ManageEngine ADAudit Plusに認証なしで乗っ取られる欠陥 CVE-2026-6516

2026年7月23日、米国の脆弱性データベース NVD に CVE-2026-6516 が登録されました。対象は Zohocorp（ゾーホー）の企業向けソフト「ManageEngine ADAudit Plus」のビルド 8606 より前のすべて。深刻度を示す点数は CVSS 10.0、10点満点の満点です。

中身はもっと直接的です。Zoho の公式セキュリティアドバイザリは「ADAudit Plus のエージェント用API（プログラム同士がやり取りするための窓口）にあった認証のすり抜けとファイルパスの細工を修正した」と書き、その影響を「認証されていない攻撃者がこれらを組み合わせると、遠隔からのコード実行に至る可能性がある」と説明しています。ログイン情報を一切持たない相手が、ネットワーク越しにそのサーバーで好きな命令を動かせる、という意味です。

そして、この件が厄介なのは点数の大きさよりも置かれている場所です。ADAudit Plus は、会社の社員アカウントやパソコンをまとめて管理する仕組み「Active Directory（AD）」の変更を見張り、記録し、監査レポートにするための製品です。つまり会社のID基盤を丸ごと見渡す権限で動いている常時稼働サーバー。そこが最初に落ちると、被害は1台では止まりません。

なお、執筆時点の2026年7月29日までに、この脆弱性が実際に攻撃に使われたという報告は確認できていません。過去のManageEngine製品の話と今回の話は、記事の中でも明確に分けて書きます。

CVE-2026-6516 の概要

一次情報（NVD の登録内容と Zoho の公式アドバイザリ）で確認できた値だけを並べます。

ベクタの読み方を一言だけ補うと、AV:N はネットワーク越しに届く、PR:N は権限が要らない、UI:N は誰かに騙されてクリックしてもらう必要すらない、という意味です。この3つが揃うと、攻撃側の手間はほぼゼロになります。さらに S:C（Scope Changed）は「壊れる範囲がそのソフトの中で収まらず、外側にはみ出す」という評価で、これが点数を10.0まで押し上げています。ADAudit Plus のようにAD全体を見に行くサーバーでこの評価が付くことの意味は、後ろのセクションで書きます。

侵入者がまず黙らせたいのは、監査ログそのもの

この手のサーバーを探して回るのは、会社のネットワークに一度入り込む足場を売買している業者と、そこから買って本番の攻撃に移るランサムウェア（身代金要求型ウイルス）の集団です。彼らは特定の会社を狙って調べるというより、インターネット上のIPアドレスを機械的にスキャンし、既知の穴が残っているサーバーを片っ端から拾っていきます。CVSS 10.0で認証不要という条件は、その自動巡回に最も引っかかりやすい組み合わせです。実際、米国CISAはこのCVEについて「自動化できる（automatable: yes）」「技術的影響は全面的（technicalImpact: total）」と評価しています。

ADAudit Plus を取った侵入者の一手目は、たぶん想像より地味で、そのぶん怖いものです。監査ログを書き換えたり消したりして、自分が入ってきた足あとを先に消す。ADAudit Plus は「誰がいつどのアカウントを作り、どの権限を足し、どのファイルを開いたか」を集めて保管している装置です。侵入者の立場からすると、これは自分を映している防犯カメラのレコーダーそのもの。攻撃の順番として、暴れる前にここを黙らせるのは理にかなっています。加えて、この製品はADを読むために強い権限のアカウントを設定して動かすのが普通なので、そのサーバーを取れば次に打つ手も増えます。

AD監査サーバーが1台落ちたとき、何を失うかは立場によって違います。その会社のサービスを使っている一般の利用者にとっては、社員アカウントの乗っ取りを経由した情報の持ち出しが最も現実的な影響です。運用している企業側にとっては、失うものが二段構えになります。ひとつは、AD配下の端末やファイルサーバーに手が伸びること。もうひとつは、あとから「何が起きたのか」を再構成する材料そのものを失うことです。侵入経路を説明できない状態は、顧客・取引先・監督官庁への報告で確実に足を引っ張ります。だからこそ、まずビルド番号の確認から始める価値があります。

この形の手口には前例があります。ManageEngine 製品は過去に何度も実際の攻撃に使われ、米国CISAが「実際に悪用されている脆弱性」としてまとめている KEVカタログに複数登録されています。その具体的な中身は後半の「ManageEngine には前科がある」で、CVE番号と登録日を挙げて整理します。ただし念のため先に書いておくと、今回の CVE-2026-6516 が使われたという証拠は現時点でありません。

