ManageEngineのパスワード金庫に脆弱性 CVE-2026-11840、国内は13234へ

企業や自治体が管理者用のパスワードをまとめて保管しているソフト、ManageEngine Password Manager Pro と PAM360 に、CVE-2026-11840 という脆弱性が公表されました。危険度8.8、データベースに不正な命令を混ぜ込める「SQLインジェクション」です。

この製品は、国内の特権パスワード管理ソフトで出荷本数シェア約50%、2年連続の1位です。過去の集計では都道府県の8割超、日経225企業の5割超が使っているとされ、開発元は9,000ライセンス超の国内販売実績を公表しています。にもかかわらず、本稿執筆時点でこの脆弱性を報じた日本語の記事は1本もありません。

そして、いちばん実務に響く点を先に書きます。海外の情報を読んで「ビルド13232へ更新を」と受け取ると、日本では詰みます。そのビルド番号は日本語版に存在しません。

日本で上げるべき番号は、海外の案内と違う

脆弱性データベースにも開発元の英語アドバイザリにも、修正版は「Password Manager Pro 13232」「PAM360 8552」と書かれています。ところが日本語版のリリースノートを見ると、13232も13233も存在せず、13231の次は13234です。日本語版は日本語化とサポート体制の都合で別系列として出ているためです。

開発元の日本法人であるゾーホージャパンは、日本語のサポート記事を2026年6月16日付で公開しており、日本語版のリリースノートにも「認証済みのSQLインジェクションの脆弱性（CVE-2026-11840）を修正しました」と明記されています。情報が出ていないのではなく、サポートページの奥にあって見つけにくいという状態です。ニュースリリース欄での告知は確認できませんでした。

なお、この脆弱性だけを直したいのであれば上の番号で足りますが、実際にはもっと先まで上げるべきです。後述するとおり、同じ製品では6月以降も別の脆弱性が続けて修正されています。海外版の最新はPassword Manager Pro 13236（2026年7月31日）とPAM360 8601（同7月30日）、日本語版はPassword Manager Pro 13235（同7月16日）です。

この製品は、何を預かっているのか

社員が自分のパスワードをメモしておくツールとは、まったく別物です。組織の合鍵を全部しまってある金庫だと考えてください。

具体的に入っているのは、サーバーの最高権限（root）のパスワード、Windowsのドメイン管理者アカウント、データベースやネットワーク機器の管理者パスワード、サーバー同士が自動で通信するための鍵（SSH鍵）、自社サイトが本物であることを証明する電子証明書。さらに、管理者が重要なシステムに接続して何をしたかの操作録画まで保管しています。

ここが破られると、被害は「アカウントが1つ漏れた」では収まりません。攻撃者が本来なら1つずつ盗まなければならない認証情報が、まとめて手に入ります。しかも、その犯行を記録しておくはずの監査証跡も同じ場所にあります。金庫を開けた者が、防犯カメラの映像も一緒に持っていける構図です。

国内では、KDDIやカカクコムといった企業の導入事例が公開されており、官公庁・自治体・教育機関でも使われています。特権アクセス管理という分野そのものが攻撃者にとって価値の高い標的で、別の特権アクセス管理ソフトで乗っ取りの脆弱性が見つかった件も以前に扱いました。

誰が狙い、何をするのか

今回の脆弱性を突けるのは、この金庫にログインできるアカウントを1つ持っている相手です。インターネットから誰でも殴れる穴ではありません。想定されるのは、盗んだ社員のIDとパスワードで入り込んだ攻撃者、偽メールで認証情報をだまし取った相手、あるいは組織の内部にいる人物です。

やることは、画面から入力する値に細工した命令文を紛れ込ませ、金庫のデータベースに本来許されていない操作をさせることです。SQLインジェクションとは、データベースへの命令文に不正な文字列を混ぜ込んで、見えないはずのデータを引き出したり書き換えたりする攻撃を指します。開発元は影響を「意図しないSQL操作を実行できる」とだけ説明しており、具体的にどこまで到達できるかは公表していません。

被害の形は、預けているものの性質から見当がつきます。他人の担当分も含めた管理者パスワードの閲覧、権限の書き換え、監査記録の改ざん。組織にとっては、そこから先のすべてのシステムが芋づる式に危うくなります。VPN機器1台の侵入から会社の決算が止まった事例を以前に整理しましたが、認証情報の金庫はそれよりさらに手前にある急所です。

