ManageEngine 日誌平台已認證 RCE：核對 Build 13062 修補

CVE-2026-8923

主要來源公告：2026-11-02

本站刊登：2026-11-02 · 內容更新：2026-11-02（香港日期）

情報摘要

CVE-2026-8923 涉及 EventLog Analyzer 與 Log360；廠商指具日誌轉發及過濾模組權限的已認證技術員可觸發遠端程式碼執行，並非無須登入的攻擊。

Zoho 的 CVE 記錄於 11 月 2 日公開，列早於 Build 13062 的版本受影響。廠商網頁則列 Build 13060 及以前，兩者對邊界的表述不同，不能據此宣稱 Build 13061 安全。

廠商說明問題源於輸入驗證不足；具指定模組權限的已認證技術員可在伺服器執行任意程式碼。修補版本是 Build 13062，網頁標示的修補日期為 2026 年 7 月 6 日。

ManageEngine EventLog Analyzer、Log360

使用相關產品的香港開發、系統管理及資訊保安團隊

按廠商升級指引更新至 Build 13062 或以上，並核對技術員的日誌轉發及過濾權限。官方修補說明：https://www.manageengine.com/products/eventlog/advisory/CVE-2026-8923.html

Zoho CNA 評為 High，CVSS 3.1 為 8.7，評分包含高權限前提；廠商公告亦列 High。

廠商頁面的 7 月 6 日是修補日期，未確認為公告發布日期；本頁 announcement 日期採已核實的 CVE 公開日，不聲稱漏洞於 11 月才修補或首次被發現。

本次核實未建立野外利用或香港機構受影響的證據；漏洞通報不等於已發生入侵。