Qué es y cómo funciona la falla
La vulnerabilidad CVE-2026-12591 (CWE-862) en ManageEngine M365 Manager Plus se debe a una validación insuficiente de permisos en la interfaz de administración delegada. Un técnico autenticado podría explotar esta insuficiencia para escalar sus privilegios más allá del alcance previsto, lo que podría resultar en la ejecución remota de código (RCE) durante el procesamiento administrativo.
Productos y versiones afectadas
Están afectadas todas las versiones de Zoho Corp ManageEngine M365 Manager Plus inferiores a la 4818.
Impacto y severidad
El CVSS de esta vulnerabilidad es 9.9 (Crítico). El organismo español INCIBE-CERT la clasifica con una severidad P (Prioritaria).
Explotación y exposición en internet
Según datos de Shodan, actualmente hay 0 hosts indexados con esta vulnerabilidad detectada, lo que sugiere un volumen bajo de objetivos directamente expuestos en internet.
| CVE | CVE-2026-12591 |
|---|---|
| Severidad | CRITICAL |
| CVSS | 9.9 / 10 |
| CWE | CWE-862 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |