Ing. Calogero Bono
意大利国家网络安全局下属的 CSIRT Italia 于 2026 年 11 月 2 日发布警报，指出 Zohocorp 旗下 ManageEngine 产品中存在三个高危漏洞。涉及的产品包括 SharePoint Manager Plus、Password Manager Pro 与 PAM360。后两者保存着凭据和管理员访问权限，因此这里的问题比其他地方更需要重视。更新补丁已经发布，应当尽快应用。
在进入具体事实之前，先了解几个术语。 CSIRT Italia 是负责在意大利境内发布网络威胁预警的团队。Remote Code Execution 指攻击者可以从远程在系统上执行代码。PAM 指特权访问管理，即对拥有管理员权限的账户进行管理。Denial of Service 指服务被阻断。Tampering 指数据被篡改。
网络安全局对 ManageEngine 发出了什么警报？
根据警报 AL01/261102/CSIRT-ITA，安全更新修复了三个“高”级别的漏洞。警报将 SharePoint Manager Plus 描述为用于管理和监控 SharePoint 环境的解决方案。Password Manager Pro 与 PAM360 则是用于管理凭据、特权账户与管理员访问的平台。
本通报为 1.0 版，发布于 2026 年 11 月 2 日。
哪些版本存在漏洞？
网络安全局列出了以下受影响的版本。
- SharePoint Manager Plus，4508 之前的版本。
- Password Manager Pro，13235 及更早版本。
- PAM360，8600 及更早版本。
如果你正在使用其中任何一个版本，就在名单之内。根据厂商参考资料，SharePoint Manager Plus 的修复版本为 4508。
这些漏洞可能导致哪些类型的攻击？
警报列出了五种类型，远程代码执行、拒绝服务、篡改、信息泄露以及安全限制绕过。不过通报并未说明每种类型对应哪款产品。
因此，建议以同样的紧迫程度对待这三个平台。尤其是在一个保存特权密码的工具上实现远程代码执行，是必须避免的情形。如需了解其他近期案例，可以阅读关于 Oracle E-Business Suite 补丁后漏洞的扫描结果。
如何加固系统？
网络安全局在厂商声明的基础上建议，按照参考资料中列出的安全公告进行更新。其中为 Password Manager Pro（CVE-2026-18199）、PAM360 以及 SharePoint Manager Plus 的两个版本 4507 和 4508 分别提供了专门页面。
自行管理服务器的人，最好建立一套有序的补丁流程。用 Ansible 自动化服务器配置会有所帮助，对于 Fragnesia 针对 Linux 的紧急更新等情况同样适用。
需要了解的局限
该来源是一份简要通报。它没有给出 CVSS 评分，也没有为每个漏洞提供 CVE 编号，更没有说明哪个产品存在哪个缺陷。它也没有说明是否存在正在进行的攻击利用，我们不做此断言。技术细节需要查阅厂商公告，而本次分析无法读取这些公告。
对数字工作者意味着什么
如果你的公司使用这些产品，首先要核对已安装的版本，并与列表进行比对。如果在列表之内，请立即安排更新，因为这些工具掌握着敏感凭据的访问权限。随后检查网络中哪些人可以访问这些系统。如果你为客户管理服务器，请及时通知他们并记录处理过程。没有时间跟进补丁的人，可以选择提供托管服务器与安全更新的主机服务。
我们的看法
值得关注的是，三个产品中有两个用于保护访问权限。密码管理器只有比它所保管的内容更安全才有意义，这一类产品中的任何漏洞都可能让其他所有资源暴露。意大利网络安全局的警报有参考价值，但内容简略，技术读者仍需打开厂商公告。这再次说明，安全很大程度上取决于更新速度，而不只是新闻本身。
常见问题
哪些 ManageEngine 产品受到影响？
共有三款，分别是 SharePoint Manager Plus、Password Manager Pro 与 PAM360。针对每款产品，网络安全局都列出了受影响的版本。如果你使用其他 ManageEngine 产品，本通报并未提及。
SharePoint Manager Plus 的安全版本是哪个？
4508 之前的版本存在漏洞。厂商已发布 4508 版本，并在警报的参考资料中列出。请按照对应公告进行更新。
严重程度是否为极高危？
不是，网络安全局将其定为高危。根据通报，三个漏洞均为高危级别，来源中没有给出数值化评分。
目前是否有正在进行的攻击？
来源没有提及。警报只说更新补丁可以修复这些漏洞，并未提到已被实际利用。即便如此，也建议不要等待，尽快更新。
在哪里可以找到更新说明？
在网络安全局“参考资料”部分链接的厂商公告中。Password Manager Pro 和 PAM360 各有一份，SharePoint Manager Plus 则有两份。
未来几周你需要检查 ManageEngine 系统的哪些方面
完成更新之后，工作并未结束。还需要进行核查，并从厂商处获取更精确的信息。
- 重新阅读厂商公告，弄清每个 CVE 对应哪款产品。
- 检查 Password Manager Pro 与 PAM360 的访问日志，查找补丁之前是否存在异常活动。
- 如果日志显示异常，考虑更换密码管理器中最敏感的凭据。