公開されている情報はどこまでか

CVE-2026-6516: エージェント用APIの認証すり抜けとパストラバーサル

NVD に登録されている説明文は、全文でこれだけです。

Zoho 側のアドバイザリはもう少し踏み込んで、2種類の欠陥の組み合わせだと書いています。ひとつが認証バイパス（本来ログインが必要な窓口に、ログインせずに話しかけられてしまう）、もうひとつがパストラバーサル（ファイルの置き場所の指定に「ひとつ上の階層へ」といった細工を混ぜて、想定外の場所に読み書きさせる）です。この2つが直列につながると、外から任意の場所にファイルを置き、それを実行させる、という筋道が通ります。

ここで一次情報どうしの食い違いを1点だけ記録しておきます。NVD に登録された弱点分類は CWE-78（OSコマンドインジェクション）ですが、Zoho のアドバイザリの記述は認証バイパスとパストラバーサルであり、コマンドインジェクションには触れていません。どちらかが間違いというより、複数の欠陥の連鎖に対して代表として1つのCWEを付けたためのズレだと読めます。攻撃の最終段が本当にOSコマンドの実行なのか、ファイルの書き込みからの実行なのかは、公開されている情報では確定できません。

もう1点、点数の出どころも押さえておく価値があります。NVD 上のこのCVEの状態は Awaiting Analysis（解析待ち）で、CVSS 10.0 と CWE-78 はどちらも Secondary、つまり CVE番号を発行した Zohocorp 自身が付けた値です。NVD が独自に採点し直した結果ではありません。ベンダーが自社製品に満点を付けたという事実は、むしろ深刻さの裏付けとして読めますが、「第三者による検証済みの10.0」ではない点は正確に区別しておきます。

悪用のしやすさを別の角度から見る指標として、EPSS（今後30日以内に悪用される確率の推定値）は 7月28日時点で 0.04729（約4.7%）、パーセンタイルは 0.909 です。絶対値としては低めですが、全CVEの中では上位1割に入る位置です。EPSSは公開PoC（攻撃の実証コード）や実際の攻撃観測に強く反応する指標なので、PoCが出た瞬間に跳ね上がる余地がある数字だと考えたほうがいいです。

一方、公開時点で明らかにされていないこともはっきりしています。エージェント用APIのどのエンドポイントが対象なのか、リクエストの形はどうなるのか、攻撃に前提条件（エージェント配布を有効にしているか等）があるのか、Zoho は一切公表していません。NVD に登録されている参照リンクもベンダーのアドバイザリ1本だけで、技術解説記事もPoCも紐づいていません。攻撃コードの詳細が世に出ていない状態である、というのが現在地です。

修正は4月に出ていて、CVE番号が付いたのが7月

この件で見落としやすいのが日付です。Zoho のアドバイザリと ADAudit Plus のリリースノートは、ビルド 8606 の公開日を 2026年4月17日と記録しています。リリースノートの記述は「ADAudit Plus のエージェント用APIにおける重大なセキュリティ脆弱性（CVE-2026-6516）を修正した」の一行です。

つまり修正版は3か月以上前から配られていて、NVDへの登録だけが7月23日にずれたということです。脆弱性の情報を CVE 番号ベースで追いかけている組織にとっては、ここが落とし穴になります。4月にリリースノートを読んでいた運用担当者はすでに手を打てていますが、月次のCVE棚卸しで拾う運用だと、7月末に初めて存在を知ることになります。当サイトがこの案件に気づいたのも、CVE購読が7月23日から24日にかけて約13時間止まっていた期間の抜けを洗い直した結果でした。

なぜ「置かれている場所」が問題なのか

ADAudit Plus が何をするソフトなのかを、製品ページの言葉に沿って整理します。Active Directory の変更監査、ログオンの監視、アカウントロックの分析、特権ユーザーの監視、ファイルサーバーの監査、そしてSOX法・HIPAA・PCI DSS・ISO 27001 といった規格向けのコンプライアンスレポート。要は、「社内で誰が何をしたか」を集めて、証拠として残す係です。

この役割を果たすために、ADAudit Plus のサーバーは ポートガイドにある通り、ドメインコントローラー（社員アカウントの本体を持つサーバー）に対して LDAP の 389 と 636、グローバルカタログの 3268 と 3269、認証用の Kerberos 88 を張り、監視対象のパソコンやファイルサーバーに対しては RPC の 135、SMB の 445、NetBIOS の 137〜139 を張ります。社内の重要なサーバーと端末に向かって、あらかじめ通り道が開いているサーバーだということです。

