Ivanti Standalone Sentry: OS Command Injection führt zu Remote Code Execution mit Root-Rechten

Zusammenfassung

Ivanti Standalone Sentry enthält eine OS Command Injection (CWE-78), die einem entfernten, nicht authentifizierten Angreifer die Ausführung von Befehlen mit Root-Rechten ermöglicht. Der CVSS-Basiswert beträgt 10.0 (kritisch). Die CISA hat die Schwachstelle in ihren Katalog der bekanntermassen ausgenutzten Schwachstellen aufgenommen, und ein öffentlicher Proof of Concept existiert, weshalb exponierte Instanzen dringend zu behandeln sind.

Betroffen

• Ivanti Standalone Sentry in Versionen vor R10.5.2, R10.6.2 und R10.7.1 (gemäss CVE-Eintrag)
• Genaue betroffene Versionsbereiche: Unbekannt. Sekundäre Quellen weichen im Detail voneinander ab und müssen mit dem Ivanti-Advisory abgeglichen werden.

Behoben in

• Ivanti Standalone Sentry R10.5.2, R10.6.2 und R10.7.1 oder neuer

Umgehung

• Kein Workaround von Ivanti verifiziert.
• Netzwerkzugriff auf Sentry einschränken, sodass die Management- und MICS-API-Endpunkte nicht aus dem Internet erreichbar sind.
• Interimsmassnahmen sind Erkennungshilfen und kein Ersatz für das Patchen.

Ausnutzung

• Öffentlicher Proof of Concept am 10. Juni 2026 veröffentlicht (watchTowr).
• Am 11. Juni 2026 in den CISA-KEV-Katalog aufgenommen, basierend auf Hinweisen auf aktive Ausnutzung.
• Shadowserver meldete Ausnutzungsversuche auf Basis des öffentlichen Proof of Concept.
• Für die Ausnutzung ist keine Authentifizierung nötig. Die CISA-SSVC-Bewertung lautet: automatisierbar: ja, technische Auswirkung: total.

Unsere Empfehlung

• Alle Sentry-Instanzen identifizieren und deren Versionen prüfen.
• So rasch wie möglich auf R10.5.2, R10.6.2 oder R10.7.1 patchen, spätestens bis zur CISA-Frist vom 14. Juni 2026.
• Die Internet-Exposition der betroffenen Endpunkte aufheben, bis das Patchen abgeschlossen ist.
• War eine verwundbare Instanz aus dem Internet erreichbar, Logs auf nicht authentifizierte POST-Anfragen an /mics/api/v2/sentry/mics-config/handleMessage prüfen, auf unerwartete Child-Prozesse und ausgehende Verbindungen achten und bei Hinweisen von einer Kompromittierung ausgehen. Im Zweifelsfall betroffene Systeme neu aufsetzen.
• Das Ivanti-Advisory für aktuelle Hinweise konsultieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (8 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  watchtowrlabs/watchTowr-vs-Ivanti-Sentry-RCE-CVE-2026-10520-CVE-2026-10523 · HORKimhab/CVE-2026-10520-10523 · 0xBlackash/CVE-2026-10520 · error-inside/CVE-2026-10520 · emilliewatson96/spryCVE-2026-10520

Quellen der Recherche

• Ivanti Security Advisory CVE-2026-10520 / CVE-2026-10523 hub.ivanti.com
• CISA: Known Exploited Vulnerabilities Catalog entry CVE-2026-10520 www.cisa.gov
• CISA alert: one new Known Exploited Vulnerability added (June 11, 2026) www.cisa.gov
• watchTowr detection artifact generator (GitHub) github.com
• Help Net Security: Ivanti Sentry CVE-2026-10520 and CVE-2026-10523 www.helpnetsecurity.com
• Arctic Wolf: Ivanti Sentry critical vulnerabilities require urgent patching arcticwolf.com
• Horizon3.ai: CVE-2026-10520 research horizon3.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 19:51.