ManageEngine Log360・EventLog Analyzer の CVE-2026-13594: 認証なしで不正アクセスされる恐れ、CVSS v3.1 9.1

Zoho の ManageEngine Log360 と EventLog Analyzer に、攻撃者が製品へ不正にアクセスできる脆弱性（CVE-2026-13594、不適切なアクセス制御）が公開されました。CVSS v3.1 は 9.1（CRITICAL、AV:N/AC:L/PR:N/UI:N）で、NVD のベクターでは認証が不要です。ベンダーは影響を受ける版をビルド 13025〜13061、修正版をビルド 13062（2026-07-06）としています。CISA KEV には掲載されておらず、EPSS は公開直後のため未算出です。

概要

項目	内容
CVE	CVE-2026-13594
製品	ManageEngine Log360、ManageEngine EventLog Analyzer
影響を受ける版	ベンダー勧告: ビルド 13025〜13061。NVD の説明: 13062 以下（修正版と同じ 13062 を含む表記で、ベンダーの記載と食い違う）
修正版	ビルド 13062 以降（ベンダー勧告）
問題	不適切なアクセス制御（CWE-284）。NVD・ベンダーとも、攻撃者が製品へ不正にアクセスできる、とだけ記載
攻撃条件	ネットワーク経由、認証不要、ユーザー操作不要（CVSS ベクター）
影響	機密性・完全性への影響が大きい（CVSS v3.1）。ベンダーは機密性・完全性・可用性への影響がありうるとする
悪用状況	CISA KEV に掲載なし。攻撃の手口・実際の悪用は未確認

読むときの注意

• NVD の状態は Received で、NVD 自身の分析は済んでいません。CVSS の 9.1 は NVD 以外の採番機関（Secondary）の値です。ベンダー自身の深刻度表記は High です。
• 具体的な攻撃経路（どの画面・機能が対象か）は、NVD にもベンダー勧告にも書かれていません。ここでは推測していません。
• 影響を受ける版の範囲が NVD（13062 以下）とベンダー（13025〜13061）で異なります。13062 以降が修正版というベンダーの説明に従うのが妥当ですが、どちらが正確かは未確認です。

対策

• Log360 または EventLog Analyzer をビルド 13062 以降へ更新する（ベンダーはサービスパックでの更新を案内）。
• 自社の版がビルド 13025〜13061 に当たるか、まず確認する。
• 管理画面をインターネットへ直接公開しない。ネットワーク制限や VPN で到達できる範囲を絞る。
• ログ管理基盤は他の機器のログが集まる場所なので、想定外のログインや設定変更、アカウントの追加がないか点検する。

数値と出典（2026-11-03 時点）

項目	内容
NVD の状態	Received（2026-11-03 公開）
CVSS v3.1	9.1（CRITICAL。NVD 掲載の Secondary の値。CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N）
CWE	CWE-284
EPSS	公開直後のため未算出（FIRST に該当データなし）
KEV	掲載なし（2026-11-03 時点）
出典	NVD、ManageEngine セキュリティ勧告、FIRST、CISA KEV

未確認の点

• 攻撃経路と、不正アクセスで到達できる範囲。
• 影響を受ける版の範囲（NVD とベンダーの表記の食い違い）。
• 勧告の公開日（修正は 2026-07-06 とあるが、勧告の公開日は不明）と、公開前の悪用の有無。
• 実際の攻撃の手口、標的、規模。
• NVD の分析結果によって CVSS の値が変わる可能性。