---
title: "ManageEngine Key Manager Plus 7151 より前で、低権限ユーザーが権限範囲外の鍵を書き出せるおそれ（CVE-2026-77779）: 認証が必要、CVSS v3.1 7.7、修正内容と悪用の有無は未確認"
url: https://n-t-p.io/worldsecurity/articles/manageengine-key-manager-plus-cve-2026-77779-improper-access-control-key-export
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月7日
updated: 2026年11月7日
severity: 高
cve: CVE-2026-77779
---

# ManageEngine Key Manager Plus 7151 より前で、低権限ユーザーが権限範囲外の鍵を書き出せるおそれ（CVE-2026-77779）: 認証が必要、CVSS v3.1 7.7、修正内容と悪用の有無は未確認

> **TL;DR:** ManageEngine Key Manager Plus の 7151 より前で、認証済みの低権限ユーザーが権限範囲外の鍵を書き出せるおそれ（CVE-2026-77779、CWE-1220、CVSS v3.1 7.7）。認証が必要で、攻撃条件は複雑。修正内容は未確認、悪用の有無も未確認。KEV 未掲載、EPSS データなし。

**要点**
- Key Manager Plus 7151 より前で、認証済みの低権限ユーザーが権限範囲外の鍵を書き出せるおそれ（CVE-2026-77779）。
- CVSS v3.1 は 7.7。ネットワーク経由で低権限が必要、攻撃条件は複雑。NVD の状態は Received。
- 7151 以降への更新を確認する。修正内容は未確認。
- 悪用の有無は未確認。KEV には載っておらず、EPSS はデータなし。

ManageEngine Key Manager Plus の 7151 より前の版に、不適切なアクセス制御の問題があるとして、CVE-2026-77779 が 2026-11-04 に NVD に登録されました。登録元は Zoho 側の CNA です。同じ製品の CVE-2026-77690（デプロイ先設定でのコマンドインジェクション）とは別の番号です。

## 何が起きるか
- NVD の記載によると、認証済みの低権限ユーザーが、本来許可された範囲の外にある鍵を書き出せるおそれがあります。
- 弱点の分類は CWE-1220（アクセス制御の粒度が不十分）です。
- ベクターは、ネットワーク経由（AV:N）・攻撃条件が複雑（AC:H）・低権限が必要（PR:L）・ユーザー操作なし（UI:N）・影響範囲が変わる（S:C）、機密性への影響が高、完全性・可用性への影響が低、としています。
- 書き出せる鍵の種類（SSH 鍵、証明書の秘密鍵など）と、他の権限のユーザーの鍵まで取れるのかは、NVD の記載からは分かりません（未確認）。

## 影響を受ける版
- Key Manager Plus の 7151 より前の版です（NVD の affected データより）。7151 以降で修正されているかは、Zoho の勧告を確認する必要があります（勧告の中身は未開封で、修正内容は未確認）。

## 数値と severity
- CVSS v3.1 は 7.7（HIGH）で、ベクターは CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:L/A:L です。評価元は登録元の CNA による Secondary の値です。
- 認証が必要（PR:L）で CVSS 9 未満のため、critical にはせず severity は high とします。
- NVD の状態は「Received」で、NVD 自身の評価はまだありません。FIRST の EPSS はデータなし、CISA の KEV には載っていません（2026-11-04 時点）。

## 対策
- Zoho の勧告（NVD の参照先）を確認し、7151 以降へ更新してください。
- 当面の備えとして、低権限のアカウントを棚卸しして不要なものを無効にする、鍵のエクスポート操作の監査ログを確認する、管理画面へのアクセス元を絞る、といった対応が考えられます。書き出された可能性のある鍵は、必要に応じて入れ替えを検討してください。

## 未確認の点
- 書き出せる鍵の種類と範囲、実際の悪用の難しさ（AC:H の理由）。
- 7151 での修正内容。
- 悪用の有無、攻撃コードの流通。
- NVD の最終評価と EPSS。

## 出典
- NVD: CVE-2026-77779
- ManageEngine Key Manager Plus の勧告 cve-2026-77779（NVD の参照先。未開封）
- FIRST EPSS（データなし）、CISA KEV（掲載なし）


## 出典
- [NVD CVE-2026-77779](https://nvd.nist.gov/vuln/detail/CVE-2026-77779) — NIST NVD
- [ManageEngine Key Manager Plus Advisory CVE-2026-77779（未開封）](https://www.manageengine.com/key-manager/advisory/cve-2026-77779.html) — ManageEngine（Zoho）

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/manageengine-key-manager-plus-cve-2026-77779-improper-access-control-key-export