Kritische ManageEngine-SSO-Lücke: SSO-Bug ermöglicht Kontoübernahme – jetzt sofort patchen
CVE-2026-11374: Vorhersagbare SSO-Tickets in ADSelfService Plus, RecoveryManager Plus, M365 Manager Plus und ADAudit Plus erlauben Angreifern die vollständige Übernahme privilegierter Benutzerkonten – sofern die Produkte als integrierte Komponenten in ManageEngine AD360 laufen.
Alarm für IT-Abteilungen: In mehreren ManageEngine-Produkten der Zoho Corporation wurde eine kritische Schwachstelle entdeckt, über die Angreifer Benutzerkonten übernehmen können. Betroffen ist ausgerechnet die Single-Sign-On-(SSO)-Authentifizierung, also der zentrale Zugang zu zahlreichen Unternehmensdiensten. Wer die Sicherheitsupdates noch nicht installiert hat, sollte jetzt handeln.
CVE-2026-11374 – der Steckbrief
Was ist passiert?
CVE-2026-11374 beschreibt eine Schwachstelle in den ManageEngine-Produkten ADSelfService Plus, RecoveryManager Plus, M365 Manager Plus und ADAudit Plus, wenn diese als integrierte Komponenten innerhalb von ManageEngine AD360 betrieben werden. Meldet sich ein Benutzer per Single Sign-On an einem dieser Produkte an, werden im Hintergrund SSO-Tickets erzeugt, mit denen die Session authentifiziert wird.
Genau hier liegt das Problem: Diese Tickets waren so generiert, dass ein unauthentifizierter Angreifer sie vorhersagen konnte. Wer ein gültiges SSO-Ticket eines anderen Nutzers errät, erhält automatisch dessen Identität samt Rollen-Informationen – und damit alles, was für eine vollständige Kontoübernahme benötigt wird.
Zoho hat das Problem in den unten genannten Service-Packs gelöst, indem die SSO-Tickets nun mit ausreichender Entropie generiert werden und damit nicht mehr vorhersagbar sind.
Betroffene Produkte & Versionen
Zoho hat für jedes der vier Produkte ein eigenes Service-Pack veröffentlicht. Alle früheren Builds sind verwundbar.
| Produkt | Betroffene Versionen | Fix-Build | Verfügbar seit |
|---|---|---|---|
| ADSelfService Plus | ≤ 6528 | 6529 | 03.06.2026 |
| RecoveryManager Plus | ≤ 6320 | 6321 | 05.06.2026 |
| M365 Manager Plus | ≤ 4816 | 4817 | 10.06.2026 |
| ADAudit Plus | ≤ 8702 | 8703 | 12.06.2026 |
Standalone-Installationen ohne AD360-Integration sind laut Hersteller nicht im Scope der CVE. Das Service-Pack sollte dennoch eingespielt werden, da weitere Hardening-Maßnahmen enthalten sind.
Wo ManageEngine im Mittelstand eingesetzt wird
Unternehmen, Behörden und größere Organisationen nutzen ManageEngine häufig für zentrale Identitäts- und Verwaltungsfunktionen:
Ein kompromittiertes Administratorkonto wird in diesen Szenarien schnell zum Einstiegspunkt für einen deutlich größeren Cyberangriff.
Warum diese Lücke besonders gefährlich ist
SSO gilt eigentlich als Sicherheitsgewinn: Nutzer authentifizieren sich einmalig und erhalten anschließend Zugriff auf mehrere Anwendungen. Genau deshalb ist ein erfolgreicher Angriff so kritisch – ein einzelnes vorhergesagtes Ticket kann den Zugriff auf das gesamte interne Ökosystem öffnen.
Identitätsdienste gehören 2026 zu den beliebtesten Angriffszielen professioneller Ransomware- und APT-Gruppen – ein einziger kompromittierter Identitätsdienst öffnet oft das gesamte Unternehmen.
Sofortmaßnahmen für Administratoren
Patches sofort einspielen
- •ADSelfService Plus → Build 6529
- •RecoveryManager Plus → Build 6321
- •M365 Manager Plus → Build 4817
- •ADAudit Plus → Build 8703
SSO-Logs analysieren
- •Ungewöhnliche Login-Vorgänge prüfen
- •Erfolgreiche Anmeldungen ohne MFA-Prompt suchen
- •Auffällige IPs, User-Agents & Zeitfenster
Admin-Konten kontrollieren
- •Passwörter rotieren
- •Service-Accounts auf neue Sessions prüfen
- •Sitzungen forciert beenden
MFA überall erzwingen
- •AD360-Login mit FIDO2/TOTP
- •RDP, VPN, M365 mit phishing-resistenter MFA
- •Conditional Access aktivieren
Monitoring aktivieren
- •SIEM-Alerts auf SSO-Ticket-Anomalien
- •EDR/XDR-Telemetrie korrelieren
- •Privileged Access Monitoring
Incident-Plan vorbereiten
- •Forensik-Kontakte bereithalten
- •DSGVO- & NIS2-Meldekette aktivieren
- •Backup-Restore testen
Identitätsdienste – das Lieblingsziel der Angreifer
CVE-2026-11374 reiht sich in eine lange Serie kritischer Schwachstellen bei Identitäts- und Verwaltungsplattformen ein. Genau diese Systeme öffnen häufig die Tür zum gesamten Unternehmensnetzwerk – Angreifer müssen 2026 nicht mehr jeden Server einzeln angreifen. Oft reicht ein kompromittierter Identitätsdienst.
Identity Security ist längst kein Randthema der IT mehr – sie ist das Fundament moderner Cybersicherheit.
Fazit
CVE-2026-11374 zeigt erneut, wie attraktiv zentrale Authentifizierungsdienste für Angreifer sind. Unternehmen, die ManageEngine ADSelfService Plus, RecoveryManager Plus, M365 Manager Plus oder ADAudit Plus innerhalb von AD360 betreiben, sollten keine Zeit verlieren und die bereitgestellten Service-Packs umgehend einspielen.
Parallel empfiehlt sich eine vollständige Überprüfung der SSO- und Authentifizierungsprotokolle auf verdächtige Sessions sowie die Absicherung aller privilegierten Konten durch phishing-resistente Multi-Faktor-Authentifizierung.
Unsicher, ob euer AD360 verwundbar ist?
Wasacon prüft eure ManageEngine- und Active-Directory-Umgebung auf CVE-2026-11374, verdächtige SSO-Sessions und weitere Identity-Risiken – schnell, diskret und praxisnah.
Häufig gestellte Fragen
Mehr aus dem Cluster Identity, SSO & Active Directory
Aktuelle Lücken und Vorfälle rund um Identitätsdienste, SSO und AD, die wir parallel beobachten.
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
