🔥 Gemini Pro 170 zł -43% •CapCut Pro 460 zł -23% do niedzieli Zobacz →
Przejdź do treści
Luki i patche

Krytyczne podatności w Ivanti Sentry – CERT Polska ostrzega przed zdalnym przejęciem

CERT Polska informuje o dwóch krytycznych podatnościach w Ivanti Sentry, które pozwalają zdalnemu atakującemu na wykonanie kodu z uprawnieniami root. Administratorzy powinni niezwłocznie zaktualizować oprogramowanie.

3 min read
An abstract composition of a dark server rack with a single glowing red node, surrounded by translucent chains that are breaking apart, symbolizing a critical security vulnerability being patched.

Zespół CERT Polska opublikował ostrzeżenie o dwóch krytycznych podatnościach w rozwiązaniu Ivanti Sentry, które umożliwiają zdalnemu, nieuwierzytelnionemu atakującemu przejęcie pełnej kontroli nad podatnym systemem. Luki oznaczone jako CVE-2026-10520 i CVE-2026-10523 ujawniono 11 czerwca 2026 roku, a producent udostępnił już poprawki. Administratorzy powinni jak najszybciej zaktualizować oprogramowanie.

Co wiadomo o podatnościach?

Jak informuje CERT Polska w swoim komunikacie, pierwsza z podatności, CVE-2026-10520, otrzymała maksymalną ocenę CVSS 10.0. Wynika z możliwości wstrzyknięcia poleceń systemowych, co pozwala zdalnemu, nieuwierzytelnionemu atakującemu na wykonanie kodu z uprawnieniami root. Oznacza to, że osoba atakująca może przejąć pełną kontrolę nad serwerem bez konieczności posiadania jakichkolwiek danych logowania.

Google · preferowane źródłaCzytaj nas częściej. Dodaj sekuret.pl do preferowanych źródeł w Google →

Druga podatność, CVE-2026-10523 (CVSS 9.9), umożliwia obejście uwierzytelniania. Dzięki niej zdalny, nieuwierzytelniony atakujący może utworzyć konta z uprawnieniami administratora i uzyskać pełny dostęp administracyjny do systemu. W praktyce obie luki mogą być wykorzystane łącznie, co jeszcze bardziej zwiększa ryzyko.

Które wersje są zagrożone?

Podatności dotyczą konkretnych wersji Ivanti Sentry. Według informacji producenta luki występują w wersjach: 10.5.1 i starszych, 10.6.1 i starszych oraz 10.7.0 i starszych. Oznacza to, że wszystkie instalacje starsze niż wskazane przez producenta są narażone na atak.

CERT Polska oraz producent rekomendują niezwłoczną aktualizację oprogramowania do wersji pozbawionych podatności: 10.5.2, 10.6.2 lub 10.7.1. Szczegółowe wytyczne dotyczące aktualizacji znajdują się w komunikacie producenta.

Jakie są potencjalne skutki ataku?

Ivanti Sentry to rozwiązanie stosowane w środowiskach korporacyjnych do zarządzania dostępem i bezpieczeństwem sieci. Wykorzystanie podatności może prowadzić do całkowitego przejęcia serwera, kradzieży danych, instalacji backdoorów lub wykorzystania systemu jako punktu wyjścia do dalszych ataków w sieci wewnętrznej. Ze względu na charakter podatności – brak wymaganego uwierzytelnienia – atak może być przeprowadzony zdalnie, bez konieczności wcześniejszego dostępu do sieci.

Podatności te nie są teoretyczne. Producent i CERT Polska wydali pilne ostrzeżenia, co sugeruje, że ryzyko jest realne. Administratorzy powinni traktować tę sytuację priorytetowo.

Co powinni zrobić administratorzy?

Najważniejszym krokiem jest niezwłoczna aktualizacja oprogramowania Ivanti Sentry do wersji wskazanych przez producenta. Proces aktualizacji powinien zostać przeprowadzony zgodnie z oficjalną dokumentacją, dostępną w komunikacie producenta.

Przed przystąpieniem do aktualizacji warto wykonać kopię zapasową konfiguracji i danych. Po zainstalowaniu poprawek należy zweryfikować, czy system działa prawidłowo. Administratorzy powinni również przejrzeć logi systemowe pod kątem nietypowej aktywności, która mogłaby świadczyć o próbie wykorzystania podatności.

Dodatkowo, jeśli to możliwe, warto ograniczyć dostęp do interfejsu administracyjnego Ivanti Sentry tylko do zaufanych adresów IP lub sieci VPN. Choć nie zastąpi to aktualizacji, może utrudnić atak dla przypadków opóźnienia we wdrożeniu poprawek.

Podsumowanie

Krytyczne podatności w Ivanti Sentry to poważne zagrożenie dla firm korzystających z tego rozwiązania. CERT Polska i producent dostarczyli jasne instrukcje – administratorzy mają dostępne poprawki i wiedzą, które wersje są bezpieczne. Kluczowe jest teraz działanie. Opóźnienie aktualizacji może skutkować przejęciem systemu przez atakującego. Warto śledzić dalsze komunikaty producenta oraz ostrzeżenia CERT Polska, ponieważ mogą pojawić się dodatkowe informacje dotyczące bezpieczeństwa.

#aktualizacja #CERT Polska #CVE-2026-10520 #CVE-2026-10523 #Ivanti Sentry #krytyczna podatność
Redakcja sekuret.pl

Redakcja sekuret.pl

AUTHOR
All articles

Read next

Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. A photorealistic close-up of a middle-aged woman sitting at a home desk in a Polish apartment, looking worried while staring at a laptop screen. Soft natural daylight from a window, slight film grain, shallow depth of field. The image conveys tension and personal risk, not a generic tech illustration. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Luki i patche

5 milionów haseł w minutę. Czy twoje hasło jest bezpieczne?

28 lipca, 2026 4 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. A photorealistic stock-style photo of a person in a home office, looking concerned at a laptop screen. The laptop screen is deliberately blurred, but the user's hand hovers over the keyboard. The background shows a messy desk with a coffee mug and a plant. Natural daylight, shallow depth of field, slightly grainy, 16:9 crop. No text or visible interface. The mood is tense, as if the person just realized something is wrong. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Luki i patche

Jeden link wystarczył, by przejąć agenta AI w firmie. Nowa luka w ChatGPT

25 lipca, 2026 3 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. A photorealistic medium shot of a person in a dimly lit server room, standing in front of a rack of servers, looking at the equipment with a worried expression, dramatic lighting, shallow depth of field, 16:9 aspect ratio, high contrast, no text or logos visible, style of Getty Images reportage photography. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Luki i patche

Redis ma krytyczne luki zero-day. Co to oznacza dla twoich danych?

24 lipca, 2026 3 min read