Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] Ivanti opravuje 3 zraniteľnosti, z toho 1 aktívne zneužívanú

Ivanti opravuje 3 zraniteľnosti v produktoch Ivanti Sentry [1] a Ivanti Endpoint Manager Mobile [2]. Zraniteľnosť CVE-2026-10520 bola na základe dôkazov o aktívnom zneužívaní zaradená do katalógu známych zneužívaných zraniteľností (KEV) agentúry CISA [3]. Produkty a ich opravené verzie: Ivanti Sentry - 10.5.2, 10.6.2, 10.7.1 [1] Ivanti Endpoint Manager Mobile - 12.9.0.1, 12.8.0.3, 12.7.0.2 [2]

Ivanti Sentry - RCE (CVE-2026-10520)
CVSS 10.0 (Critical)

Neautentizovanému vzdialenému útočníkovi je kvôli zraniteľnosti typu OS Command Injection v Ivanti Sentry umožnené spustiť ľubovoľný kód s oprávneniami root [1].

Zraniteľnosť sa nachádza v produkte:

  • Ivanti Sentry; <=10.5.1; <=10.6.1; <=10.7.0

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

  • CVE-2026-10520 na cve.org, NVD
  • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 9. 6. 2026.

Ivanti Sentry - obídenie autentizácie (CVE-2026-10523)
CVSS 10.0 (Critical)

Neautentizovanému vzdialenému útočníkovi je v Ivanti Sentry umožnené vytvoriť ľubovoľné administrátorské účty a získať plný administrátorský prístup [1].

Zraniteľnosť sa nachádza v produkte:

  • Ivanti Sentry; <=10.5.1; <=10.6.1; <=10.7.0

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 9. 6. 2026.

Ivanti Endpoint Manager Mobile - spustenie ľubovoľných príkazov (CVE-2026-10727)
CVSS 7.2 (High)

Autentizovanému vzdialenému útočníkovi je kvôli zraniteľnosti typu OS Command Injection v Ivanti EPMM umožnené spustiť ľubovoľné príkazy s oprávneniami root [2].

Zraniteľnosť sa nachádza v produkte:

  • Ivanti Endpoint Manager Mobile; <=12.9.0; <=12.8.0.2; <=12.7.0.1

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

  • CVE-2026-10727 na cve.org, NVD
  • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 9. 6. 2026.

Za CESNET, z.s.p.o. Michaela Jarošová dňa 15. 6. 2026.

CESNET, z.s.p.o. Logo