CISA

米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、新たに発出された「拘束力のある運用指令（BOD）26-04」に基づき、政府機関に対し、現在悪用されているIvanti Sentryの脆弱性について3日以内に修正パッチを適用するよう命じた。

CVE-2026-10520として追跡されているこの最高深刻度の脆弱性は、Ivantiのセキュリティゲートウェイアプライアンス（旧称：MobileIron Sentry）で発見され、OSコマンドインジェクションの脆弱性に起因するものである。

水曜日、IvantiがCVE-2026-10520のパッチを公開し、実環境での悪用事例は確認されていないと発表した翌日に、インターネットセキュリティ監視団体Shadowserverは、攻撃者がすでにオンラインに公開されている多数のSentryゲートウェイにバックドアを仕込んでいたと報告した。

image

Ivantiは、CVE-2026-10520が現在も悪用されていることを警告するアドバイザリをまだ更新しておらず、これらの継続的な攻撃に関する詳細について問い合わせた際、Ivantiの広報担当者は回答していない。

Shadowserverは現在、オンラインに公開されているSentry管理ポータルを50件強追跡しているが、同社のセキュリティスキャナーをブロックしている組織が存在するため、実際に検知可能なインターネットに公開されたIvanti Sentryインスタンスの数は限られていると指摘している。また、まだパッチを適用していないシステムは侵害されている可能性が高いと警告している。

「本日公開されたPoCに基づき、Ivanti SentryのCVE-2026-10520に対する大量の悪用試行を確認しています」と同社は述べた。

「当社のスキャンでは多数のIvanti Sentryインスタンスに到達できない（ブロックリストに登録されている？）ため、検出数は少なめですが、現時点でパッチを適用していない場合は、ほぼ確実に侵害されていると考えられます。」

Internet-exposed Ivanti Sentry admin portals
インターネットに公開されているIvanti Sentry管理ポータル（Shadowserver）

​木曜日、CISAはCVE-2026-10520の脆弱性が現在攻撃で積極的に悪用されていることを確認し、これを「既知の悪用済み脆弱性カタログ（KEV）」に追加するとともに、 また、拘束力のある運用指令（BOD）26-04の要件に基づき、連邦文民行政機関（FCEB）に対し、3日以内にIvanti Sentryインスタンスのセキュリティ対策を講じるよう命じました。

「この種の脆弱性は、悪意のあるサイバー攻撃者による頻繁な攻撃ベクトルであり、連邦政府機関に重大なリスクをもたらす」と、同サイバーセキュリティ機関は警告した。 「クラウドサービスについては、適用されるBOD 26-04のガイダンスに従うか、緩和策が利用できない場合は当該製品の使用を中止してください。各資産のインターネットへの露出状況を評価し、BOD 26-04のパッチ適用ガイドラインを確実に遵守する責任は、関係者にあります。」

BOD 26-04は水曜日に発出され（旧BOD 19-02およびBOD 22-01を置き換え、廃止する）、 この指針では、資産がオンライン上で公開されている場合、セキュリティ上の欠陥がCISAのKEVカタログに追加された場合、大規模な攻撃のために悪用が自動化可能な場合、および悪用が成功した際に攻撃者が標的システムの全部または一部の制御権を獲得できる場合、米国連邦機関に対しパッチ適用を優先するよう求めている。

CVE-2026-10520はBOD 26-04が適用される最初の脆弱性ですが、ここ数週間、CISAは連邦機関に対し、Check Point VPNのゼロデイ脆弱性、実環境で悪用されている高深刻度のOracle WebLogic Serverの脆弱性、現在も悪用されているcPanelプラグインの欠陥などが含まれます。

過去数年間、CISAは攻撃に悪用されたIvanti製品の幅広い製品群にわたる35件の脆弱性を指摘しており、そのうち12件はランサムウェア集団による標的型攻撃の対象となっています。