Ivanti SentryのCVE-2026-10520が示す、境界アプライアンスの未認証RCEへの向き合い方

Ivanti Sentry(旧MobileIron Sentry)は、モバイル端末とメールやアプリの間に立ち、通信の中継とアクセス制御を担うゲートウェイ製品です。この製品にOSコマンドインジェクションの脆弱性CVE-2026-10520が見つかり、未認証のリモート攻撃者がroot権限でコードを実行できる状態になりました。CVSS v3.1の基本値は上限の10.0です。

この記事は、Sentryを運用する情報システムやインフラの担当に向けて、なぜ境界に置くアプライアンスの未認証RCEが即時のパッチ適用と侵害調査を必要とするのかを、Ivanti公式アドバイザリとNVD、CISA KEVをもとに整理します。あわせて、個別製品の対応に閉じず、KEVに基づく優先度づけと侵害を前提にした初動という、他の境界機器にも通じる判断のかたちを示します。

OSコマンドインジェクションがroot権限で刺さる仕組み#

OSコマンドインジェクションは、利用者から受け取った入力値が十分に検証されないまま、機器内部でOSコマンドの一部として組み立てられて実行されるために起きます。攻撃者が細工した文字列を送ると、本来の処理に紛れて任意のコマンドが機器上で走ります。CVE-2026-10520はCWE-78(OSコマンドインジェクション)に分類されており、実行がSentryのroot権限で行われるため、攻撃者は機器を丸ごと掌握できる状態になります。認証を必要としない点が深刻さを押し上げ、CVSS基本値10.0という評価につながっています。

Ivantiの説明によれば、この脆弱性はSentryが非管理(unmanaged)状態で、そのエンドポイントが外部から到達可能な場合に悪用され得ます。逆に、EPMMとのmTLSを用いる構成や、Neurons for MDM経由でHTTPSアクセスを制限する構成では、当該インターフェースが外部の攻撃者から見えなくなります。露出条件を正しく把握することが、優先度の判断に直結します。

なぜ境界のアプライアンスが狙われるのか#

Sentryのようなゲートウェイは、外部と内部の通信を取り次ぐためにインターネットへ面して設置されます。攻撃者にとっては、認証の前段にある機器を一つ落とせば、その先の内部資産へ進む足がかりが得られます。境界機器の未認証RCEが重く扱われるのは、侵入の起点になりやすいという構造上の理由からです。

Help Net Securityの報道によれば、Ivanti Sentryは通常インターネットから到達可能で、企業ネットワーク内の分離されたサブネットワークに置かれることも多いとされます。公開されたPoCの登場後にShadowserver Foundationが多数の悪用試行を観測し、確認された脆弱なインスタンスの一部にバックドアが仕掛けられていたと報じられています。攻撃者の帰属や被害の全体像は本記事の執筆時点で確定していないため、ここでは確認できた範囲の事実にとどめます。ランサムウェアキャンペーンでの悪用については、CISA KEVの記載も現時点で「Unknown」であり、断定はできません。

影響範囲と修正バージョン#

影響を受けるバージョンと修正版は次のとおりです。自組織のSentryが該当するかを、まずバージョンで確認します。

CVE-2026-10520とCVE-2026-10523は同一のIvanti公式アドバイザリで案内されています。適用時は両方の修正が含まれる版へ更新します。

NVDはCVE-2026-10520を、リモートの未認証利用者にroot権限のコード実行を許すOSコマンドインジェクションとして登録し、CNA(Ivanti)によるCVSS v3.1基本値10.0(AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H)を掲載しています。影響バージョンと修正版の情報はIvanti公式アドバイザリを一次ソースとします。

運用担当がとる対応の順序#

侵入の起点になり得る脆弱性は、適用と調査を並行して進めます。次の順序で手を付けます。

境界に置く機器がなぜ侵入口として狙われるのか、全体像は次の記事で整理しています。

あわせて読みたい

境界に置くエッジ機器の脆弱性が侵入口として狙われる理由

KEVに基づく優先度づけ#

膨大な既知脆弱性の中で何から着手するかを決めるとき、CISAのKEV(Known Exploited Vulnerabilities)カタログは有力な判断材料になります。KEVは悪用が確認された脆弱性だけを収録するため、掲載されていること自体が対応を急ぐ根拠になります。CVE-2026-10520は2026年6月11日にKEVへ収録されました。KEVの対応期限は米連邦政府の文民行政機関に向けて定められるもので、CVE-2026-10520では2026年6月14日と短く設定されました。民間の組織に同じ期限が課されるわけではありませんが、悪用が確認されている以上、緊急の対応が求められる状況です。

KEVの位置づけと、EPSSなどを組み合わせた優先度づけの考え方は、次の記事で詳しく扱っています。

あわせて読みたい

脆弱性対応の優先順位付け。CVSSだけに頼らないEPSSとCISA KEVの使い方

なお、脆弱性の検証は自組織が管理する環境に限って行い、他者の機器への無断のアクセスや検査は不正アクセス禁止法などの関連法令に触れるため行いません。悪用手順の詳細をここで示さないのも同じ理由からです。

まとめ#

CVE-2026-10520は、境界に置くアプライアンスの未認証RCEが持つ危うさをそのまま体現した脆弱性です。root権限でのコード実行に至り、CVSS 10.0でKEVにも収録されました。対応の要点は、修正版の適用と露出の遮断を急ぎつつ、すでに侵害されている前提で痕跡を調べることにあります。個別製品の対処にとどめず、KEVを起点にした優先度づけと侵害前提の初動という運用の型として引き取ることが、次の同種の事案への備えになります。