CVSSベクタの S:C（Scope Changed）が意味を持つのはここです。壊れるのはADAudit Plusというアプリの中だけではなく、そのアプリが持っている権限と接続の先まで影響が及ぶ、という評価です。監査サーバーを取られることは、AD監査という機能が止まることではなく、AD全体を見に行ける立場が攻撃者の手に渡ることを意味します。同じ「守るための製品が入口になる」構図は、セキュリティ監視基盤そのものが狙われた Wazuh の脆弱性でも見た形です。

自分のビルド番号をどこで確認するか

ADAudit Plus は「◯.◯.◯」のようなバージョン表記ではなくビルド番号で管理される製品です。手元の番号がわからないと、この記事の話が自分に当てはまるかどうかも判断できません。ManageEngine 公式の サービスパック配布ページに書かれている確認手順は次の2通りです。どちらも一次情報で確認できたものだけを載せます。

• 製品バージョンの下を見る：ADAudit Plus の管理コンソール（Webの管理画面）にログインし、上部の「License」をクリック。表示された製品バージョンの下にビルド番号が出ます。
• サポート情報から見る：管理コンソールで「Support」タブを開き、「Support Info」のタイルで「More」をクリック。「Basic Check」の下にある「Machine Details」を展開すると、一番下に「Build Number」が表示されます（同じ場所で使用中のデータベース種別も確認できます）。

エージェント側も別に確認が必要です。Zoho のアドバイザリは、Windows エージェントのバージョンが 7060 より前なら更新すること、Mac エージェントは現在のバージョンにかかわらずすべて更新することを指示しています。エージェントのバージョンは、管理コンソールの「Configuration → Agent Management → Manage」を開き、「Installed Version」の列で確認します。サーバー本体だけ上げて終わりにすると、指示の半分しか実行していないことになります。

なお、サービスパック配布ページには「現在のビルド番号によっては、最新ビルドに上げる前に複数のサービスパックを順番に当てる必要がある」という注意が書かれています。古い番号のまま止まっている環境では、作業時間の見積もりを1本分では足りないものとして組んでください。

ビルド 8606 では足りない

実務に直結するのはこの節です。CVE-2026-6516 だけを見れば 8606 で塞がりますが、その後のビルドで別の脆弱性が3件以上修正されています。リリースノートで確認できる範囲を早見表にします。

この表の中で見逃してほしくないのが CVE-2026-11374 です。ADAudit Plus を AD360（ManageEngine のID管理統合製品）と連携させているときのシングルサインオン（一度のログインで複数製品を使える仕組み）に、認証情報なしでアカウントを乗っ取れる欠陥があり、CVSS 9.0 が付いています。ADAudit Plus ではビルド 8702 以下が対象で、8703 で修正されました。当サイトでは ManageEngine の AD360 連携によるアカウント乗っ取り（CVE-2026-11374）として別記事で扱っています。ADSelfService Plus・RecoveryManager Plus・M365 Manager Plus も同じ連携で影響を受けるため、ADAudit Plus だけ見て安心しないでください。

結論はひとつです。8606 で止めず、現行最新の 8703（2026年6月12日公開、製品表記は ADAudit Plus 8.7）まで上げる。Zoho 自身もサービスパックのページで最新版への移行を推奨しています。ちなみに 8703 では、エージェントとサーバー間のHTTPS通信でSSL証明書の検証がサポートされ、管理画面で設定したTLS設定や暗号スイートがエージェント通信にも適用されるようになりました。エージェント経由の通信の作り自体が固められた、という流れです。

インターネットに出しているかどうかで、急ぎ方が変わる

CVE-2026-6516 は認証を必要としない遠隔からの攻撃なので、そのサーバーの通信が攻撃者から届くかどうかが危険度をほぼ決めます。ADAudit Plus の管理画面と製品Webサーバーの初期ポートは、公式のポートガイドによると 8081（HTTP）と 8444（HTTPS）です。エージェントもこの製品Webサーバーを相手に通信します（8703 の変更内容が「エージェントとサーバー間のHTTPS通信」を対象にしていることから、そう読めます。アドバイザリはエージェント用APIがどのポートで待ち受けるかを明示していないため、ここは断定しません）。

切り分けは単純です。

• 外部公開している場合は即時対応。在宅勤務の端末からエージェントを通信させたい、社外から監査レポートを見たい、といった理由でリバースプロキシやVPN無しの公開を選んでいる構成は珍しくありません。この場合、自動巡回スキャンの射程に入っています。最新ビルドを当てるまでの間だけでも、公開範囲をVPN経由や送信元IPの制限に絞ることを検討してください。
• 社内限定なら計画的に対応。到達経路が社内に閉じているなら、まず攻撃者が社内に足場を持っていることが前提になるため、猶予は生まれます。ただし猶予は免除ではありません。侵入後の横展開でこの穴が使われれば、監査ログの改ざん・消去まで一気に進みます。通常の変更管理の枠内で、優先度を上げて処理する案件です。

