Ivanti Sentryの最大深刻度レベルの脆弱性が、現在攻撃に悪用されている

攻撃者は現在、Ivanti Sentryに存在する、最近修正された「最大深刻度」の脆弱性を標的としており、これにより、インターネットに公開されているセキュア・モバイル・ゲートウェイ上でルート権限を持つコードを実行することが可能になっています。

以前はMobileIron Sentryとして知られていたIvanti Sentryセキュリティゲートウェイアプライアンスは、企業のバックエンドシステムとリモートモバイルデバイス間のトラフィックを保護します。

CVE-2026-10520として追跡されているこの最高深刻度の脆弱性は、OSコマンドインジェクションの弱点に起因するもので、Ivantiは火曜日にSentryバージョンR10.5.2、R10.6.2、およびR10.7.1をリリースし、パッチを適用した。

同社は当時、実環境での悪用事例は確認されていないと述べていましたが、非営利セキュリティ団体Shadowserverは翌日、攻撃者がすでにオンラインに公開されているSentryゲートウェイの大部分にバックドアを仕込んでいたと報告しました。

また、このインターネットセキュリティ監視団体は、スキャンでは公開されているSentryインスタンスがごく少数しか検出されていないものの、検索エンジンがブロックリストに登録されているため、実際にはさらに多くのインスタンスが存在する可能性が高いと付け加えた。

「本日公開されたPoCに基づいて、Ivanti SentryのCVE-2026-10520に対する大量の悪用試行が確認されています。 独自のスキャンでは19件の脆弱なインスタンスを確認しており、そのうち少なくとも2件はバックドアが仕込まれています（情報を提供してくれたサウジアラビアのNCAに感謝！）。しかし、残りのインスタンスもすべて侵害されている可能性が高い」とShadowserverは警告した。

「当社のスキャンでは複数のIvanti Sentryインスタンスに到達できなかった（ブロックリストに登録されている？）ため、検出数は少なめですが、まだパッチを適用していない場合は、ほぼ確実に侵害されていると考えられます。」

Ivantiは火曜日に発表したセキュリティアドバイザリをまだ更新しておらず、そこには依然として「開示時点において、これらの脆弱性を悪用された顧客は確認されていない」と記載されている。

​本日、これらの継続中の攻撃に関する詳細について問い合わせた際、Ivantiの広報担当者は直ちにコメントを寄せることができませんでした。

ハッカーは、標的の企業ネットワークへの侵入経路となり、機密性の高い顧客データや企業データの窃取を可能にするため、Ivantiのセキュリティ上の欠陥を頻繁に標的にしている。

例えば、近年では複数のIvantiのゼロデイ脆弱性が悪用され、世界中の政府機関など幅広い標的への侵入が行われている。これには、Ivantiが1月に修正した2つの重大なEndpoint Manager Mobile（EPMM）の脆弱性も含まれており、これらは「ごく少数の顧客」に対してゼロデイ攻撃として悪用された後に修正されたものである。

さらに最近では、Ivanti社がゼロデイ攻撃で悪用された高深刻度のリモートコード実行EPMM脆弱性について顧客に警告したことを受け、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は先月、米連邦政府機関に対し、ネットワーク上のIvantiシステムにパッチを適用するよう指示した。

過去数年間で、CISAはIvantiの各種製品に存在する34件の脆弱性が実環境で積極的に悪用されていると指摘しており、そのうち12件はランサムウェア攻撃の標的にもなっています。

Ivantiは7,000社以上のパートナーと3,000名以上の従業員を擁し、そのIT資産管理ソリューションは世界中で40,000社以上の顧客に利用されている。