CVE-2026-6516: RCE Non Autenticata in ManageEngine ADAudit Plus

Il CVE-2026-6516 è una vulnerabilità di esecuzione remota non autenticata (RCE) che interessa Zohocorp ManageEngine ADAudit Plus, un prodotto di auditing e compliance critico per le infrastrutture IT. La falla risiede nell'agent API, permettendo l'accesso diretto al sistema senza alcuna forma di autenticazione. Per amministratori e team IT, il compromesso di ADAudit Plus è una minaccia strategica: l'attaccante acquisisce il controllo di uno strumento deputato al monitoraggio della sicurezza stessa, compromettendo la visibilità su log, audit trail e configurazioni di sicurezza.

La vulnerabilità è assegnata una severità CVSS 10,0, la massima possibile, e ufficialmente classificata come critical. Pubblicata in NVD il 2026-07-23, è nota da almeno tre mesi. Il segnale GitHub del 2026-10-30 indica che esistono repository pubblici che documentano strumenti per identificare e testare questa falla, segnale di interesse concreto dalla comunità di ricerca. Nessun dato disponibile suggerisce che la vulnerabilità sia già attivamente sfruttata in campagne su larga scala, ma la presenza di tool pubblici e il tempo trascorso dalla divulgazione richiedono azione immediata.

La difesa prioritaria è aggiornare ManageEngine ADAudit Plus alla versione 8606 o successiva. Amministratori e CISO devono: inventariare immediatamente tutti i sistemi ADAudit Plus in uso; verificare le versioni installate tramite console di gestione; applicare l'aggiornamento con massima priorità, pianificando una finestra di maintenance se necessario; verificare nei log di accesso all'agent API la presenza di richieste anomale prima e dopo il patching; implementare controlli di accesso di rete per limitare l'esposizione della agent API a reti interne fidate.

ADAudit Plus è uno strumento di visibilità e compliance: il suo compromesso significa perdita di fiducia nei dati di audit e audit trail. Per le organizzazioni soggette a normative come GDPR, SOC 2, ISO 27001 o PCI DSS, un incident su ADAudit Plus può avere implicazioni di conformità e notifica. La mancanza di autenticazione e il CVSS 10,0 rendono la velocità di patching essenziale.