779）: 認証が必要、CVSS v3.1 7.7、修正内容と悪用の有無は未確認

ManageEngine Key Manager Plus の 7151 より前の版に、不適切なアクセス制御の問題があるとして、CVE-2026-77779 が 2026-11-04 に NVD に登録されました。登録元は Zoho 側の CNA です。同じ製品の CVE-2026-77690（デプロイ先設定でのコマンドインジェクション）とは別の番号です。

何が起きるか

• NVD の記載によると、認証済みの低権限ユーザーが、本来許可された範囲の外にある鍵を書き出せるおそれがあります。
• 弱点の分類は CWE-1220（アクセス制御の粒度が不十分）です。
• ベクターは、ネットワーク経由（AV:N）・攻撃条件が複雑（AC:H）・低権限が必要（PR:L）・ユーザー操作なし（UI:N）・影響範囲が変わる（S:C）、機密性への影響が高、完全性・可用性への影響が低、としています。
• 書き出せる鍵の種類（SSH 鍵、証明書の秘密鍵など）と、他の権限のユーザーの鍵まで取れるのかは、NVD の記載からは分かりません（未確認）。

影響を受ける版

• Key Manager Plus の 7151 より前の版です（NVD の affected データより）。7151 以降で修正されているかは、Zoho の勧告を確認する必要があります（勧告の中身は未開封で、修正内容は未確認）。

数値と severity

• CVSS v3.1 は 7.7（HIGH）で、ベクターは CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:L/A:L です。評価元は登録元の CNA による Secondary の値です。
• 認証が必要（PR:L）で CVSS 9 未満のため、critical にはせず severity は high とします。
• NVD の状態は「Received」で、NVD 自身の評価はまだありません。FIRST の EPSS はデータなし、CISA の KEV には載っていません（2026-11-04 時点）。

対策

• Zoho の勧告（NVD の参照先）を確認し、7151 以降へ更新してください。
• 当面の備えとして、低権限のアカウントを棚卸しして不要なものを無効にする、鍵のエクスポート操作の監査ログを確認する、管理画面へのアクセス元を絞る、といった対応が考えられます。書き出された可能性のある鍵は、必要に応じて入れ替えを検討してください。

未確認の点

• 書き出せる鍵の種類と範囲、実際の悪用の難しさ（AC:H の理由）。
• 7151 での修正内容。
• 悪用の有無、攻撃コードの流通。
• NVD の最終評価と EPSS。

出典

• NVD: CVE-2026-77779
• ManageEngine Key Manager Plus の勧告 cve-2026-77779（NVD の参照先。未開封）
• FIRST EPSS（データなし）、CISA KEV（掲載なし）