ServiceDesk Plusなど4製品にRCE脆弱性、修正版あり
ManageEngineのServiceDesk Plusなど4製品のReportsモジュールに、権限を持つ利用者がサーバー上でコマンドを実行できる脆弱性があります。該当版を使う組織は、6月に出た修正版へ更新し、レポート作成権限の持ち主も見直してください。
急ぎ度: 早めに
CVSS v3は9.1でサーバー上のコマンド実行に至り、修正版は2026年6月から出ているため、早めに更新する段階です。
関係があるか
ManageEngineのAssetExplorer、ServiceDesk Plus、ServiceDesk Plus MSP、SupportCenter Plusを自社で運用していて、修正版より古い版を使っている組織が対象です。IT資産管理やヘルプデスクの窓口として社内に広く開放している環境ほど、権限を持つアカウントが増えやすく、影響を受けやすくなります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| AssetExplorer | 7850以前（7860未満） | 7860（2026年6月19日公開） |
| ServiceDesk Plus | 15280以前（15290未満） | 15290（2026年6月19日公開） |
| ServiceDesk Plus MSP | 15140以前（15150未満） | 15150（2026年6月22日公開） |
| SupportCenter Plus | 15140以前（15150未満） | 15150（2026年6月22日公開） |
確かめ方
- 1各製品の管理画面にあるバージョン情報で、現在のビルド番号を確認し、上の表の修正版と比べます。
- 2社内で複数の製品を使っている場合は、4製品それぞれを別々に確認します。AssetExplorerは7860、ServiceDesk PlusとMSPなどで版の数字が異なります。
- 3Create Query Reports権限を付与されているロールとアカウントを洗い出します。
- 4クラウド版を使っている場合は、ベンダーの告知か各製品のサポート窓口で、自社の環境が対象かどうかを確認します。
何が起きたか
ManageEngineのAssetExplorer、ServiceDesk Plus、ServiceDesk Plus MSP、SupportCenter Plusのレポート機能に、サーバー上で任意のコマンドを実行されてしまう脆弱性があります。
問題はReportsモジュールがデータベースへの問い合わせを受け付ける部分にあります。Create Query Reports権限を持つ利用者が細工した問い合わせを実行すると、Jasper expressionが評価され、コマンドの実行につながります。CWEはCWE-89です。
ベンダーは、必要な権限に応じて入力の検証が働くようにし、Jasper expressionを動かす問い合わせを実行できなくして修正しました。CVEの公開は2026年11月12日ですが、修正版は2026年6月19日と22日にすでに出ています。報告者はバグバウンティの窓口を通じて届け出たPhan Cong Anh Tuan氏です。
攻撃の流れ
-
1
権限のあるログイン
Create Query Reports権限を持つアカウントで製品にログインします。
-
2
細工した問い合わせ
Reportsモジュールに、Jasper expressionを含む細工したデータベース問い合わせを登録します。
-
3
コマンド実行
製品が動くサーバー上で、任意のコマンドが実行されます。
-
4
追加の攻撃
乗っ取ったサーバーを足がかりに、社内のほかの機器やデータへ攻撃が広がるおそれがあります。
どう悪用されるか
悪用にはログインが必要で、しかもCreate Query Reports権限を持つアカウントでなければなりません。CVSSのベクターでも、ネットワーク越しに攻撃でき、必要な権限は高、利用者の操作は不要とされています。攻撃の難しさは低く、権限さえ手に入れば特別な条件は要りません。
成功すると、製品が動くサーバー上で任意のコマンドが実行されます。ベンダーは、その後にさらなる攻撃が行われる可能性も挙げています。機密性・完全性・可用性への影響はいずれも高とされ、CVSSでは影響範囲が元のコンポーネントを越えて広がる扱いです。ベンダー自身の深刻度評価はHighですが、CVEの記録ではCVSS v3が9.1のcriticalになっています。
今すぐやること
-
1
修正版へ更新する
使っている製品ごとにベンダーの最新サービスパックを入手し、手順書に従って既存の環境へ適用します。更新前にバックアップを取り、適用後にビルド番号が修正版以上になったことを確認します。
-
2
Create Query Reports権限を見直す
この権限を持つロールとアカウントを一覧にし、業務で本当にレポート用の問い合わせを書く人だけに絞ります。退職者や使っていないアカウントも整理します。
-
3
侵害の跡がないか調べる
修正版が出てから数か月たっているため、更新前の期間も見ます。身に覚えのないクエリレポートが作られていないか、製品の稼働するサーバーで見慣れないプロセスや外部への通信がないかを確認します。
-
4
不審な点があれば認証情報を入れ替える
跡が見つかったときは、サーバーを隔離したうえで、製品に保存された接続用のパスワードや連携先の認証情報を入れ替えます。
すぐ更新できないとき
ベンダーの告知に回避策の記載はありません。更新までのつなぎとして、Create Query Reports権限を持つアカウントを必要最小限に絞り、管理画面へのアクセス元を社内の限られた端末に制限してください。
背景
AssetExplorerはIT資産の台帳、ServiceDesk PlusとSupportCenter Plusは問い合わせやインシデントを受け付けるヘルプデスク、MSPは複数の顧客を預かる事業者向けの版です。いずれも社内の機器一覧や利用者情報、チケットが集まり、サーバー側で動くため、乗っ取られたときの影響が一台の端末にとどまりません。
Reportsモジュールは、データベースへの問い合わせを自分で書いてレポートを作れる機能です。便利な反面、入力した内容が製品内部で評価されるため、権限の持ち主が実質的にサーバー上で処理を動かせる経路になりえます。今回の脆弱性はその経路を突くもので、ベンダーはJasper expressionを動かす問い合わせを禁じる形で塞ぎました。
よくある質問
Q.Create Query Reports権限を誰にも付けていなければ、更新しなくても安全ですか。
Q.2026年6月に更新済みなら、何か追加の作業は要りますか。
まだ分かっていないこと
- 実際の攻撃で悪用された報告があるかどうかは、ベンダーの告知に記載がありません。
- クラウド版の扱いは、告知に記載がありません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| ZohocorpAssetExplorer |
7860 未満→ 7860 |
7860 |
| ZohocorpServiceDesk Plus |
15290 未満→ 15290 |
15290 |
| ZohocorpServiceDesk Plus MSP |
15150 未満→ 15150 |
15150 |
| ZohocorpSupportCenter Plus |
15150 未満→ 15150 |
15150 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Zohocorp ManageEngine AssetExplorer versions below 7860, ServiceDesk Plus versions below 15290, ServiceDesk Plus MSP versions below 15150, and SupportCenter Plus versions below 15150 are affected by a authenticated remote code execution vulnerability in the Reports module. An authenticated user with the Create Query Reports permission could exploit specially crafted database queries to execute arbitrary commands on the underlying server.
出典: CVE.org (CVE Program・cvelistV5) NVD
参照URL
- web manageengine.com