「ログインが必要」は、思ったほど安心材料ではない

危険度の内訳を見ると、攻撃には「低い権限の認証済みユーザー」が必要とされています。これを読んで「うちは管理者しか触らないから大丈夫」と考えたくなりますが、この製品に関しては、その前提が崩れます。

理由は課金体系です。開発元のライセンス説明には、料金は管理者の人数で決まり、パスワードを閲覧するだけの利用者と監査担当者は人数無制限と書かれています。つまりいちばん安いアカウント種別を大量に配ることに、商業上のインセンティブが働く設計です。Active Directoryと連携して部署単位でまとめて登録する運用も標準的にサポートされています。

そして決定的なのが、同じ製品の4か月前の事例です。2026年4月に公表されたCVE-2026-5785も同じSQLインジェクションでしたが、そのときの開発元の説明にはこう書かれています。

つまり、最下層に近い権限から最上位までの昇格が、この製品の同じ種類の欠陥で実際に成立していたことを開発元自身が認めています。今回のCVE-2026-11840については昇格に関する記述がなく、そこまで行けるかは公表されていません。ただ、危険度の内訳には「機密性・完全性・可用性のいずれにも高い影響」と付いています。

公平を期すために、ハードルを上げる要素も書いておきます。この製品には利用者が自分でアカウントを作る機能がありません。管理者が登録しない限り、外部の人物がアカウントを手に入れることはできません。また開発元は「社内ネットワーク内での利用を前提に設計されている」と明記しています。現実的な入口は、権限そのものではなく、認証情報の窃取・フィッシング・内部者です。

2026年だけで、同じ種類の欠陥が3件

開発元が公開している修正履歴をたどると、気になる並びが見えてきます。認証済みユーザーによるSQLインジェクションが、2026年に入ってから3件続けて修正されています。

遡ると、2022年にも同種のSQLインジェクションが複数、2024年にも1件が修正されています。この製品にとってSQLインジェクションは、単発の事故ではなく慢性的な弱点だと見るべきです。とりわけ2022年に修正された事例について、開発元は「Password Manager Proの全利用者に、背後のデータベースへのアクセスを許してしまう」と説明していました。

見落とせないのは、この表の最後にあるビルド13236の内容です。低い権限の利用者による遠隔コード実行、SSH鍵や秘密鍵に対するアクセス制御の不備、認可のすり抜け。今回のCVEより明確に重いものが7月末に直っています。「CVE-2026-11840に対応する」ではなく「最新版まで上げる」が正しい判断になるのは、このためです。なお、CVE-2026-14828とCVE-2026-18199は本稿執筆時点で脆弱性データベースに未登録で、開発元が番号を公表しているだけの状態です。

この製品には、実際に攻撃された前科がある

米政府CISAは、実際に攻撃へ使われたことが確認された脆弱性を一覧にして公開しています。ここにManageEngine製品は9件が収録されており、そのうち1件は今回と同じPassword Manager Pro／PAM360のものです（CVE-2022-35405、2022年9月収録）。

同社製品はそれ以前にも狙われています。2021年には、米CISA・FBI・沿岸警備隊サイバー軍が連名でManageEngine ADSelfService Plusの脆弱性が国家支援型の攻撃者に悪用されているという警告を出しました。証明書ファイルを装った不正プログラムを設置し、管理者の認証情報を盗み、Active Directoryのファイルごと持ち出すという手口です。日本でもJPCERT/CCが注意喚起しています。

ただし、ここは公平に書かなければなりません。収録されている9件はすべて2019年から2022年に採番されたもので、リストへの追加も2023年3月が最後です。2023年以降に採番されたManageEngineの脆弱性で、実際の攻撃が確認されたものは1件もありません。「ManageEngineは狙われやすい」という評価は事実に基づきますが、それは主に2021年から2023年の話であり、そのまま2026年の本件に当てはめるのは論理の飛躍です。

それでも参考になる数字はあります。同じ製品の2022年の脆弱性は、悪用される確率の推計値が99.94%に達しました。この製品の穴は、公になれば実際に使われるという実績があることは、頭に置いておく価値があります。当サイトではこの悪用リストを日本語で引けるダッシュボードも公開しています。