「本来社内向けの管理製品が外に出ていて、そこが認証なしで抜かれる」という筋は、当サイトでも何度も追ってきた形です。Citrix NetScaler や Adobe ColdFusion、そして SharePoint の件はいずれも、無認証で入れる境界の製品が実際の攻撃に使われ、KEVカタログに載っていきました。この系譜に ManageEngine が加わったことがあるという事実が、次のセクションの話です。

ManageEngine には前科がある

CISA の KEVカタログ（2026.07.27版、収録1,655件）を実際に検索すると、Zoho / ManageEngine を対象とした登録は 9件あります。CVE番号と登録日を並べます。

この9件のうち CVE-2021-40539 と CVE-2022-47966 の2件には、KEVカタログ上で「ランサムウェアキャンペーンでの利用が確認されている（Known）」という印が付いています。前者は KEV の記述で「ADSelfService Plus の REST API URL に影響する認証バイパスで、遠隔コード実行を許す」とされており、今回の CVE-2026-6516（エージェント用APIの認証バイパス）と構造がよく似ています。後者は古いサードパーティ部品（Apache Santuario）の使用に起因する無認証コード実行で、複数のManageEngine製品が一斉に対象になりました。

そして ADAudit Plus 自身にも過去があります。CVE-2022-28219 は同じ ADAudit Plus の無認証コード実行で、Zoho のアドバイザリによればビルド 7060 で修正されました。発見した Horizon3.ai の技術解説は、XXE（XMLの外部参照を悪用する攻撃）からJavaのデシリアライゼーションへつなぐ経路を公開し、実証コードも出しました。当時の彼らの説明は「ホストの侵害だけでなく、特権的なAD資格情報の取得にもつながることが多い」というものでした。

今回の CVE-2026-6516 について公式の技術詳細が出ていないことは、逆に言えば「まだ誰も攻撃コードを組み立てていない」保証ではありません。2022年の例では、ベンダーの修正から実証コードの公開までの間隔はごく短いものでした。ManageEngine 製品はセキュリティ研究者からの注目度が高く、修正差分の比較（パッチ差分から穴を逆算する手法）が繰り返されてきた対象です。

ただし、今回まだ悪用は確認されていない

前科の話と今回の話は別です。線を引いておきます。CVE-2026-6516 が実際の攻撃に使われたという報告は、2026年7月29日時点で確認できていません。根拠は3つあります。

• KEVカタログに載っていない。2026年7月27日公開のカタログ（収録1,655件）を検索して、CVE-2026-6516 の登録がないことを確認しました。KEVは「実際に悪用されている」ことをCISAが確認した脆弱性だけを載せるリストです。
• CISA自身が「悪用なし」と評価している。NVDのデータには CISA Coordinator による SSVC 評価（2026年7月23日付）が入っており、そこでの exploitation は none です。ただし同じ評価で automatable は yes、technicalImpact は total とされています。「まだ使われていないが、使われれば自動化できて全面的に取られる」という読みです。
• 公開されたPoCが見つからない。NVDに紐づく参照リンクはベンダーのアドバイザリ1本のみで、実証コードや技術解析記事の登録はありません。GitHub上の公開PoCも確認できませんでした。

ManageEngine 製品はKEV登録の前例が9件ある製品群です。今回のCVEについても、掲載されるかどうかを継続して見ておく価値があります。KEV全体の動きは CISA KEV ダッシュボード（日本語版）で追えます。

日本での導入と、公的機関の扱い

国内の公的な注意喚起と日本語の記事を確認しました。結果は「まだ何も出ていない」です。

• JVN iPedia：MyJVN の検索APIで「CVE-2026-6516」と「ADAudit」の双方を検索し、いずれも該当0件でした（2026年7月29日確認）。JVN iPedia には日本語の解説が登録されていません。
• JPCERT/CC・IPA：注意喚起の公開を確認できませんでした。
• 日本語の記事：はてなブックマークの全文検索とZennの検索で、CVE番号・製品名のいずれでも該当記事は0件でした。

つまりこの脆弱性を日本語で扱った記事は、公開時点で当サイトが最初ということになります。海外でも報道は薄く、確認できたのは英国の SystemTek による短報と、CISA の週次脆弱性サマリ（SB26-208）への機械的な収録だけです。CVSS 10.0 でこの静けさは、情報の少なさがそのまま対処の遅れになるパターンです。

