Ivanti：Sentryに最大深刻度の脆弱性——rootとしてのコード実行が可能に

セキュリティソフトウェア企業のIvantiは、セキュアモバイルゲートウェイ製品「Sentry」に存在する2件の重大な脆弱性に対処するパッチをリリースしました。そのうちの1件は、リモートの攻撃者がroot権限でコードを実行できる最大深刻度の脆弱性です。

旧称「MobileIron Sentry」としても知られるIvanti Sentryは、企業のバックエンドシステムとリモートモバイルデバイス間のトラフィックを保護するセキュリティゲートウェイアプライアンスです。

CVE-2026-10520として追跡されているこの最大深刻度の脆弱性は、OSコマンドインジェクションの欠陥に起因しています。火曜日にパッチが適用されたSentryのもう1件のセキュリティ上の欠陥（CVE-2026-10523）は、認証バイパスの重大な脆弱性であり、未認証の攻撃者がリモートから不正な管理者アカウントを作成し、完全な管理者権限を取得できるものです。

Ivantiは火曜日、Sentryバージョン R10.5.2、R10.6.2、R10.7.1 のリリースをもって、これら2件のセキュリティ上の問題を修正しました。

幸いなことに、同社はこれら2件の脆弱性が実際に悪用されている証拠はないとしており、潜在的な攻撃から身を守るためシステムのアップグレードを管理者に呼びかけています。

「開示時点において、これらの脆弱性によって攻撃を受けた顧客がいるという認識はありません。現時点では、侵害の痕跡（IoC）リストを提供できるような、この脆弱性の公知の悪用事例は存在しません」とIvantiは述べています。

近年、Ivantiの脆弱性はサイバー犯罪者にとって企業ネットワークへの侵入や機密データの窃取を容易にする手段となるため、攻撃の標的となることが多くなっています。

直近の事例として、サイバーセキュリティ・インフラセキュリティ庁（CISA）は5月、Endpoint Manager Mobile（EPMM）においてゼロデイ攻撃で悪用されている深刻なリモートコード実行脆弱性への即時パッチ適用をIvantiが顧客に警告した後、米国連邦機関に対してIvantiデバイスへのパッチ適用を4日以内に完了するよう命じました。

その他にも複数のIvantiゼロデイ脆弱性がここ数年にわたって悪用されており、世界各地の政府機関をはじめとする幅広いターゲットへの侵入に利用されています。その中には、Ivantiが1月に対処したEPMMの重大な脆弱性2件も含まれており、ごく限られた顧客を標的とした攻撃においてゼロデイとして悪用されていました。

CISAはこれまでに、SolarWindsのさまざまな製品にまたがる34件の脆弱性を過去数年間にわたる攻撃で積極的に悪用されているものとして指定しており、そのうち12件はランサムウェア攻撃にも利用されています。

IvantiのIT資産管理ソリューションは世界40,000社以上のクライアントに利用されており、7,000社以上のパートナーネットワークと3,000人以上の従業員によって支えられています。