CVE-2026-75791: обход аутентификации в ManageEngine ADSelfService Plus

В продукте Zohocorp ManageEngine ADSelfService Plus выявлена критичная уязвимость, связанная с обходом аутентификации. Она получила идентификатор CVE-2026-75791 и оценку 8.6 по шкале CVSS, что соответствует высокому уровню опасности.

Подробности

Уязвимость затрагивает ManageEngine ADSelfService Plus — решение для самостоятельного сброса паролей и управления учётными записями, интегрированное с Active Directory. Согласно описанию CVE, проблема присутствует в REST API продукта во всех версиях до build 7001.

Тип уязвимости — обход аутентификации (authentication bypass). Это означает, что злоумышленник может взаимодействовать с REST API, минуя проверку подлинности, и получать доступ к функциональности, которая должна быть доступна только авторизованным пользователям. Поскольку ADSelfService Plus тесно связан с инфраструктурой Active Directory, успешная эксплуатация такой уязвимости потенциально открывает путь к чувствительным операциям с учётными записями домена.

Оценка CVSS составляет 8.6, что относит проблему к категории HIGH. Точные векторы атаки и наличие публичных эксплойтов в записи CVE не раскрываются, однако высокий балл указывает на серьёзный риск для организаций, использующих уязвимые сборки. Уязвимость не требует аутентификации для эксплуатации, что делает её особенно опасной для систем, доступных из внешних сетей.

Что делать

Основная рекомендация — как можно скорее обновить ManageEngine ADSelfService Plus до build 7001 или более поздней версии. Производитель выпустил исправление именно в этой сборке, поэтому обновление закрывает уязвимость.

Дополнительные меры до момента установки обновления:

• ограничить доступ к REST API продукта — по возможности не публиковать его в интернет, а использовать только из доверенных внутренних сегментов сети;
• проверить правила межсетевого экрана и обратного прокси, чтобы отсечь внешние обращения к API;
• включить журналирование и мониторинг обращений к REST API для выявления подозрительной активности;
• проанализировать логи на предмет несанкционированных вызовов API за предшествующий период — уязвимость могла эксплуатироваться до обнаружения.

Также стоит проверить, не используются ли учётные записи с избыточными правами в связке с ADSelfService Plus, и по возможности сократить их привилегии.

Уязвимость CVE-2026-75791 представляет серьёзную угрозу для организаций, эксплуатирующих ManageEngine ADSelfService Plus. Высокий балл CVSS и возможность обхода аутентификации без предварительного доступа делают её приоритетной для устранения. Организациям следует незамедлительно обновить продукт до build 7001 или новее, а до этого ограничить сетевой доступ к REST API и усилить мониторинг.

Источник: CVE Project (cvelistV5)