Key Manager Plus CVE-2026-77800、CVE-2026-77799：SSO 及雙重認證可被繞過

情報摘要

ManageEngine Key Manager Plus 有兩項高危認證繞過漏洞，分別涉及 SAML 單一登入及雙重認證。廠商列出 build 7150 及以前版本受影響，並已在 7151 修正。兩項 CVE 紀錄於 11 月 3 日公開；廠商列出的修正日期是 8 月 21 日，並非剛推出修補。

CVE-2026-77800 涉及已設定 SAML 單一登入的環境。據廠商公告，尚未登入 Key Manager Plus 的攻擊者，若持有同一身分提供者為另一個服務提供者簽發的 SAML assertion，可能取得對應既有 Key Manager Plus 用戶的登入工作階段，而毋須該用戶的密碼。若 assertion 指向管理員帳戶，所得存取權限可達該管理員角色範圍。這並不代表沒有有效 assertion 也能任意登入。

CVE-2026-77799 則涉及已啟用雙重認證的環境。廠商表示攻擊者須先持有有效用戶名稱及密碼，才可能繞過第二驗證步驟，取得該用戶角色的登入工作階段。兩項問題的前提不同，不能把雙重認證漏洞描述為完全毋須憑證的登入繞過。

廠商在兩份公告中均列出 build 7151 為修正版本、2026 年 8 月 21 日為 Fixed On 日期。7151 的修正包括驗證 SAML assertion 的目標 audience，以及在所有認證請求路徑執行第二因素檢查。兩項 CVE 紀錄的公開日期為 11 月 3 日；這個日期與修補日期應分開理解。

下方兩項 CVE 紀錄由 Zoho 提供，各自的 References 均連結對應的 ManageEngine 官方公告；升級應沿官方公告前往 Upgrade Pack 頁面，按目前安裝版本選用適當路徑。

受影響產品

ManageEngine Key Manager Plus；廠商公告列出 build 7150 及以前版本受影響，修正版本為 7151。SAML 單一登入及雙重認證漏洞各有不同前提。

適用讀者

香港使用 Key Manager Plus 的企業、憑證及 SSH 金鑰管理員，以及負責 SSO 和雙重認證的 IT 團隊

建議行動

先在 Key Manager Plus 右上方個人資料選單的 License 頁核對 build number。若仍是 7150 或以前，依廠商官方 Upgrade Pack 頁面的版本路徑及備份指示安排升級至已包含修正的受支援版本；7151 是兩項漏洞的首個修正 build，並不代表最新版本。核對 SAML 及雙重認證設定時，不能只因已啟用這些功能便判定舊版本安全。

風險評級依據

ManageEngine 將兩項漏洞評為 High。Zoho 的 CNA 紀錄分別給予 CVE-2026-77800 CVSS 3.1 分數 7.7，以及 CVE-2026-77799 分數 7.4，均為 High。

解讀限制

CVE-2026-77799 的 CNA 文字描述寫成早於 7150，但同一紀錄的結構化受影響範圍寫成早於 7151，與廠商公告列出的 7150 及以前、7151 修正一致。本文採用廠商公告及結構化範圍，保留這項來源差異；不能據文字描述把 7150 當作已修正。

廠商公告所示 8 月 21 日是修正日期，沒有列出公告本身的發布日期；本文公告日期採用已標明的 CVE 紀錄公開日期。

已核對來源沒有確認在野利用或香港受害個案，不能把公開漏洞紀錄視為已發生入侵的證據。

資料來源

• Zoho CNA：CVE-2026-77800 認證繞過紀錄及官方公告連結 ↗來源刊登：2026-11-03
• Zoho CNA：CVE-2026-77799 雙重認證繞過紀錄及官方公告連結 ↗來源刊登：2026-11-03