Kurzfassung

Zohocorp behebt mit Build 7001 eine Schwachstelle in ManageEngine ADSelfService Plus, die als Remote Code Execution im GINA-Client beschrieben wird. Betroffen sind Versionen vor Build 7001. Die NVD führt die Lücke unter CVE-2026-74849 mit CVSS 9.8, kritisch.

Für Unternehmen ist das vor allem dort relevant, wo ADSelfService Plus noch aktiv betrieben wird und der betroffene Client im Einsatz ist. Weil der CVSS-Vektor einen Angriff über das Netzwerk ohne Anmeldung und ohne Nutzerinteraktion beschreibt, sollten Admins die Prüfung und Aktualisierung priorisieren.

Was ist passiert?

Für ManageEngine ADSelfService Plus wurde eine kritische Schwachstelle veröffentlicht. Sie betrifft nach aktuellem Stand alle Ausgaben vor Build 7001 und steckt im GINA-Client.

Die gemeldete Folge ist die Ausführung von Code aus der Ferne. Das ist eine der gravierendsten Schwachstellenklassen, weil Angreifer damit im Erfolgsfall direkt Befehle auf einem betroffenen System ausführen können.

Ein Herstellerhinweis mit zusätzlichen technischen oder organisatorischen Details liegt hier nicht vor. Ebenso ist öffentlich nicht näher aufgeschlüsselt, unter welchen Betriebsbedingungen der GINA-Client konkret angreifbar ist.

Technische Details

CVE-2026-74849 ist in der NVD mit einem Basiswert von CVSS 3.1 9.8 eingestuft. Dieser Wert beschreibt die technische Schwere der Schwachstelle, nicht automatisch eine bereits beobachtete oder massenhaft laufende Ausnutzung in freier Wildbahn.

Der Vektor lautet CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Das bedeutet: Ein Angriff ist über das Netzwerk möglich, die Angriffskomplexität ist gering, Angreifer benötigen keine Berechtigungen und keine Nutzerinteraktion; bei erfolgreicher Ausnutzung drohen hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.

Als betroffene Komponente nennt die NVD den GINA-Client von ManageEngine ADSelfService Plus. Weitere technische Angaben, etwa zur genauen Ursache, zu möglichen Angriffspfaden oder zu Indikatoren für eine Kompromittierung, sind bislang nicht veröffentlicht.

Wer ist betroffen?

Betroffen sind ManageEngine ADSelfService Plus Versionen vor Build 7001. Maßgeblich ist dabei, ob der GINA-Client in Ihrer Umgebung verwendet wird.

Relevanz hat das vor allem für Windows-zentrierte Unternehmensumgebungen, in denen ADSelfService Plus für Self-Service rund um Passwörter und Identitäten an Active Directory angebunden ist. Für die meisten Privatnutzer spielt die Schwachstelle praktisch keine Rolle, da das Produkt typischerweise in Unternehmensnetzen eingesetzt wird.

Falls Sie ADSelfService Plus zwar betreiben, den GINA-Client aber nicht ausgerollt haben, kann die praktische Betroffenheit geringer sein. Diese Eingrenzung sollten Admins dennoch nicht als Entwarnung verstehen, solange der eigene Bestand nicht sauber geprüft wurde.

Empfohlene Maßnahmen

Prüfen Sie zuerst die installierte Build-Nummer von ADSelfService Plus. Liegt sie unter 7001, sollten Sie die Aktualisierung mit hoher Priorität einplanen und den Einsatz des GINA-Clients in der Umgebung verifizieren.

Erfassen Sie im zweiten Schritt, auf welchen Systemen der Client installiert ist und ob diese Systeme aus weniger vertrauenswürdigen Netzsegmenten erreichbar sind. Besonders wichtig ist das in verteilten Umgebungen mit extern erreichbaren Diensten, Terminalservern oder historisch gewachsenen AD-Strukturen.

Bis zur vollständigen Aktualisierung empfiehlt sich eine Reduzierung der Angriffsfläche: Beschränken Sie die Netzwerk-Erreichbarkeit auf wirklich notwendige Systeme, segmentieren Sie betroffene Server und Clients enger und überwachen Sie ungewöhnliche Prozesse oder Kommandos auf betroffenen Hosts. Wo kurzfristig möglich, kann auch eine vorübergehende Deaktivierung oder ein Aussetzen des betroffenen Clients sinnvoll sein.

Kontrollieren Sie zusätzlich Ihre Protokollierung. Auch ohne veröffentlichte Indikatoren sollten Admins auf unerwartete Prozessstarts, neue Dienste, verdächtige Aufgabenplaner-Einträge und Anmeldeereignisse achten, die zeitlich zur bekannten Schwachstelle passen.

Ob ein Patch jenseits der Angabe „vor Build 7001 betroffen“ bereitsteht, ist hier nur indirekt ableitbar. Klar ist: Build 7001 markiert nach der NVD die Grenze, ab der die Schwachstelle nicht mehr betroffen sein soll.

Einschätzung von CyberSecurity-News.de

Die technische Einstufung ist eindeutig hochkritisch. CVSS 9.8 in Verbindung mit Netzwerkangriff, fehlender Authentifizierung und ohne Nutzerinteraktion ist ein Muster, das in Unternehmensumgebungen sehr schnell operative Relevanz bekommt.

Die Informationslage bleibt aber dünn. Es fehlen öffentlich zugängliche Details dazu, wie genau der GINA-Client angegriffen wird, unter welchen Konstellationen die Lücke praktisch ausnutzbar ist und ob bereits Angriffe beobachtet wurden. Das erschwert die Priorisierung im Vergleich zu Schwachstellen, bei denen Exploit-Code oder aktive Kampagnen schon bekannt sind.

Für DACH-Unternehmen mit ManageEngine im Einsatz ist das trotzdem kein Fall für die Warteschlange. Wer ADSelfService Plus verwendet, sollte die eigene Exponierung kurzfristig prüfen. Wer das Produkt nicht einsetzt, muss aus dieser Meldung keine allgemeine Bedrohungslage ableiten.

Fazit

Wenn Sie ManageEngine ADSelfService Plus betreiben, prüfen Sie sofort, ob Systeme noch auf einem Build vor 7001 laufen und ob der GINA-Client in Ihrer Umgebung eingesetzt wird. Ist das der Fall, hat die Aktualisierung klare Priorität.

Ohne eigenen Einsatz des Produkts besteht für die meisten Leser kein unmittelbarer Handlungsbedarf. Für betroffene Unternehmen zählt jetzt vor allem: Bestand erfassen, Angriffsfläche verkleinern, Update zügig umsetzen.

Quellenangabe

Weiterführende Informationen bietet der NVD-Eintrag zu CVE-2026-74849.