Den amerikanska byrån för cybersäkerhet och infrastruktursäkerhet (CISA) varnar för att ett kritiskt fel vid Zoho ManageEngine remote code execution (RCE), som först avslöjades i juni, nu är under aktiv attack.
Enligt Zoho's lapprådgivning, kan buggen "tillåta fjärrangripare att exekvera godtycklig kod på berörda installationer."
Flera olika Zoho ManageEngine produkter är påverkade, sa CISA, inklusive Zoho ManageEngine PAM360, Password Manager Pro och Access Manager Plus.
Autentisering krävs inte för att utnyttja sårbarheten i Password Manager Pro- och PAM360-produkter, tillade Zoho.
CISA har flyttat till lägg till Zoho ManageEngine-buggen i katalogen Known Exploited Vulnerabilities, vilket indikerar att buggen (CVE-2022-35405) är båda under aktivt utnyttja och utgör ett hot mot den federala regeringens system.
CISA råder federala myndigheter att tillämpa leverantörspatchen omedelbart.
