ESTOY BAJO UN CIBER ATAQUE

Alerta

Logo de ManageEngine

Alerta 2026-139 Vulnerabilidades en ManageEngine Password Manager Pro, PAM360 y SharePoint Manager Plus

Producto(s) afectado(s): 

ProductoVersiones afectadasVersión corregida
ManageEngine Password Manager ProCompilación 13235 y anteriores13236
ManageEngine PAM360Compilación 8600 y anteriores8601
ManageEngine SharePoint Manager PlusCompilaciones anteriores a la 45084508

En SharePoint Manager Plus, CVE-2026-119682 se corrigió en la compilación 4507 y CVE-2026-119680 en la 4508.

Descripción

Se han publicado tres vulnerabilidades de severidad alta en productos ManageEngine. La principal, etiquetada como CVE-2026-18199 (CVSSv3.1 8.8 – ALTO), afecta a Password Manager Pro y PAM360 y permite a un atacante remoto autenticado ejecutar comandos arbitrarios del sistema operativo en el servidor. Es del tipo inyección de comandos del sistema operativo (CWE-78). Las otras dos, CVE-2026-119680 y CVE-2026-119682, afectan a SharePoint Manager Plus.

Password Manager Pro y PAM360 son soluciones de gestión de contraseñas y accesos privilegiados que guardan credenciales, claves SSH y certificados, por lo que un compromiso del servidor puede abrir la puerta al resto de la infraestructura.

A continuación, se detallan las vulnerabilidades:

IdentificadorProductoPuntuaciónDescripción
CVE-2026-18199Password Manager Pro y PAM360CVSS 3.1: 8.8Inyección de comandos del sistema operativo (CWE-78). Según la información publicada, basta con una cuenta de bajos privilegios y no se requiere interacción del usuario. El proveedor la corrigió agregando validación y escape de caracteres especiales del lado del servidor, sin detallar el módulo ni el parámetro afectado.
CVE-2026-119680SharePoint Manager PlusCVSS 4.0: 8.5XSS almacenado (CWE-79). Un usuario con privilegios bajos puede inyectar HTML o JavaScript en atributos usados para generar gráficos (nombres completos de usuarios, nombres de sitios o de grupos). El código se ejecuta en el navegador de otros usuarios, incluidos administradores, cuando se muestran esos gráficos.
CVE-2026-119682SharePoint Manager PlusCVSS 4.0: 7.9Falta de autorización (CWE-862). Un usuario autenticado con privilegios bajos puede eludir los controles de autorización de la autenticación multifactor (MFA): leer y modificar su configuración, activarla o desactivarla, enumerar a los usuarios inscritos y borrar cuentas inscritas. Esto debilita la autenticación o puede dejar a usuarios legítimos sin acceso.

El vector CVSS de CVE-2026-18199 es CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H, y su registro CVE se publicó el 02/11/2026.

Al 03/11/2026 no hay reportes de explotación activa ni pruebas de concepto públicas, y ninguna de las tres vulnerabilidades figura en el catálogo de vulnerabilidades explotadas conocidas (KEV) de la agencia de ciberseguridad de EE. UU. Su EPSS es de 2,45 % para CVE-2026-18199 (percentil 84), 0,34 % para CVE-2026-119682 y 0,24 % para CVE-2026-119680. Investigadores señalan que los productos ManageEngine, incluidos PAM360 y Password Manager Pro, ya fueron blanco de explotación masiva en el pasado (por ejemplo, CVE-2022-47966 y CVE-2022-35405), por lo que conviene no postergar la actualización.

Mitigación

Hasta aplicar la actualización, se recomienda:

  • Restringir el acceso a la consola web de Password Manager Pro, PAM360 y SharePoint Manager Plus a redes de administración o VPN, sin exponerla a Internet.
  • Revisar las cuentas con acceso a la consola, eliminar las que no se usen y aplicar el principio de mínimo privilegio, ya que las tres fallas requieren una cuenta autenticada.
  • Revisar los registros de auditoría en busca de ejecución de comandos inusual, procesos hijos inesperados del servicio de PAM360 o Password Manager Pro y cambios no autorizados en la configuración de MFA.
  • Si se sospecha un compromiso del servidor de PAM, rotar las credenciales privilegiadas que gestiona.

Solución

La solución consiste en actualizar a las siguientes versiones o posteriores:

  • Password Manager Pro: compilación 13236.
  • PAM360: compilación 8601.
  • SharePoint Manager Plus: compilación 4508, que corrige ambas vulnerabilidades del producto.

Los paquetes de actualización de cada producto figuran en la sección Información adicional.

Para info sobre cómo actualizar, visita el siguiente enlace:

https://www.manageengine.com/products/passwordmanagerpro/advisory/cve-2026-18199.html

Información adicional: