Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-78

CVE-2026-10520

Ivanti Sentry'de kimlik doğrulamasız root yetkisiyle uzaktan kod çalıştırma

Ivanti Sentry

Kritik 10,0 CVSS 3.1
Yayımlandı
Güncellendi
7 Eki 2026
Açık yaşı
141 gün
Kaydı açan
ivanti
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 11 Haz 2026 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 14 Haz 2026.

Yönetici özeti

Kurumsal mobil erişim trafiğini yöneten Ivanti Sentry cihazlarında, dışarıdan herhangi birinin giriş yapmadan cihazı tamamen ele geçirmesine imkân tanıyan kritik bir açık var ve bu açık şu anda saldırılarda kullanılıyor. Etkilenen sürümler ivedilikle güncellenmeli veya üretici talimatlarına göre önlem alınmalıdır. Gecikme, kurum ağının ve verilerinin ciddi risk altında kalması anlamına gelir.

ÖzetTürkçe

Ivanti Sentry'de işletim sistemi komut enjeksiyonu (CWE-78) zafiyeti bulunuyor. R10.5.2, R10.6.2 ve R10.7.1 sürümlerinden önceki Sentry sürümleri etkileniyor. Uzaktaki, kimlik doğrulaması yapmamış bir saldırgan bu açığı kullanarak sistemde root yetkisiyle kod çalıştırabiliyor. Zafiyet CISA tarafından aktif olarak istismar edilen açıklar listesine (KEV) eklenmiştir.

Saldırgan ne yapabilir?

Saldırgan, kimlik bilgisi gerekmeden cihaz üzerinde root düzeyinde komut çalıştırarak sistemin tam kontrolünü ele geçirebilir. Bu durum veri sızdırılmasına, cihazın değiştirilmesine ve iç ağa yayılmaya yol açabilir.

Kaynaktaki açıklama (İngilizce)

An OS Command Injection vulnerability in Ivanti Sentry before the R10.5.2, R10.6.2 and R10.7.1 versions allows a remote unauthenticated user to achieve root-level remote code execution

CISA'nın önerdiği eylem (İngilizce)

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

Ne yapmalı?

  1. Ivanti Sentry'yi R10.5.2, R10.6.2 veya R10.7.1 sürümüne (kullandığınız sürüm koluna uygun olana) ya da daha yeni bir sürüme güncelleyin. Genel öneri
  2. Güncelleme hemen yapılamıyorsa üretici talimatlarındaki önlemleri uygulayın ve Sentry'nin internete açık olup olmadığını değerlendirerek erişimi kısıtlayın. CISA
  3. CISA'nın BOD 26-04 ve adli bilişim (forensics triage) gereklilikleri doğrultusunda cihazı olası ele geçirilme belirtileri açısından inceleyin. CISA
  4. Önlemler mevcut değilse ürünün kullanımını durdurun. CISA

Ek önlemler

  • Sentry yönetim ve hizmet arayüzlerini mümkün olduğunca internetten erişilemez hale getirin veya yalnızca gerekli IP adreslerine açın. Genel öneri
  • Cihaz üzerindeki beklenmedik süreçleri, yeni kullanıcı hesaplarını ve olağandışı giden bağlantıları günlüklerden izleyin. Genel öneri
  • Sentry cihazının bulunduğu ağ segmentini iç ağdan ayırarak olası bir ele geçirmenin yayılmasını sınırlayın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Ivanti Sentry R10.5.2 Etkilenmiyor –
R10.6.2 Etkilenmiyor –
R10.7.1 Etkilenmiyor –

Kaynaklar5 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.