ManageEngine Password Manager Pro・PAM360 に認証後のリモートコード実行の欠陥（CVE-2026-18199）: CVSS 8.8、Password Manager Pro 13236 未満・PAM360 8601 未満

ManageEngine の特権パスワード管理製品 Password Manager Pro と PAM360 に、ログインした利用者が OS のコマンドを実行できる欠陥（CVE-2026-18199）が公表されました。サーバー側の入力の検証と特殊文字の処理が不十分だったことが原因とされています。NVD に載っている CVSS v3.1 は 8.8（AV:N/AC:L/PR:L/UI:N、評価元は Zoho 側の CNA）です。ログインが必要（PR:L）で、認証不要ではないため severity は high とします。CISA の KEV（悪用が確認された脆弱性）には載っておらず、CISA の SSVC では exploitation が none（悪用なし）です。EPSS（悪用される見込みの数値）は 0.0245（約 2.5%、上位 約 16%）です。対象は Password Manager Pro が 13236 未満、PAM360 が 8601 未満で、修正版はそれぞれ 13236・8601 です。ベンダーの勧告によると、修正は 2026 年 7 月末にすでに出ています。

概要

項目	内容
問題	認証後のリモートコード実行。NVD の弱点分類は CWE-78（OS コマンドインジェクション）
攻撃条件	ネットワーク経由でログインできる利用者（低い権限でよい）。利用者の操作は不要
影響	サーバー上で任意の OS コマンドを実行でき、機密性・完全性・可用性のすべてに高い影響
CVSS v3.1	8.8（AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H、評価元は Zoho 側の CNA）
EPSS	0.0245（2026-11-03 の FIRST の値）
CISA KEV	載っていない（2026-11-04 時点）。SSVC は exploitation: none、automatable: no、technical impact: total
対象	Password Manager Pro 13235 まで、PAM360 8600 まで
修正	Password Manager Pro 13236（2026-07-31 修正）、PAM360 8601（2026-07-30 修正）

ベンダーの勧告には、深刻度は High、修正はサーバー側での適切な検証と特殊文字のエスケープ、と書かれています。攻撃の細かい手順や、どの機能の入力が原因かは公表されていません。

どんな場合に危ないか

• Password Manager Pro・PAM360 を古い版のまま使っている組織。この製品は管理者パスワードや秘密鍵などを保管するため、サーバーを乗っ取られると影響が大きくなります。
• 利用者アカウントの数が多い、外部委託先にもアカウントを渡している、パスワードの使い回しがあるなど、低い権限のアカウントを手に入れやすい環境。
• 管理画面がインターネットから直接見える環境。

対応

1. Password Manager Pro は 13236 以降、PAM360 は 8601 以降へ更新する（ベンダーのアップグレードパックを使う）。
2. 更新前に、保管データのバックアップを取る。
3. 更新までは、管理画面へのアクセスを社内の限られた経路に絞り、不要な利用者アカウントを整理する。
4. サーバーで想定外のプロセス起動や設定変更がないか、ログを確認する。

未確認の点

• 悪用の有無・規模。現時点で攻撃の報告は確認できていない（KEV 未掲載、SSVC は exploitation: none）。
• 原因となった機能・入力の場所、必要な利用者の権限の種類。ベンダーは詳細を出していない。
• 13235・8600 より前の全版が対象か（NVD は下限を 0 としているが、実際に確認した版は勧告に書かれた範囲のみ）。
• NVD の分析は未完了（Awaiting Analysis）で、評価が変わる可能性がある。公開された悪用コードの有無も確認できていない。