CVE-2026-10523: Kritisk fejl i Ivanti Standalone Sentry
Kritisk fejl i Ivanti Standalone Sentry lader angribere oprette administratorkonti uden gyldigt login. Opdatér straks.
Hvad er det?
CVE-2026-10523 er en fejl i adgangskontrol (CWE-288, Authentication Bypass) i Ivanti Standalone Sentry, en gateway der styrer sikker adgang for mobile enheder til virksomhedens mailserver og andre backend-systemer. Fejlen betyder, at en ekstern part kan omgå den normale loginproces og selv oprette nye administratorkonti på systemet. Med en administratorkonto får angriberen fuld kontrol over Sentry-serveren og de forbindelser, den håndterer mellem mobile enheder og jeres interne systemer.
Hvem rammer det?
Sårbarheden rammer Ivanti Standalone Sentry i version 10.5.2 og ældre, version 10.6.0 til og med 10.6.1, samt version 10.7.0. Systemet bruges typisk af virksomheder og kommuner, der administrerer mobile enheder centralt og skal give medarbejdere sikker adgang til mail og apps udefra. Er I i tvivl om, hvilken version I kører, kan det ses i administrationskonsollen for Sentry.
Hvad kan ske?
En angriber, der får administratoradgang til Sentry, kan ændre serverens konfiguration, aflæse eller omdirigere trafik mellem mobile enheder og jeres mailserver, og bruge serveren som springbræt videre ind i netværket. For en dansk virksomhed betyder det risiko for, at fortrolige mails, kontakter og andre data fra medarbejdernes telefoner bliver tilgængelige for en udenforstående, samt risiko for, at Sentry-serveren bruges som indgang til resten af it-miljøet.
Hvor alvorligt er det?
CVSS-scoren er 9,9 ud af 10, hvilket er kritisk. Angrebet sker over netværket, kræver ikke, at nogen medarbejder klikker på noget eller foretager en handling, og har lav teknisk kompleksitet. NVD’s beskrivelse angiver, at angriberen ikke behøver et gyldigt login på forhånd, selv om selve CVSS-vektoren formelt angiver et lavt rettighedsniveau. I praksis betyder det, at sårbarheden er let at udnytte for enhver, der kan nå Sentry-serveren over internettet.
Hvad gør jeg nu?
Følg disse trin for at lukke hullet og begrænse skaden, hvis I allerede er ramt.
- Opdatér Ivanti Standalone Sentry til version R10.5.2, R10.6.2 eller R10.7.1, afhængigt af hvilken sporlinje I kører.
- Gennemgå listen over administratorkonti på Sentry-serveren, og fjern konti, I ikke selv kan genkende eller forklare.
- Kontrollér, om Sentry-serveren er direkte tilgængelig fra internettet, og begræns adgangen til nødvendige IP-adresser, hvis muligt.
- Se logfiler for uventet administratoraktivitet i perioden op til opdateringen.
- Er Sentry-serveren kritisk for driften, eller mangler I ressourcer til selv at gennemføre opdateringen sikkert, bør I hente hjælp fra en it-sikkerhedsleverandør til både opdatering og efterfølgende kontrol.
Opdatér inden for 48 timer
Vi anbefaler, at opdateringen til R10.5.2, R10.6.2 eller R10.7.1 gennemføres hurtigst muligt, da sårbarheden kræver hverken brugerinteraktion eller kompleks teknik at udnytte. Ivanti-produkter har historisk været et populært mål for angribere, så vi fraråder at vente til en almindelig opdateringscyklus. Det er kun forsvarligt at afvente, hvis Sentry-serveren allerede er fuldstændig isoleret fra internettet og eksterne netværk.
Tidslinje
Konkrete eksempler
MDM-server hos en dansk kommune
En kommune bruger Ivanti Standalone Sentry til at give medarbejdere sikker mailadgang på deres mobiltelefoner. En angriber udnytter sårbarheden til at oprette en administratorkonto på Sentry-serveren og får dermed adgang til trafikken mellem telefoner og kommunens mailserver. Herfra kan angriberen læse fortrolig kommunikation og undersøge muligheden for at komme videre ind i det interne netværk.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi er ramt?
Tjek versionsnummeret i administrationskonsollen for Ivanti Standalone Sentry. Kører I 10.5.2 eller ældre, 10.6.0 til 10.6.1, eller 10.7.0, er I ramt af sårbarheden.
Kan vi vente med opdateringen til weekenden?
Det kan I gøre, hvis Sentry-serveren ikke er tilgængelig fra internettet i mellemtiden. Er serveren eksponeret udefra, bør opdateringen have førsteprioritet, da fejlen er nem at udnytte uden login.
Skal vi anmelde noget, hvis vi bliver ramt?
Hvis en angriber har fået administratoradgang og der er risiko for, at persondata er blevet tilgået, skal I vurdere jeres oplysningspligt efter databeskyttelsesreglerne og eventuelt anmelde til Datatilsynet.
Er sårbarheden allerede blevet udnyttet i angreb?
Der er på nuværende tidspunkt ikke offentligt kendte tilfælde af aktiv udnyttelse, men da Ivanti-produkter tidligere har været mål for angreb, bør sårbarheden behandles som en reel risiko.
Kan vi bruge en firewall eller adgangsbegrænsning som midlertidig løsning?
Ja, indtil opdateringen er gennemført kan I begrænse adgangen til Sentry-administrationen til betroede IP-adresser. Det fjerner ikke fejlen, men reducerer hvem der kan udnytte den.
Ramte produkter
Ivanti: Standalone Sentry
< 10.5.2
Ivanti: Standalone Sentry
≥ 10.6.0, < 10.6.2
Ivanti: Standalone Sentry
10.7.0
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
An Authentication Bypass vulnerability (CWE-288) in Ivanti Sentry before the R10.5.2, R10.6.2 and R10.7.1 versions allows a remote unauthenticated attacker to create arbitrary administrative accounts and obtain full administrative access
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.