Exploitée Rançongiciel

CVE-2022-47966

ManageEngine (Zoho) Plusieurs produits · Supervision, ITSM et gestion de parc

Zoho ManageEngine Multiple Products Remote Code Execution Vulnerability

En bref

Exploitée. Ajoutée au catalogue des failles exploitées de la CISA le 23 janvier 2023.

Utilisée dans des attaques par rançongiciel, selon la CISA.

Produit touché : ManageEngine (Zoho) Plusieurs produits (catégorie Supervision, ITSM et gestion de parc, classement indicatif). Nom au catalogue de la CISA : Zoho ManageEngine.

Que faire ?

Installez la mise à jour de sécurité de ManageEngine (Zoho).

Délai fixé par la CISA aux agences fédérales américaines : 21 jours (échéance le 13 février 2023). Il ne s’impose pas en France, mais c’est un repère d’urgence.

Page des avis de sécurité de ManageEngine (Zoho) (page générale, pas l’avis de cette faille)
Le bulletin précis de la marque figure dans les références de la NVD : CVE-2022-47966 sur le site de la NVD.

Texte original de la consigne (CISA, en anglais)

Apply updates per vendor instructions.

Chronologie

18 janvier 2023 Faille publiée Date de publication (NVD)
23 janvier 2023 Exploitation reconnue Ajout au catalogue KEV de la CISA
13 février 2023 Échéance CISA Date limite de correction fixée aux agences fédérales américaines

Les faits, avec leur source

Exploitation reconnue: Oui, le 23 janvier 2023 Date d’ajout au catalogue des failles exploitées. L’exploitation elle-même peut être antérieure. Source : Catalogue KEV, collectée le 29 septembre 2026 à 14:57 UTC
Rançongiciel: Utilisation connue Source : Catalogue KEV, collectée le 29 septembre 2026 à 14:57 UTC
Recherche de compromission: Non demandée par la CISA Source : Catalogue KEV, collectée le 29 septembre 2026 à 14:57 UTC
Consigne de la CISA: Installez la mise à jour de sécurité de ManageEngine (Zoho). Traduction du site, d’après le texte original de la CISA. Source : Catalogue KEV, collectée le 29 septembre 2026 à 14:57 UTC
Échéance CISA: 13 février 2023, délai de 21 jours Fixée aux agences fédérales américaines : un repère d’urgence, pas une obligation en France. Source : Catalogue KEV, collectée le 29 septembre 2026 à 14:57 UTC
Publication de la faille: 18 janvier 2023 Source : National Vulnerability Database (NVD), collectée le 29 septembre 2026 à 15:00 UTC
Produit selon la CISA: Zoho ManageEngine Rangé par le site dans la catégorie « Supervision, ITSM et gestion de parc » (classement indicatif). Source : Catalogue KEV, collectée le 29 septembre 2026 à 14:57 UTC
Vecteur CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H Détail technique de la note : mode d’attaque, complexité, impacts. Source : National Vulnerability Database (NVD), collectée le 29 septembre 2026 à 15:00 UTC

Gravité et activité

9,8 / 10 Gravité CVSS : critique

Note de la NVD. Collectée le 29/09/2026.

— Probabilité d’exploitation dans les 30 jours (EPSS)

Modèle EPSS de FIRST. L’exploitation étant déjà avérée, ce chiffre sert surtout à comparer l’activité. Collecté le 29/09/2026.

Description

Multiple Zoho ManageEngine on-premise products, such as ServiceDesk Plus through 14003, allow remote code execution due to use of Apache Santuario xmlsec (aka XML Security for Java) 1.4.1, because the xmlsec XSLT features, by design in that version, make the application responsible for certain security protections, and the ManageEngine applications did not provide those protections. This affects Access Manager Plus before 4308, Active Directory 360 before 4310, ADAudit Plus before 7081, ADManager Plus before 7162, ADSelfService Plus before 6211, Analytics Plus before 5150, Application Control Plus before 10.1.2220.18, Asset Explorer before 6983, Browser Security Plus before 11.1.2238.6, Device Control Plus before 10.1.2220.18, Endpoint Central before 10.1.2228.11, Endpoint Central MSP before 10.1.2228.11, Endpoint DLP before 10.1.2137.6, Key Manager Plus before 6401, OS Deployer before 1.1.2243.1, PAM 360 before 5713, Password Manager Pro before 12124, Patch Manager Plus before 10.1.2220.18, Remote Access Plus before 10.1.2228.11, Remote Monitoring and Management (RMM) before 10.1.41. ServiceDesk Plus before 14004, ServiceDesk Plus MSP before 13001, SupportCenter Plus before 11026, and Vulnerability Manager Plus before 10.1.2220.18. Exploitation is only possible if SAML SSO has ever been configured for a product (for some products, exploitation requires that SAML SSO is currently active).

Multiple Zoho ManageEngine products contain an unauthenticated remote code execution vulnerability due to the usage of an outdated third-party dependency, Apache Santuario.

Résumé de la CISA (catalogue KEV), en anglais.

Avis du CERT-FR

Aucun avis parmi les dernières publications du CERT-FR suivies par ce site. Cela ne veut pas dire qu’il n’en existe pas.

Informations réutilisées sous Licence Ouverte 2.0 (Etalab), date de dernière mise à jour indiquée à chaque avis. Ce site n'est ni affilié à l'ANSSI ni approuvé par elle.

Sources de cette fiche

Catalogue KEV de la CISA : exploitation, date d’ajout, consigne, échéance, rançongiciel.
NVD (NIST) : gravité CVSS, date de publication, description, références de la marque.
EPSS (FIRST) : probabilité d’exploitation.
CERT-FR : avis et alertes.
Marque et catégorie : classement indicatif du site (méthode).