Kerngegevens
- Leverancier
- Ivanti
- Product
- Ivanti Sentry
- Soort software
- VPN
- Getroffen versies
- Ivanti Sentry tot 10.5.2, vanaf 10.6.0 tot 10.6.2, 10.7.0
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Ivanti Sentry 10.5.2
- Ivanti Sentry 10.6.2
- Ivanti Sentry 10.7.1
- CVE gepubliceerd
- 9 juni 2026
- Op de KEV-lijst sinds
- 11 juni 2026
- Gepubliceerd op LekkenRadar
- 8 oktober 2026
- Laatst gewijzigd bij NVD
- 7 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Ivanti Sentry zit een fout waarbij een aanvaller eigen systeemcommando's kan laten uitvoeren (OS command injection). Dat kan vanaf het internet, zonder in te loggen. De aanvaller krijgt daarmee volledige controle over het apparaat met root-rechten. Het lek wordt al actief misbruikt en staat op de lijst van bekende misbruikte lekken van het Amerikaanse CISA.
Wie loopt risico?
Je loopt risico als je Ivanti Sentry gebruikt in een versie vóór 10.5.2, in de 10.6-reeks vóór 10.6.2, of versie 10.7.0. Vooral systemen die bereikbaar zijn via het netwerk of internet zijn kwetsbaar, omdat de aanvaller geen inloggegevens nodig heeft. Omdat Sentry vaak als VPN-achtige tussenschakel dient, kan een overname ook gevolgen hebben voor andere systemen in jouw netwerk.
Wat moet je doen?
Controleer of je Ivanti Sentry gebruikt
Ga na of je organisatie Ivanti Sentry (standalone) draait en welke versie dat is. Kijk ook naar systemen die weinig worden beheerd.
Werk Sentry meteen bij
Installeer een opgeloste versie: 10.5.2, 10.6.2 of 10.7.1, afhankelijk van de reeks die je nu gebruikt. Volg hierbij het advies van Ivanti.
Beperk de bereikbaarheid
Kun je nog niet direct bijwerken, beperk dan de toegang tot Sentry vanaf internet en het netwerk tot wat strikt nodig is.
Controleer op tekenen van misbruik
Het lek wordt actief misbruikt. Kijk in logbestanden naar verdachte activiteit en volg hiervoor de aanwijzingen in het advies van Ivanti.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het gaat om een OS command injection (CWE-78) in Ivanti Sentry. Invoer van een externe gebruiker wordt niet goed gefilterd voordat die in een systeemopdracht terechtkomt. Een aanvaller kan hierdoor via het netwerk, zonder authenticatie en zonder interactie van een gebruiker, willekeurige commando's uitvoeren met root-rechten. De CVSS-vector (AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H) geeft aan dat de aanval eenvoudig is en dat de gevolgen verder reiken dan het kwetsbare onderdeel zelf. De EPSS-score van 0,999 wijst op een zeer grote kans op misbruik.
CVSS-vector (versie 3.1, basisscore 10,0, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-78 · Onjuiste neutralisatie van speciale elementen in een besturingssysteemcommando (OS-commando-injectie)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 99,9%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 11 juni 2026
- Deadline van CISA
- 14 juni 2026
- Gebruikt door ransomwaregroepen
- Niet bekend