MSP向け管理ツール「ManageEngine OpManager MSP」に深刻な脆弱性 - 8月に修正済み

Zohoがマネージドサービスプロバイダー（MSP）向けに提供している管理製品「ManageEngine OpManager MSP」に脆弱性が明らかとなった。8月のアップデートで修正を実施済みだという。

「Notification Profile」モジュールにおいて、アクセス制御の不備によるOSコマンドインジェクションの「CVE-2026-19599」が明らかとなったもの。

脆弱性を悪用することで、MSP顧客の管理者がAPIを通じて、リモートよりサーバ上でコマンドを実行することが可能となる。

同社はセキュリティアドバイザリにおいて重要度を「高（High）」と評価した。

一方、共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.9」。重要度は4段階中もっとも高い「クリティカル（Critical）」相当にあたり、差異が見られる。

同社は2026年8月中旬にリリースした「同129125」「同128711」にて脆弱性を修正。機密性の高い操作を行うAPIについては、MSP Central Serverアプリケーションの管理者のみ利用できるようアクセス制御を強化した。

（Security NEXT - 2026/09/24 ）ツイート