最近の脆弱性 › CVE-2026-10520
Ivanti Sentry のOSコマンドインジェクションの脆弱性（CVE-2026-10520）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2026-10520 |
|---|---|
| 製品 | Ivanti Sentry |
| 深刻度（CVSS） | 10.0 緊急CVSS v3.1 NVD に登録された、他の機関（開発元など）による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
| KEVへの追加日 | 2026-06-11 |
| 米国政府機関の対応期限 | 2026-06-14 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-78 |
何が起きた
Ivanti のスマートフォンなどの通信を中継する機器 Ivanti Sentry（旧 MobileIron Sentry）に、OS のコマンドを紛れ込まされる弱点（OS コマンドインジェクション）が見つかり、実際に悪用が確認されています。ログインしていない遠隔の攻撃者に、root（最も強い権限）で任意のコードを実行されるおそれがあります。悪用されるのは、Sentry が管理されていない状態で、その窓口が外から届く場合です。EPMM との mTLS（双方向の証明書の確認）や、Neurons for MDM による HTTPS の制限を使っていれば、外からは届きません。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
Ivanti Sentry の R10.5.2、R10.6.2、R10.7.1 より前の版を使っている組織が影響を受けます。
何をすればいい
Ivanti Sentry を、使っている系列に合わせて R10.5.2、R10.6.2、R10.7.1 以降に更新してください。
やることチェックリスト
- Sentryの版を確かめる
- R10.5.2かR10.6.2かR10.7.1以降に更新する
- Sentryの窓口が外から届かないか確かめる
用語メモ
- Ivanti Sentry
- スマートフォンなどと社内のサーバーのあいだで、通信を中継して守る Ivanti の機器です。
- mTLS
- 通信する両方が証明書を見せ合って、お互いが本物かを確かめる仕組みです。
元データ（英語・CISA KEV より）
Ivanti Sentry OS Command Injection Vulnerability
概要
Ivanti Sentry (formerly known as MobileIron Sentry) contains an OS command injection vulnerability which could allow a remote unauthenticated user to achieve root-level remote code execution. This vulnerability can be successfully exploited in cases where the Sentry appliance is in an unmanaged state with its endpoints externally reachable. The use of mTLS with EPMM or restricted HTTPS access through Neurons for MDM makes interfaces inaccessible to external actors.
推奨対応
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.