Sicherheitsalert: Ivanti Sentry konfrontiert zwei kritische Schwachstellen, die Remote-Code Ausführung und administrativen Zugriff ohne Authentifizierung erlauben

Ivanti hat dringende Patches für sein Sentry-Safe-Gateway nach der Entdeckung von zwei kritischen Sicherheitslücken veröffentlicht: eine Eingabe von Befehlen in das Betriebssystem, die Remote-Code-Ausführung mit Root-Privilegien und eine Authentisierung Auslassung ermöglicht, die die Remote-Erstellung von Verwaltungskonten ermöglicht. Wenn Ihre Organisation Sentry (früher MobileIron Sentry) verwendet, sollten Sie diese Mitteilung als Sicherheitspriorität behandeln und das Update so schnell wie möglich auf die korrigierten Versionen planen.

Die Versagen werden öffentlich als CVE-2026-10520(OS-Befehlsinjektion / CER mit Root-Privilegien) und CVE-2026-10523(Authentifizierungs-Bypass, der administrativen Zugriff bieten kann). Obwohl Ivanti berichtet, dass es keine Beweise für eine aktive Ausbeutung zum Zeitpunkt der Offenlegung hat, jüngste Geschichte zeigt, dass Schwachstellen von Ivanti Produkten bei gezielten Angriffen und in Ransomware-Ketten ausgenutzt wurden, so ist das reale Risiko für Unternehmensumgebungen hoch, wenn die Geräte nicht gebohrt bleiben.

Ivanti hat Korrekturupdates in den Filialen R10.5.2, R10.6.2 und R10.7.1 veröffentlicht; die sofortige Strategie sollte sein, alle Sentry-Instanzen zu erfinden, öffentlich zugängliche Systeme und Plan-Patch-Einsätze mit früheren Tests in kontrollierten Umgebungen priorisieren. Die Anwendung des Patches ist die effektivste Minderung Wenn aber eine sofortige Aktualisierung nicht möglich ist, werden Ausgleichskontrollen durchgeführt: das Gateway vom öffentlichen Zugang zu isolieren, den administrativen Zugang zu sicheren Verwaltungsnetzen einzuschränken und nicht wesentliche Ports und Dienste zu blockieren.

Neben dem Patch empfehle ich Ihnen, die administrativen Berechtigungen zu ändern, ungewöhnliche Konten und Schlüssel zu überprüfen und wiederherzustellen, so dass Multifaktor-Authentifizierung für den Administrationszugriff und die Kontrolle des Zugangs zur Verwaltungskonsole ermöglicht wird. Wenn Sie erkennen, dass die Applikationsverwaltung aus dem Internet zugänglich ist, behandeln Sie das als Priorität für temporäre Vermittlung: Zugriff durch Zugriffskontrolllisten (ACL), VPNs oder Jump-Hosts begrenzen und fehlgeschlagene Authentifizierungsversuche überwachen.

Für die Erkennung und Reaktion, erwarten Sie nicht offizielle Indikatoren, wenn Ivanti nicht veröffentlicht IOCs: suchen Sie nach Beweisen des Verhaltens charakteristisch für diese Schwachstellen, wie die Schaffung unerwarteter administrativer Konten, cron Jobs oder neue Dienste, Shells mit Root-Privilegien außerhalb der Wartungsfenster, Prozesse oder binäre unbekannt im System und ausgehende verdächtige Verbindungen aus dem Gateway initiiert. Sammeln Sie Zugriffsdaten, Syslog und Netzwerkerfassung und bewahren Sie sie für forensische Analyse auf bei abnormaler Aktivität.

Organisationen mit EDR / IDS / IPS-Fähigkeiten sollten Regeln bereitstellen, um Änderungen in High-Privilege-Benutzern, Systemprozessbefehl Ausführung und kritische binäre Modifikation zu alarmieren. Wenn Sie Snapshots oder Konfigurationssicherungen haben, erstellen Sie Kopien, bevor Sie Patches anwenden, um die Wiederherstellung zu erleichtern. In föderaler und kritischer Umgebung, siehe auch die Management-Richtlinien für ausgebeutete Schwachstellen: Die Liste der aktiv ausgebeuteten Schwachstellen von CISA ist ein guter Bezugspunkt in der Prioritätsreaktionspolitik ( https: / / www.cisa.gov / Wissens-exploited-vulnerabilities-catalog)

Ivanti unterhält ein öffentliches Repository mit seinen Sicherheitshinweisen und Patches; Überprüfen Sie die offizielle Dokumentation des Unternehmens zur Aktualisierung von Anweisungen und Versionshinweisen vor der Anwendung von Änderungen ( https: / / www.ivanti.com / support / security-advices) Folgen Sie den Richtlinien des Herstellers für Rollback-Verfahren und Post-Patch-Tests, um kritische Dienste zu unterbrechen.

Über die rechtzeitige Reparatur hinaus unterstreicht dieser Vorfall die Notwendigkeit, die Asset Governance und den Patch-Lebenszyklus zu verbessern: eine Bestandsaufnahme aktuell zu halten, die Expositionsfläche (off-band management, segmentation) zu reduzieren, regelmäßige Angriffssimulationsübungen durchzuführen und Notfallreaktionsprozesse zu überprüfen. Die Verbindungstüren, die zwischen mobilen Geräten und Unternehmenssystemen vermittelt werden, sind hohe Folgenvektoren: Ihr Engagement kann das interne Netzwerk öffnen und daher eine Präferenzbehandlung in Sicherheitsprogrammen verdienen.

Aufsummieren: Patches R10.5.2 / R10.6.2 / R10.7.1 so schnell wie möglich anwenden, die exponierten Anwendungen, Auditkonten und Verwaltungskonfigurationen vorübergehend isolieren und schützen und spezifische Erkennung von Verpflichtungsindikatoren im Zusammenhang mit neuer Administration, Befehlsausführung und Persistenz aktivieren. Durch die Geschwindigkeits- und Rückverfolgbarkeit wird das Risiko eines Eindringens, das zu einer Exfiltration oder Betriebsunterbrechung führt, erheblich verringert.