ManageEngine отстрани критична уязвимост за отдалечено изпълнение на код в ADSelfService Plus, която би могла да позволи на неавтентифициран атакуващ да изпълни код като NT AUTHORITY\SYSTEM през екрана за вход на Windows устройство.

Недостатъкът, проследяван като CVE-2026-74849, засяга GINA клиента на продукта в версии 7000 и по-ранни. Организациите трябва незабавно да актуализират до версия 7001 или по-нова.

Проблемът се намира в GINA клиента – компонент, който поставя функциите за нулиране на парола и отключване на акаунт на ADSelfService Plus директно на екрана за вход в Windows.

Той представя тези функции във вграден браузър в режим киоск, преди потребителят да влезе в системата, позволявайки на служителите да нулират пароли или да отключват акаунти, без да стигат до работния плот на Windows.

Критична уязвимост в ManageEngine

Според официалното предупреждение на ManageEngine, атакуващ с достъп до екрана за вход в Windows би могъл да злоупотреби с вградения браузър, за да изпълни произволен код в контекста за сигурност SYSTEM. SYSTEM е един от най-привилегированите локални акаунти в Windows.

Код, работещ в този контекст, може да променя защитени файлове, да създава или променя потребителски акаунти, да инсталира услуги, да изключва инструменти за сигурност, да осъществява достъп до чувствителни локални данни и да установява постоянен контрол върху крайната точка.

Уязвимостта е класифицирана като проблем с отдалечено изпълнение на код в GINA клиента. Публичните записи за уязвимости идентифицират основната слабост като CWE-78 (Неподходяща неутрализация на специални елементи, използвани в OS команда), известна като инжектиране на OS команди.

Оценката по CVSS v3.1, определена от ManageEngine, е 9.8 от 10 (критична), с мрежов вектор на атака, ниска сложност на атаката, без изискване за привилегии и без необходимост от потребителско взаимодействие.

Въпреки че предупреждението на производителя описва експлоатацията като изискваща достъп до екрана за вход в Windows, екипите за защита трябва да третират засегнатите системи като високорискови. Софтуерът на екрана за вход работи преди стандартната потребителска автентификация и може да се изпълнява с повишени права.

Успешното компрометиране би могло да даде на атакуващ пълен контрол върху работна станция или сървър, съдържащ уязвимия GINA компонент.

CVE-2026-74849 засяга ManageEngine ADSelfService Plus версии 7000 и по-стари. ManageEngine отстрани проблема във версия 7001, пусната на 24 август 2026 г. Обновяването коригира обработката на грешки в приложението и затяга сигурността на вградения браузър, показван на екрана за вход в Windows.

Екипите по сигурност трябва да идентифицират всички крайни точки, използващи ADSelfService Plus GINA клиента, и да потвърдят инсталираната версия на продукта. Всяка инстанция под версия 7001 трябва да бъде обновена чрез процеса на пакети с услуги (service pack) на ManageEngine ADSelfService Plus.

Администраторите трябва също така да прегледат логовете на крайните точки за неочаквани процеси, съмнително изпълнение на команди, новосъздадени услуги, промени в локалните администраторски акаунти и необичайна активност, произтичаща около използването на екрана за вход.

Когато незабавно обновяване не е възможно, организациите трябва да ограничат физическия и отдалечения достъп до засегнатите екрани за вход в Windows, да ограничат излагането на свързаната с GINA услуга към ненадеждни мрежи и внимателно да наблюдават засегнатите хостове. Тези мерки намаляват риска, но не заменят актуализацията от производителя.

Маруан Белабаси и Амджад Е Алхеджаили съобщиха за уязвимостта чрез програмата BugBounty на Zoho. При наличен работещ вектор за изпълнение на код на ниво SYSTEM върху уязвими системи, инсталирането на корекции за сигурност остава най-важната стъпка за отстраняване на риска.