[TLP:CLEAR] Ivanti opravuje 3 zranitelnosti, z toho 1 aktivně zneužívanou

Ivanti opravuje 3 zranitelnosti v produktech Ivanti Sentry [1] a Ivanti Endpoint Manager Mobile [2]. Zranitelnost CVE-2026-10520 byla na základě důkazů o aktivním zneužívání zařazena do katalogu známých zneužívaných zranitelností (KEV) agentury CISA [3]. Produkty a jejich opravené verze: Ivanti Sentry - 10.5.2, 10.6.2, 10.7.1 [1] Ivanti Endpoint Manager Mobile - 12.9.0.1, 12.8.0.3, 12.7.0.2 [2]

Ivanti Sentry - RCE (CVE-2026-10520)
CVSS 10.0 (Critical)

Neautentizovanému vzdálenému útočníkovi je kvůli zranitelnosti typu OS Command Injection v Ivanti Sentry umožněno spustit libovolný kód s oprávněními root [1].

Zranitelnost se nachází v produktu:

  • Ivanti Sentry; <=10.5.1; <=10.6.1; <=10.7.0

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Více informací:

  • CVE-2026-10520 na cve.org, NVD
  • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 9. 6. 2026.

Ivanti Sentry - authentication bypass (CVE-2026-10523)
CVSS 10.0 (Critical)

Neautentizovanému vzdálenému útočníkovi je v Ivanti Sentry umožněno vytvořit libovolné administrátorské účty a získat plný administrátorský přístup [1].

Zranitelnost se nachází v produktu:

  • Ivanti Sentry; <=10.5.1; <=10.6.1; <=10.7.0

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Více informací:

Zranitelnost byla veřejně oznámena 9. 6. 2026.

Ivanti Endpoint Manager Mobile - arbitrary command execution (CVE-2026-10727)
CVSS 7.2 (High)

Autentizovanému vzdálenému útočníkovi je kvůli zranitelnosti typu OS Command Injection v Ivanti EPMM umožněno spustit libovolné příkazy s oprávněními root [2].

Zranitelnost se nachází v produktu:

  • Ivanti Endpoint Manager Mobile; <=12.9.0; <=12.8.0.2; <=12.7.0.1

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Více informací:

  • CVE-2026-10727 na cve.org, NVD
  • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 9. 6. 2026.

Za CESNET, z.s.p.o. Michaela Jarošová dne 15. 6. 2026.

CESNET, z.s.p.o. Logo