Iframe is blocked. Accept cookies to load it.

Wir verwenden Cookies, um die Funktion unserer Website sicherzustellen und Ihr Nutzungserlebnis zu verbessern. Einige Cookies sind technisch notwendig, andere helfen uns, die Website zu analysieren und unsere Inhalte zu optimieren. Details finden Sie in unserer Datenschutzerklärung.

Enter
PREPARE
PROTECT
DETECT
RESPOND
IMPROVE
Login
Vorfall melden!
Schließen
Navigation
Kontaktinformation
+49 89 45 24 24-100
kontakt@argos.security
Leistungen
ÜBER UNS
News & Insights
Servicecenter
Zurück
Schließen
Wissen
SECURITY ADVISORY

Ivanti Sentry: unauthentifizierte Root-Übernahme über OS-Command-Injection

Eine OS-Command-Injection in Ivanti Standalone Sentry erlaubt einem entfernten, nicht authentifizierten Angreifer Remote Code Execution mit Root-Rechten. Der verwundbare Endpunkt akzeptiert ein Konfigurations-Kommando ohne Anmeldung direkt aus dem Netz. Die Lücke ist mit CVSS 10,0 maximal bewertet, wird seit dem 11. Juni 2026 aktiv ausgenutzt und steht im CISA-KEV-Katalog.

CVE-ID

CVE-2026-10520

CVSS

10,0

Schweregrad

Kritisch

Hersteller

Ivanti

Produkt

Ivanti Standalone Sentry

Veröffentlicht

14.07.2026

CISA-KEV

Gelistet

Advisory als PDF herunterladen

Analyse

Warum die Lücke wirkt

Ursache ist eine unzureichende Filterung von Sonderzeichen bei einem OS-Kommando (CWE-78). Der Endpunkt /mics/api/v2/sentry/mics-config/handleMessage ist für interne Konfigurationskommandos gedacht, verarbeitet den message-Parameter aber ungeprüft und ohne Authentifizierung. So lässt sich beliebiger Betriebssystembefehl mit Root-Rechten einschleusen.

Angriffskette

  1. Erreichen des exponierten Sentry-Endpunkts über das Netz, ohne Anmeldung.
  2. Einschleusen eines präparierten message-Parameters mit OS-Kommando.
  3. Ausführung des Befehls mit Root-Rechten (RCE) auf dem Gateway.
  4. Persistenz & Ausbreitung ins interne Netz, Datenabfluss, Manipulation.

Betroffene Versionen und Fixes

Fix-VersionVerwundbarFixversion
Sentry 10.5.x< 10.5.210.5.2
Sentry 10.6.x< 10.6.210.6.2
Sentry 10.7.x10.7.010.7.1

Verwundbar sind Versionen bis einschließlich 10.5.1, 10.6.1 und 10.7.0. Die Fixes 10.5.2, 10.6.2 und 10.7.1 sind laut Ivanti-Advisory und NVD-Beschreibung die abschließend behebenden Versionen; ein wirksamer Workaround wird nicht genannt.

Regulatorischer Hinweis: NIS-2: kritische, aktiv ausgenutzte Schwachstelle im Zugangs-Gateway – bei erfolgreicher Kompromittierung greifen Melde- und Reaktionspflichten (24/72 Stunden). DSGVO Art. 33/34: Bei Datenabfluss über das Gateway ist eine Meldung an Aufsichtsbehörde und ggf. Betroffene zu prüfen.

Chronologie

  • 09.06.2026 – Ivanti veröffentlicht Security-Advisory und Patches
  • 10.06.2026 – Öffentlicher PoC (watchTowr); breite Ausnutzungsversuche (Shadowserver)
  • 11.06.2026 – Aufnahme in CISA-KEV – aktive Ausnutzung bestätigt
  • 14.07.2026 – Argos-Advisory: Patchstand prüfen, Kompromittierung ausschließen

Maßnahmenplan

Vom Betroffenheits-Check bis zum Kompromittierungs-Ausschluss

  • Sofort: Exposition prüfen, Zugriff auf Sentry aus dem Internet einschränken
  • ≤ 24 h: Auf Fix-Version patchen (10.5.2 / 10.6.2 / 10.7.1)
  • ≤ 72 h: Forensische Prüfung auf Kompromittierung, Reaktion einleiten
  1. Betroffenheit feststellen
    Alle Standalone-Sentry-Instanzen inventarisieren und Versionsstand prüfen. Verwundbar sind bis 10.5.1, 10.6.1 und 10.7.0.
  2. Exposition reduzieren
    Netzwerkzugriff auf das Sentry-Management/den API-Endpunkt aus dem Internet umgehend einschränken, bis der Patch aktiv ist.
  3. Patchen
    Auf die zum Zweig passende Fix-Version aktualisieren: 10.5.2, 10.6.2 oder 10.7.1.
    # Zielversion je Zweig: 10.5.2 / 10.6.2 / 10.7.1
  4. Kompromittierung ausschließen
    Aufgrund aktiver Ausnutzung: Logs des Endpunkts, unbekannte Root-Prozesse, neue Konten, Persistenz und ausgehende Verbindungen prüfen. Bei Verdacht IR auslösen.
  5. Nachhärten
    Management-Interfaces dauerhaft vom Internet trennen, Segmentierung und Monitoring des Gateways etablieren.

Kompromittierungs-Indikatoren

Wichtig: Reines Patchen genügt nicht: Da die Lücke seit dem 11. Juni 2026 aktiv ausgenutzt wird und ein öffentlicher PoC existiert, muss jede zuvor exponierte Instanz als potenziell kompromittiert behandelt und forensisch geprüft werden.

Empfehlung für die Geschäftsleitung

  • Sofort auf Fix-Versionen 10.5.2 / 10.6.2 / 10.7.1 patchen und Internet-Exposition schließen.
  • Jede zuvor erreichbare Instanz forensisch auf Kompromittierung prüfen – aktive Ausnutzung ist bestätigt.
  • Melde-/Reaktionspflichten (NIS-2, DSGVO) vorsorglich bewerten und dokumentieren.

Primärquellen

NVD (CVE-2026-10520), Ivanti Security Advisory (hub.ivanti.com), CISA KEV, Rapid7, eSentire, Help Net Security, watchTowr Labs

So unterstützt Sie Argos Security

Für genau diese Schwachstelle ausgewählt – nicht für jede.

  • LAUFENDE LEISTUNG

    Cyber Defense Center →

    Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Auffällig im SOC/CDC: POST-Zugriffe auf /mics/api/v2/sentry/mics-config/handleMessage, unerwartete Root-Prozesse oder Shell-Aufrufe des Sentry-Dienstkontos, sowie neue ausgehende Verbindungen vom Gateway. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.

  • LAUFENDE LEISTUNG

    Vulnerability Management →

    Ein Fix steht bereit. Entscheidend ist, ob Sie alle betroffenen Systeme kennen und den Patchstand belegen können – auch gegenüber einer Aufsicht.

  • LAUFENDE LEISTUNG

    Managed XDR – Extended Detection and Response →

    Wenn eine Ausnutzung erst nach dem Einstieg sichtbar wird, entscheidet die Korrelation über Endpunkt, Netzwerk und Identität.

Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.