いま攻撃されているのか

回避策は示されていません。開発元の案内は、更新パックを当てることのみです。

日本語の情報が、開発元のサポートページ以外にない

JVN、JVN iPedia、JPCERT/CC、IPA。国内の公的な脆弱性情報のどこにも、このCVEは掲載されていません。Security NEXTもScanNetSecurityも報じていません。海外でも、BleepingComputerやThe Registerといった主要メディアは扱っていません。

国内シェア約50%の製品で、しかも預けているものが組織の全認証情報であることを考えると、この静けさは不釣り合いです。理由は、修正がすでに2か月前に配られていて、その時点では番号が付いていなかったからでしょう。番号が付いてから報じる慣行だと、こうして丸ごと抜け落ちます。

なお、JVN iPediaはこの製品ファミリーを継続的に収録しており、2026年2月には別の脆弱性を掲載しています。今後この件も載る可能性はありますが、載るのを待っている間、修正は2か月前から手元に届いています。

やること

日本語版を使っている場合、Password Manager Pro はビルド13234以上、PAM360 はビルド8561以上へ。ただし前述のとおり、6月以降も別の脆弱性が続けて修正されているため、実際には利用できる最新版まで上げるのが妥当です。適用は開発元が配布する更新パックで行います。

海外版をそのまま使っている場合は、Password Manager Pro 13236、PAM360 8601が現時点の最新です。自社が日本語版か海外版かを先に確認してください。番号体系が別なので、ここを取り違えると「更新したのに直っていない」あるいは「存在しない番号を探し続ける」ことになります。

運用面では、もう1つ確認しておく価値があります。この金庫にログインできるアカウントが、いま何人分あるかです。閲覧のみの利用者は人数無制限で追加できる仕組みのため、部署異動や退職で不要になったアカウントが残りやすい構造になっています。今回の脆弱性の前提が「ログインできる誰か」である以上、使われていないアカウントを整理しておくことは、そのまま攻撃面の縮小になります。

まとめ

ManageEngine Password Manager Pro と PAM360 に、危険度8.8のSQLインジェクションが公表されました。攻撃にはログインが必要ですが、この製品は閲覧のみの利用者を無制限に追加できる課金体系で、4か月前の同種の欠陥では最下層に近い権限から最上位への昇格が成立しています。「認証済みだから安心」とは言えません。

日本の利用者にとっていちばん重要なのは、上げるべきビルド番号が海外の案内と違うという一点です。Password Manager Pro は13234、PAM360 は8561。海外向けに書かれた13232や8552は、日本語版には存在しません。そして6月以降も別の脆弱性が続いているため、最新版まで上げるのが確実です。

実際の攻撃はまだ確認されていません。ただ、この製品は2022年に一度、実際の攻撃に使われてCISAの悪用リストに載っています。組織の合鍵を全部しまってある金庫は、穴が公になれば必ず試される場所です。国内シェア約50%という数字は、裏を返せば、攻撃する側にとっても日本を狙うなら最初に見る製品だということでもあります。

参照元

• ▸ ManageEngine - SQL Injection Vulnerability in Password Manager Pro and PAM360（CVE-2026-11840）
• ▸ ゾーホージャパン - SQLインジェクションに関連した脆弱性について（CVE-2026-11840）（2026年6月16日）
• ▸ ゾーホージャパン - Password Manager Pro 日本語版リリースノート（ビルド13234）
• ▸ ゾーホージャパン - PAM360 日本語版リリースノート（ビルド8561）
• ▸ NVD - CVE-2026-11840（危険度8.8、CWE-89）
• ▸ ManageEngine - CVE-2026-5785（4か月前の同種の欠陥、権限昇格が成立）
• ▸ ManageEngine - Password Manager Pro 修正済み脆弱性の一覧
• ▸ ManageEngine - ライセンス体系（管理者数による課金、閲覧者は無制限）
• ▸ ゾーホージャパン - 特権ID管理市場シェア2年連続1位（2025年4月22日）
• ▸ CISA/FBI/CGCYBER - APT Actors Exploiting ManageEngine ADSelfService Plus（AA21-259A）
• ▸ JPCERT/CC Weekly Report - ADSelfService Plus の認証回避（2021年9月15日）
• ▸ Security NEXT - ManageEngine の国内利用規模（都道府県の8割超、日経225の5割超）
• ▸ CISA - Known Exploited Vulnerabilities Catalog
• ▸ 関連: ManageEngine ADAudit Plus に認証なしで乗っ取られる欠陥（当サイト）
• ▸ 関連: ManageEngine のID管理に乗っ取りの欠陥（当サイト）