M365 Manager Plus ナレッジベース

M365 Manager Plusにおきまして、 アカウント乗っ取りの脆弱性（CVE-2026-11374）が確認されました。
本脆弱性はビルド4817にて修正済みです。

本ナレッジでは、当該脆弱性の詳細について記載します。

※本ナレッジの内容はグローバル本社のナレッジベース（英語）を翻訳、一部加筆したものです。
CVE-2026-11374: Account takeover vulnerability in ADSelfService Plus, RecoveryManager Plus, M365 Manager Plus, and ADAudit Plus

脆弱性の概要

本脆弱性は、M365 Manager Plusが「ManageEngine AD360」の統合コンポーネントとして導入されている場合に発生します。
ManageEngine AD360と統合されたM365 Manager Plusにユーザーがシングルサインオン（SSO）を介してログインする際、そのセッションを認証するために生成されるSSOチケットが、認証されていない攻撃者によって推測される可能性があります。
本脆弱性により、ユーザーのIDおよびロール情報を不正に取得され、ユーザーアカウントの乗っ取りにつながる恐れがあります。

脆弱性の重要度

高（High）

影響を受けるビルド

日本向けにリリースしているビルド4816以前の、すべてのビルドが対象です。

ユーザーへの影響

本脆弱性を悪用した攻撃者により、ユーザーアカウントが乗っ取られる可能性があります。

対応方法

ビルド4817へアップグレードすることで修正されます。
アップグレード方法につきましては、アップグレード方法（サービスパックの適用方法）をご参照ください。