ManageEngine Key Manager Plus 7150 までに 2 件（CVE-2026-77800・77691）: SAML の認証回避と、証明書の失効処理を使ったコマンド実行。7151 で修正

ManageEngine の鍵・証明書管理ツール Key Manager Plus に、脆弱性が 2 件公表されました（CVE-2026-77800・CVE-2026-77691）。ベンダーの勧告では、影響を受けるのは 7150 までのすべての版で、7151（2026-08-21 公開）で修正されています。NVD への登録は 2026-11-03 で、状態は「Awaiting Analysis」です。

何が起きるか

• CVE-2026-77800（SAML 認証の回避）: シングルサインオン（SSO）を設定している環境で、同じ認証基盤（IdP）が「別のサービス向け」に発行した SAML アサーションを Key Manager Plus に送ると、ログインできてしまいます。認証は不要です。アサーションが管理者を示していれば、管理者の権限で操作できる恐れがあります。修正では、アサーションの宛先（audience）を確認するようになりました。
• CVE-2026-77691（コマンド実行）: 証明書管理の権限を持つログイン済みのユーザーが、Microsoft CA の設定で細工した入力を渡すと、後の証明書失効の処理で使われ、証明書エージェントが入った Windows 端末でエージェントサービスの権限のまま任意の OS コマンドを実行できる恐れがあります。

数値と severity

• 77800: CVSS v3.1 7.7（AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:L）、CWE-304。ベンダーの深刻度は High。
• 77691: CVSS v3.1 8.1（AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N）、CWE-78。ベンダーの深刻度は High。
• どちらも評価はベンダー（Zoho）が付けたもので、NVD 自身の分析はまだありません。77800 は認証不要ですが CVSS が 9 未満で、攻撃の難度も高いとされているため、severity は high とします。77691 は要ログインです。
• CISA の SSVC では、どちらも「悪用なし・自動化できない・技術的影響は全面的」です。KEV への掲載、EPSS は未確認です。

対策

• Key Manager Plus を 7151 以降に更新する（ベンダーのアップグレードパックを適用）。
• SSO を使っている場合は、同じ IdP につながる他のサービスの管理も見直す。
• 更新までの間は、証明書管理の権限を持つアカウントを必要な人だけに絞り、管理画面を信頼できるネットワークからだけ使えるようにする（一般的な対応で、ベンダーの指示ではありません）。

未確認の点

• 悪用の有無、攻撃コードの公開状況。
• 77800 が成立する具体的な条件（IdP の構成によって変わる可能性）。
• EPSS、NVD の最終評価。

出典

• ManageEngine 勧告: CVE-2026-77800、CVE-2026-77691
• NVD: CVE-2026-77800、CVE-2026-77691