Log360とEventLog Analyzerに脆弱性、修正版あり
ManageEngineのLog360とEventLog Analyzerに、認証なしでネットワーク越しに不正アクセスされる恐れのある脆弱性が公表されました。対象の版を使う組織は、版を確認して修正版へ更新し、管理画面の公開範囲も見直してください。
急ぎ度: 早めに
CVSS v3が9.1で認証不要のネットワーク経由という条件ですが、公表は2026年11月3日で悪用の報告は見当たらず、修正版が出ているため、早めの更新が妥当です。
関係があるか
Log360またはEventLog Analyzerを自社で運用している組織が対象です。ログの集約サーバーに社内の複数のネットワークから到達できる環境や、管理画面を外部に公開している環境は、とくに優先して確認してください。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| ManageEngine Log360 | 13062未満（告知の説明文には「13062以下」とも書かれています） | 13062（境界の扱いに食い違いがあるため、ベンダーの告知で修正版の番号を確認してください） |
| ManageEngine EventLog Analyzer | 13062未満（告知の説明文には「13062以下」とも書かれています） | 13062（同上） |
確かめ方
- 1Log360とEventLog Analyzerの管理画面で、現在のビルド番号を確認します。
- 2ビルド番号が13062以下なら、更新が済んでいない可能性があります。13062ちょうどの場合は、ベンダーの告知で修正版の扱いを確認してください。
- 3資産台帳や検証環境、部門ごとに立てた小規模な導入分も洗い出し、2製品が動いているサーバーを漏れなく数えます。
- 4管理画面のポートに、社外やほかの拠点のネットワークから到達できるかを、ファイアウォールの設定で確かめます。
何が起きたか
Zoho CorporationのManageEngine Log360とEventLog Analyzerに、アクセス制御の不備による脆弱性が見つかりました。悪用されると、本来許可されていない第三者が製品に不正にアクセスできてしまいます。
ベンダーの説明では、13062以下の版が影響を受けるとされています。CWEの分類はCWE-284（不適切なアクセス制御）で、CVSS v3のベクターは CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N です。
不正アクセスで具体的に何ができるのか、どの機能が対象なのかは、説明文だけでは細かく分かりません。そのため、対象の版であれば、ログ基盤そのものが不正に操作される前提で備えるのが無難でしょう。
攻撃の流れ
-
1
製品へ到達
攻撃者がネットワーク経由でLog360またはEventLog Analyzerの管理用の入口に届く位置にいます。
-
2
認証を経ず接続
アクセス制御の不備により、ログインなしで製品へ不正にアクセスします。
-
3
情報の閲覧と変更
保存されたログや設定が読み取られ、書き換えられる恐れがあります。
-
4
検知の妨げ
ログが改ざんされると、ほかの侵入の痕跡が追えなくなる可能性があります。
どう悪用されるか
悪用に必要な条件は少なく、ネットワーク経由で製品に到達できれば、事前のログインや利用者の操作は要らないと評価されています。攻撃の複雑さは低く、特別な環境も前提とされていません。
被害として評価されているのは、情報の漏えい（機密性）と改ざん（完全性）で、どちらも影響は高とされています。サービス停止（可用性）への影響は付いていません。
ログ基盤では、保存された大量のログが読まれるだけでなく、書き換えによって痕跡が消される点も問題になります。実際に何ができるかは、公表された説明だけでは確定できません。
今すぐやること
-
1
対象の版を洗い出す
Log360とEventLog Analyzerの導入先をすべて挙げ、それぞれのビルド番号を管理画面で確認します。
-
2
修正版へ更新する
ベンダーの告知で修正版の番号と入手先を確認し、できるだけ早く更新します。告知では修正版の境界が13062未満か13062以下かに食い違いが見えるため、迷うときは告知が示す最新の版にします。更新の前にはバックアップを取ります。
-
3
管理画面の公開範囲を絞る
更新までのあいだも、管理画面にはインターネットや無関係なネットワークから届かないようにします。恒久的にも、管理用の端末や運用ネットワークに限る構成が望ましいです。
-
4
更新前の期間のログを点検する
公表前から対象の版で稼働していた場合は、製品へのアクセス記録や設定の変更履歴を見直し、身に覚えのない操作がないか確認します。ログの欠落や不自然な時間の空きにも注意してください。
-
5
連携先の認証情報を見直す
不審な形跡があれば、製品が各システムへ接続するために持っているアカウントやAPIキーの変更を検討します。
すぐ更新できないとき
すぐに更新できない場合は、ファイアウォールなどで管理画面への接続元を管理用の端末と必要なログ送信元に限ります。外部に公開している場合は、更新が済むまで公開を止めるか、VPNの内側に移します。これは被害を減らすつなぎであり、修正版の適用に代わるものではありません。ベンダーの告知に回避策が書かれている場合は、そちらの手順を優先してください。
背景
Log360はログの収集や分析、脅威の検知を担う製品で、EventLog Analyzerはサーバーやネットワーク機器のログを集めて監査に使うログ管理ツールです。どちらも、社内の多くのシステムからログを受け取って保管します。そのため、侵入の調査や監査証跡の根拠になる情報が集まる場所であり、ここに不正アクセスされると、情報の漏えいに加えて、調査に使う記録そのものが信用できなくなります。
ManageEngineの製品は、管理者向けの画面を持つ運用管理ツールとして広く使われています。過去には、同じシリーズの別製品で認証をすり抜ける脆弱性が実際の攻撃に使われた例もあり、攻撃者から見て魅力のある標的になっています。認証なしで到達できるタイプの脆弱性では、管理画面を公開しているかどうかが被害の分かれ目になりやすいと考えられます。
よくある質問
Q.クラウド版や、ほかのManageEngine製品も対象ですか。
Q.更新したあと、侵害の調査は必要ですか。
まだ分かっていないこと
- 不正アクセスで具体的にどの機能や情報が操作できるのかは、公表された説明が簡潔なため、細かい点は分かっていません。
- 実際の攻撃での悪用が確認されたかどうかは、公表直後のため分かっていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| Zohocorp | Log360 |
13062 未満 |
13062 |
| Zohocorp | EventLog Analyzer |
13062 未満 |
13062 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Zoho Corporation's ManageEngine Log360 and EventLog Analyzer versions 13062 and below are vulnerable to an issue that could allow an adversary to gain unauthorized access to the product.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web manageengine.com
- web nvd.nist.gov
- web github.com