Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID | CVE-2026-12591 |
| Źródło alertu | GitHub Advisory - Krytyczna podatność |
| Rok publikacji CVE | 2026 |
| Data publikacji | 2026-11-12 |
| Producent | Zohocorp |
| Produkt | ManageEngine M365 Manager Plus |
| Typ podatności | brak autoryzacji, eskalacja uprawnień do RCE (CWE-862) |
| CVSS Score | 9.9 (Krytyczny) |
| EPSS Score | Brak danych |
| CISA KEV | Nie |
| Ransomware | Nie potwierdzono |
Opis podatności
Źródło: NVD, ManageEngine
W Zohocorp ManageEngine M365 Manager Plus w wersjach poniżej 4818 uwierzytelniony technik może wykorzystać niewystarczającą walidację uprawnień w interfejsie administracji delegowanej, aby eskalować uprawnienia poza przyznany mu zakres, co może skutkować zdalnym wykonaniem kodu podczas przetwarzania operacji administracyjnych.
Według biuletynu producenta technik może w ten sposób uzyskać dostęp administratora, a w konsekwencji wykonać kod na serwerze. Poprawka dodaje kontrolę autoryzacji w podatnych interfejsach API i sanityzację wartości wejściowych. Producent klasyfikuje podatność jako „High”, NVD ocenia ją na 9.9 w skali CVSS.
Wymagane działania
- Zaktualizuj M365 Manager Plus do wersji (build) 4818 lub nowszej za pomocą service packa producenta.
- Przejrzyj listę kont techników z delegowanymi uprawnieniami i usuń zbędne.
- Sprawdź logi audytowe M365 Manager Plus pod kątem nieoczekiwanych zmian ról i uprawnień techników.
Kogo dotyczy?
Podatność dotyczy Zohocorp ManageEngine M365 Manager Plus w wersji (build) 4817 i starszych. M365 Manager Plus służy do administrowania, raportowania i audytu środowisk Microsoft 365 (Exchange Online, Entra ID, Teams, SharePoint Online, OneDrive), często z delegowaniem zadań helpdeskowi.
Źródła
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
Najczęściej zadawane pytania
Czym jest podatność CVE-2026-12591?
CVE-2026-12591 to brak właściwej kontroli uprawnień (CWE-862) w interfejsie administracji delegowanej ManageEngine M365 Manager Plus, który pozwala uwierzytelnionemu technikowi uzyskać uprawnienia administratora i wykonać kod na serwerze. Ocena CVSS: 9.9.
Czy do wykorzystania CVE-2026-12591 potrzebne jest uwierzytelnienie?
Tak, ale wystarczy konto technika z delegowanymi uprawnieniami — nie są potrzebne uprawnienia administratora ani interakcja innego użytkownika.
Jak zabezpieczyć się przed CVE-2026-12591?
Zaktualizować M365 Manager Plus do wersji (build) 4818 lub nowszej za pomocą service packa producenta i przejrzeć listę kont techników z delegowanymi uprawnieniami.
Kogo dotyczy CVE-2026-12591?
Organizacji korzystających z ManageEngine M365 Manager Plus w wersji (build) 4817 lub starszej.
