---
title: "ManageEngine Log360・EventLog Analyzer の CVE-2026-13594: 認証なしで不正アクセスされる恐れ、CVSS v3.1 9.1"
url: https://n-t-p.io/worldsecurity/articles/manageengine-log360-eventlog-analyzer-improper-access-control-cve-2026-13594
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月3日
updated: 2026年11月3日
severity: 緊急
cve: CVE-2026-13594
---

# ManageEngine Log360・EventLog Analyzer の CVE-2026-13594: 認証なしで不正アクセスされる恐れ、CVSS v3.1 9.1

> **TL;DR:** ManageEngine Log360 と EventLog Analyzer のビルド 13025〜13061（NVD の説明は 13062 以下）に、認証なしで製品へ不正にアクセスされうる脆弱性（CVE-2026-13594、CVSS v3.1 9.1）。NVD は未分析、KEV 掲載なし。ビルド 13062 以降へ更新する。

**要点**
- 不適切なアクセス制御（CWE-284）。攻撃者が製品へ不正にアクセスできるとされ、具体的な経路は公開情報に記載なし
- CVSS v3.1 9.1（Secondary、AV:N/AC:L/PR:N/UI:N）。認証不要かつ 9 以上のため critical。NVD は未分析（Received）
- ベンダー勧告ではビルド 13025〜13061 が対象、13062 で修正。NVD は 13062 以下と記し、表記が食い違う
- KEV 掲載なし、EPSS は公開直後で未算出。攻撃経路・実際の悪用は未確認

Zoho の ManageEngine Log360 と EventLog Analyzer に、攻撃者が製品へ不正にアクセスできる脆弱性（CVE-2026-13594、不適切なアクセス制御）が公開されました。CVSS v3.1 は 9.1（CRITICAL、AV:N/AC:L/PR:N/UI:N）で、NVD のベクターでは認証が不要です。ベンダーは影響を受ける版をビルド 13025〜13061、修正版をビルド 13062（2026-07-06）としています。CISA KEV には掲載されておらず、EPSS は公開直後のため未算出です。

## 概要

| 項目 | 内容 |
|---|---|
| CVE | CVE-2026-13594 |
| 製品 | ManageEngine Log360、ManageEngine EventLog Analyzer |
| 影響を受ける版 | ベンダー勧告: ビルド 13025〜13061。NVD の説明: 13062 以下（修正版と同じ 13062 を含む表記で、ベンダーの記載と食い違う） |
| 修正版 | ビルド 13062 以降（ベンダー勧告） |
| 問題 | 不適切なアクセス制御（CWE-284）。NVD・ベンダーとも、攻撃者が製品へ不正にアクセスできる、とだけ記載 |
| 攻撃条件 | ネットワーク経由、認証不要、ユーザー操作不要（CVSS ベクター） |
| 影響 | 機密性・完全性への影響が大きい（CVSS v3.1）。ベンダーは機密性・完全性・可用性への影響がありうるとする |
| 悪用状況 | CISA KEV に掲載なし。攻撃の手口・実際の悪用は未確認 |

## 読むときの注意

- NVD の状態は Received で、NVD 自身の分析は済んでいません。CVSS の 9.1 は NVD 以外の採番機関（Secondary）の値です。ベンダー自身の深刻度表記は High です。
- 具体的な攻撃経路（どの画面・機能が対象か）は、NVD にもベンダー勧告にも書かれていません。ここでは推測していません。
- 影響を受ける版の範囲が NVD（13062 以下）とベンダー（13025〜13061）で異なります。13062 以降が修正版というベンダーの説明に従うのが妥当ですが、どちらが正確かは未確認です。

## 対策

- Log360 または EventLog Analyzer をビルド 13062 以降へ更新する（ベンダーはサービスパックでの更新を案内）。
- 自社の版がビルド 13025〜13061 に当たるか、まず確認する。
- 管理画面をインターネットへ直接公開しない。ネットワーク制限や VPN で到達できる範囲を絞る。
- ログ管理基盤は他の機器のログが集まる場所なので、想定外のログインや設定変更、アカウントの追加がないか点検する。

## 数値と出典（2026-11-03 時点）

| 項目 | 内容 |
|---|---|
| NVD の状態 | Received（2026-11-03 公開） |
| CVSS v3.1 | 9.1（CRITICAL。NVD 掲載の Secondary の値。CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N） |
| CWE | CWE-284 |
| EPSS | 公開直後のため未算出（FIRST に該当データなし） |
| KEV | 掲載なし（2026-11-03 時点） |
| 出典 | NVD、ManageEngine セキュリティ勧告、FIRST、CISA KEV |

## 未確認の点

- 攻撃経路と、不正アクセスで到達できる範囲。
- 影響を受ける版の範囲（NVD とベンダーの表記の食い違い）。
- 勧告の公開日（修正は 2026-07-06 とあるが、勧告の公開日は不明）と、公開前の悪用の有無。
- 実際の攻撃の手口、標的、規模。
- NVD の分析結果によって CVSS の値が変わる可能性。


## 出典
- [NVD CVE-2026-13594](https://nvd.nist.gov/vuln/detail/CVE-2026-13594) — NIST NVD
- [ManageEngine セキュリティ勧告 CVE-2026-13594](https://www.manageengine.com/products/eventlog/advisory/CVE-2026-13594.html) — ManageEngine（Zoho）
- [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-13594) — CISA
- [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-13594) — FIRST

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/manageengine-log360-eventlog-analyzer-improper-access-control-cve-2026-13594