利用実態の面では、ManageEngine は国内でも複数の販売代理店を通じて中堅企業から大企業に入っています。「ADAudit Plus を使っているサイトは多くない」という書き方は正しくありません。むしろ使っている組織にとっては、この10.0という数字がそのまま自分の環境の点数として降ってくるという理解が実態に近いです。とはいえ、日本語での公開情報が皆無に近い製品でもあるため、「うちで使っているのか」を資産管理台帳で確認する作業から必要になる会社もあるはずです。

監査のために入れたものが、監査を消される入口になる

ここからは筆者の見方です。事実の整理とは分けて読んでください。

ADAudit Plus は、多くの場合「入れたくて入れた」製品ではありません。SOX法対応やISO 27001の認証、あるいは内部監査からの指摘に応えるために、AD監査の要件を満たす手段として調達された製品です。導入の動機がコンプライアンスであるということは、運用の重心が「レポートが出ているか」に寄りやすいという意味でもあります。レポートが毎月出ていれば、そのサーバーのビルド番号が2年前のままでも誰も気づきません。

その結果として起きるのが、今回のような構図です。セキュリティのために増やしたサーバーが、いちばん更新されないサーバーになる。しかもそのサーバーは、役割上、社内でもっとも権限が広い。事業システムなら停止の影響が大きいから更新計画が立ちますが、監査サーバーは止めても目先の売上が減らないので、優先度の議論の場にすら出てきません。ManageEngine 製品のKEV登録が9件も積み上がっている背景には、この「管理系サーバーは後回し」という運用の癖があると考えています。

実務的な提案としては、監査・管理系の製品を資産台帳の別枠に切り出して、ビルド番号の確認だけを四半期の定例作業に組み込むことを勧めます。ADAudit Plus はビルド 8520 で「Security Hardening」という設定画面が追加され、自身のデプロイのセキュリティ状態を点検できるようになっています。製品側は道具を用意しています。開かれていないだけです。

裏が取れた点と、取れていない点

ビルド8606以降へ上げるまでの手順

やることは3つだけです。まず管理コンソールの「License」を開いてビルド番号を読む。8703 より小さければサービスパックで 8703 まで上げる。そのあと「Configuration → Agent Management → Manage」でエージェントのバージョンを見て、Windows が 7060 より前なら更新し、Mac はバージョンを問わず更新する。ここまでで CVE-2026-6516 と、その後に修正された SQL注入・SSO乗っ取り・CSRF まで一度に片付きます。

更新までに時間が必要な場合は、その間だけでも 8081 と 8444 が社外から届く状態になっていないかを確認してください。認証を必要としない攻撃に対しては、到達経路を切ることが唯一その場でできる緩和策です。

この案件は、危険度の割に情報が静かなまま置かれています。CVSS 10.0・認証不要・遠隔コード実行という組み合わせに、AD全体を見渡すサーバーという立地が重なっていて、なおかつ日本語の注意喚起はまだ1本も出ていません。ManageEngine 製品はKEV登録の前例が積み上がっている製品群でもあるので、当サイトでは PoC の公開、KEV掲載、国内の注意喚起の3点を続けて追いかけます。

参照元

• ▸ NVD - CVE-2026-6516（2026年7月23日公開／7月24日更新）
• ▸ ManageEngine ADAudit Plus - Unauthenticated Remote Code Execution Vulnerability (CVE-2026-6516) fixed in build 8606（2026年4月17日修正）
• ▸ ManageEngine ADAudit Plus - Release Notes（ビルド8606・8607・8703の記載）
• ▸ ManageEngine ADAudit Plus - Service Pack（ビルド番号の確認手順・最新版8703）
• ▸ ManageEngine ADAudit Plus - Product and system ports（8081/8444ほか）
• ▸ CISA - Known Exploited Vulnerabilities Catalog（2026.07.27版・収録1,655件）
• ▸ CISA - Vulnerability Summary for the Week of July 20, 2026（SB26-208）
• ▸ FIRST - EPSS（CVE-2026-6516: 0.04729／2026年7月28日時点）
• ▸ ManageEngine ADAudit Plus - CVE-2022-28219 fixed in build 7060
• ▸ Horizon3.ai - CVE-2022-28219: Unauthenticated XXE to RCE and Domain Compromise in ManageEngine ADAudit Plus
• ▸ ManageEngine - Security Advisory CVE-2022-47966
• ▸ SystemTek - Zohocorp Unauthenticated Remote Code Execution Vulnerability (CVE-2026-6516)（2026年7月24日）
• ▸ JVN iPedia（2026年7月29日時点で該当登録なし）