M365 Manager Plusの権限昇格脆弱性、4818で修正
ManageEngine M365 Manager Plusのビルド4817以前に、委任された技術者アカウントが管理者権限を得て、サーバー上でコードを実行できる脆弱性が公表されました。ビルド4818以降へ更新し、技術者アカウントの棚卸しも進めてください。
急ぎ度: 早めに
CVSS v3は9.9で、低い権限のアカウントからサーバー上のコード実行まで届く一方、修正版4818がすでに出ており、更新すれば解消するためです。
関係があるか
M365 Manager Plusを自社のサーバーで運用し、ヘルプデスクの担当者などに技術者アカウントを発行している組織が対象です。技術者アカウントを1つも使っていなくても、版が古ければ対象になります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| ManageEngine M365 Manager Plus(Zohocorp) | ビルド4817以前 | ビルド4818（ベンダーの告知では2026年6月24日付の修正） |
確かめ方
- 1M365 Manager Plusの管理画面で現在のビルド番号を調べ、4817以下かどうかを見ます。
- 2技術者アカウントを発行しているか、委任管理（ヘルプデスク向けの権限委任）を使っているかを、管理者に確認します。
- 3サーバーの管理画面に社内のどのネットワークから届くかを確認し、技術者アカウントを持つ人や、乗っ取られうる端末の範囲をつかみます。
何が起きたか
M365 Manager Plusで、委任された技術者の権限しか持たないアカウントが、管理者と同じ権限を手に入れ、さらにM365 Manager Plusを動かすサーバー上でコードを実行できてしまう脆弱性が見つかりました。
原因は、委任管理の画面で、操作する人にその権限があるかの検証が足りなかったことです。CWEはCWE-862（認可の欠落）に分類されています。
CVEの公表は2026年11月12日ですが、ベンダーの告知によると、修正はビルド4818として2026年6月24日付で出ています。6月以降にサービスパックを当てていれば、すでに対処済みの可能性があります。
攻撃の流れ
-
1
技術者として認証
委任管理の権限だけを持つ技術者アカウントでログインします。
-
2
委任管理画面を操作
権限の検証が足りない箇所を通じて、本来の範囲を超えた処理を要求します。
-
3
管理者権限を取得
技術者の立場のまま、管理者と同等のアクセスを得ます。
-
4
サーバーでコード実行
管理者向けの処理の中で、サーバー上のコード実行に至ります。
どう悪用されるか
ネットワーク越しに、技術者アカウントとして認証できることが前提です。利用者の操作は要らず、複雑な条件も付いていません。CVSSのベクターでも、必要な権限は低、利用者の操作は不要、攻撃の複雑さは低と評価されています。
悪用されると、技術者アカウントから管理者アクセスへ権限が上がり、サーバー上でコードを実行されるおそれがあります。CVSSでは、影響が製品の外まで及ぶ（Scope Changed）うえ、機密性・完全性・可用性のすべてで影響が大きいと評価されています。
つまり、技術者アカウントが1つ乗っ取られるだけで、Microsoft 365の管理を担うサーバーまで影響が届くことになります。
今すぐやること
-
1
ビルド番号を確認する
管理画面でM365 Manager Plusのビルド番号を確認します。4817以下なら対象です。複数の拠点やテスト環境にインスタンスがないかも、あわせて洗い出します。
-
2
サービスパックでビルド4818以降へ更新する
ベンダーは、サービスパックでビルド4818以降へ更新するよう案内しています。更新前にサーバーのバックアップを取り、更新後にビルド番号が上がったことを確かめます。
-
3
技術者アカウントを棚卸しする
使っていない技術者アカウントを無効にし、残すアカウントは持ち主と委任範囲を確認します。この脆弱性の起点は技術者アカウントなので、数が減るほど、悪用される入口も減ります。
-
4
更新が遅れていた場合は侵害の跡を調べる
修正版は6月から出ています。更新が遅れていたなら、管理者権限の付与や委任設定の変更に覚えのないものがないか、サーバー上に見慣れないプロセスやファイルがないかを調べます。
-
5
不明点はベンダーに問い合わせる
更新の手順や、自社環境が影響を受けるかで迷う場合は、ManageEngineの製品サポートかセキュリティチームに連絡します。
すぐ更新できないとき
ベンダーの告知に回避策の記載はありません。更新までのつなぎとして、技術者アカウントの発行を必要最小限にし、不要なものは無効にします。管理画面へのアクセスは、管理用のネットワークに限ると、アカウントが乗っ取られたときの危険を下げられます。
背景
M365 Manager Plusは、Microsoft 365のユーザー・メールボックス・ライセンスの管理、レポート、監査をまとめて行うManageEngineの製品です。ヘルプデスク向けの委任管理もあり、管理者の権限を渡さずに、パスワードリセットなど限られた作業を担当者に任せられます。今回の脆弱性は、この「限られた権限」という前提を崩すものです。
そのため、ヘルプデスクの外部委託先や多数の担当者に技術者アカウントを配っている組織ほど、入口が多くなります。権限を委任する仕組みでは、画面ごとに権限の検証が正しく入っているかが安全性を左右します。今回はその検証が一部で足りず、ベンダーはAPIに認可チェックを加え、入力値も無害化する修正を入れました。
よくある質問
Q.技術者アカウントを持つのが社内の人だけなら、影響は小さいですか。
まだ分かっていないこと
- 実際の攻撃で悪用された事例があるかどうかは、ベンダーの告知に書かれていません。
- ベンダーの告知は重大度をHighとしていますが、CVSS v3の9.9(critical)と食い違う理由は書かれていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| ZohocorpM365 Manager Plus |
4818 未満→ 4818 |
4818 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Zohocorp ManageEngine M365 Manager Plus versions below 4818 is affected by an authenticated technician may exploit insufficient permission validation in the delegated administration interface to escalate privileges beyond their intended scope, which could result in remote code execution during administrative processing.
出典: CVE.org (CVE Program・cvelistV5) NVD
参照URL
- web manageengine.com