何が起きたのか
2026年6月、Ivantiは旧MobileIron SentryであるセキュリティゲートウェイIvanti SentryのOSコマンドインジェクション脆弱性CVE-2026-10520（CVSS 10、最高評価）を修正しました。修正版はR10.5.2、R10.6.2、R10.7.1です。
パッチ公開時、Ivantiは悪用の証拠はないとしていました。しかし翌日、Shadowserverは公開PoCに基づく多数の悪用試行を観測し、公開されている多くのゲートウェイにすでにバックドアが仕掛けられていると報告。「まだパッチを当てていなければ、侵害されている可能性が高い」と警告しました。
木曜日（6月11日）、CISAはこの脆弱性をKEVカタログに追加し、連邦機関に3日以内の修正を命じました。前日に出されたばかりの新指令BOD 26-04（BOD 19-02と22-01を置き換え、インターネット公開・悪用確認・自動化可能・システム制御につながる脆弱性を優先）が初めて適用された脆弱性です。
Ivanti側の見解
IvantiはBleepingComputerに対し、CISAの判断はハニーポットへの攻撃試行に基づくもので、実際のリスクは大幅に低いと説明しました。悪用には管理ポート8443へのアクセスが必要で、このポートは決してインターネットに公開すべきではないためです。Shadowserverが確認した公開管理画面は50件強ですが、実数はさらに多い可能性があるとしています。
対策
- R10.5.2、R10.6.2、R10.7.1にアップデートする
- ポート8443をインターネットから遮断する。管理画面は社内ネットワークかVPNからのみ利用する
- 未修正のまま公開していた場合は侵害を前提に調査し、認証情報を更新し、再構築も検討する
- Check Pointのファイアウォールを使っている場合、このCVE向けのIPS防御（CPAI-2026-6697）がある
背景
BleepingComputerによると、CISAはこれまでに攻撃に悪用されたIvantiの脆弱性を35件指定しており、うち12件はランサムウェア集団に使われました。境界機器は依然として格好の標的です。
出典
- BleepingComputer（2026年6月12日、6月15日更新）：https://www.bleepingcomputer.com/news/security/cisa-gives-feds-3-days-to-patch-ivanti-flaw-exploited-in-attacks/
- Check Point、IPS防御 CPAI-2026-6697：https://advisories.checkpoint.com/defense/advisories/public/2026/cpai-2026-6697.html/
管理画面がインターネットに公開されていないか確認しませんか。KGA ITでは無料チェックを行っています：kga-it.com