CVE-2026-11374: ManageEngine ADSelfService Plus, RecoveryManager Plus, M365 Manager Plus e ADAudit Plus: tickets SSO previsíveis levando à tomada de conta
A CVE-2026-11374 afeta quatro produtos da ManageEngine e trata de tickets SSO gerados para autenticar uma sessão, que poderiam ser previstos por um usuário não autenticado. O CNA classifica a falha como crítica, com pontuação base CVSS 3.1 de 9.0, e a associa ao CWE-287 (Autenticação Imprópria), com tomada de conta como consequência descrita. No momento da análise, o registro não lista versões afetadas, versões corrigidas nem inclusão no catálogo KEV.
Visão geral
A CVE-2026-11374 é descrita pelo CNA como uma fraqueza na geração de tickets de autenticação única (SSO) em quatro produtos da ManageEngine: ADSelfService Plus, RecoveryManager Plus, M365 Manager Plus e ADAudit Plus. Os tickets SSO usados para autenticar uma sessão poderiam ser previstos por um usuário não autenticado. O registro associa a falha ao CWE-287 (Autenticação Imprópria).
Impacto
- O CNA descreve a consequência como tomada de conta.
- O CNA atribui pontuação base CVSS 3.1 de 9.0 (crítica), com alto impacto em confidencialidade, integridade e disponibilidade e escopo alterado.
- O vetor de ataque é indicado como rede, sem privilégios e sem interação do usuário, embora o registro indique complexidade de ataque alta.
Produtos e versões afetadas
- ManageEngine ADSelfService Plus
- ManageEngine RecoveryManager Plus
- ManageEngine M365 Manager Plus
- ManageEngine ADAudit Plus
O registro não lista intervalos específicos de versões afetadas. Os administradores devem consultar o aviso do fabricante para detalhes de versão.
Status de exploração
O catálogo KEV da CISA não lista esta CVE no registro. Nenhuma exploração confirmada aparece nas fontes consultadas para esta análise. Dados do EPSS não estão disponíveis no registro.
Remediação e mitigação
- Verifique o aviso do fabricante em aviso da ManageEngine para as versões corrigidas de cada produto afetado.
- Aplique a correção fornecida pelo fabricante assim que ela for confirmada para as versões instaladas, priorizando instâncias expostas à internet.
- Enquanto a correção não for aplicada, restrinja o acesso de rede às interfaces de gerenciamento desses produtos e revise se o login SSO é exigido nos serviços expostos.
- Revise as contas que possam ter sido acessadas por SSO nos produtos afetados e redefina credenciais onde houver atividade suspeita.
Orientação para detecção
- Analise os logs de autenticação dos quatro produtos em busca de logins SSO sem etapa de autenticação interativa correspondente ou originados de endereços inesperados.
- Procure ações administrativas não explicadas, novas contas ou alterações de configuração nos produtos.
- Correlacione os logs do diretório e do provedor de identidade com os logs dos produtos para identificar logins fora do comportamento normal dos usuários.
Limitações das informações disponíveis
O registro não fornece números de versões afetadas ou corrigidas, lista confirmada de correções, detalhes técnicos sobre a geração dos tickets nem evidências de exploração. O vetor e a pontuação CVSS vêm do CNA e não foram verificados de forma independente. Os campos EPSS e SSVC estão vazios. As afirmações sobre impacto se limitam à descrição do CNA.
Perguntas frequentes
O que é a CVE-2026-11374?
É uma fraqueza relatada pelo CNA em que tickets SSO usados para autenticar sessões em quatro produtos ManageEngine podiam ser previstos por um usuário não autenticado, levando à tomada de conta.
Quais produtos são afetados?
O registro cita ADSelfService Plus, RecoveryManager Plus, M365 Manager Plus e ADAudit Plus. Não lista intervalos específicos de versões afetadas.
Esta vulnerabilidade está sendo explorada ativamente?
A CVE não aparece no catálogo KEV da CISA no registro, e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.