Ivantiは、Ivanti Sentryに存在する2件の重大な脆弱性（CVE-2026-10520およびCVE-2026-10523）にパッチを適用し、顧客に対して直ちに修正を実施するよう呼びかけています。
これらの脆弱性が実際に悪用されたという情報は現時点では確認されていませんが、セキュリティ研究者がすでにCVE-2026-10520の技術的詳細を公開しており、攻撃者がこれを悪用して実証コードを作成する恐れがあります。
Ivanti Sentryと脆弱性の概要
Ivanti Sentryは、企業ネットワーク外のモバイルデバイスと社内システム（メールサーバーや社内アプリケーションなど）の間に設置されるセキュリティゲートウェイです。
Ivanti Sentryは通常インターネットからアクセス可能な状態に置かれています。ただし、攻撃者が侵害後にそこを足がかりとして内部ネットワークへ横展開するのを防ぐため、企業ネットワーク内の隔離されたサブネットワーク上に配置されることが多いです。
しかし、Sentryが侵害された場合、攻撃者は認証情報やセッショントークンを窃取し、正規ユーザーになりすまして組織のアプリケーションやメールサーバーへアクセスできてしまいます。
今回修正された2件はいずれも深刻度の高い脆弱性です。CVE-2026-10520はOSコマンドインジェクションの脆弱性で、未認証のリモートユーザーがroot権限でのリモートコード実行を可能にします。CVE-2026-10523は認証バイパスの脆弱性で、脆弱なデバイス上に管理者アカウントを作成できてしまいます。
WatchTowrの研究者が脆弱なバージョンとパッチ適用済みバージョンを比較した結果、CVE-2026-10520はSentryが内部設定コマンドを受け付けるよう設計されたAPIを持つものの、認証なしにインターネット経由でアクセスできる者であれば誰でもそのコマンドを実行できてしまうことに起因すると判明しました。
影響範囲の確認とパッチ適用
CVE-2026-10520およびCVE-2026-10523は、Ivanti Sentryバージョン10.5.1、10.6.1、10.7.0およびそれ以前に影響し、バージョン10.5.2、10.6.2、10.7.1で修正されています。
WatchTowrの研究者は、自社環境が脆弱かどうかを確認するためのスクリプトも公開しています。
Ivantiはまた、Ivanti Endpoint Manager Mobile（EPMM）に存在する2件の高深刻度の脆弱性についても修正を提供しています。
EPMMの脆弱性は攻撃者に繰り返し悪用され続けてききましたが、Sentryの脆弱性で攻撃に利用されたことが確認されているのは、2023年にゼロデイとして悪用されたCVE-2023-38035（認証バイパスの脆弱性）のみです。
翻訳元: https://www.helpnetsecurity.com/2026/06/10/ivanti-sentry-cve-2026-10520-cve-2026-10523/
