觀點 · 資訊分享

Ivanti Sentry 指令注入漏洞滿分 10 分，CISA 列入已遭利用清單並只給 3 天期限

CISA 在 6 月 11 日把 Ivanti Sentry 的 CVE-2026-10520 加入 KEV 清單，處理期限只有到 6 月 14 日。未驗證的遠端攻擊者可取得 root 層級的遠端程式碼執行，R10.5.2、R10.6.2、R10.7.1 已修補。

一句話看懂：Ivanti Sentry 的 CVE-2026-10520 讓不用登入的人就能取得 root 層級的遠端程式碼執行；CISA 在 6 月 11 日列入已遭利用清單，要求 6 月 14 日前處理。

Ivanti Sentry 漏洞遭利用資訊圖卡：免登入就能取得 root 層級的遠端執行，CISA 要求 6/14 前處理

先用白話講：指令注入是什麼？

想像一家餐廳的點餐機，客人在「備註」欄填寫特殊需求。正常情況，廚房只會照字面讀備註。但這台機器有個漏洞：如果備註裡寫的是一道「命令」，廚房竟然就照做了，而且是用老闆的權限在做。這就是指令注入。

這次的漏洞更嚴重：客人不用註冊會員、不用登入，就能做這件事，而且做出來的是「root 層級」，也就是整台設備最高的權限。

升級：依版本系列升到對應的修補版本，這是最直接的處理
限制暴露面：管理介面與設備不要直接暴露在網際網路，限制來源 IP
入侵檢查：已有遭利用的證據，若設備在修補前曾對外開放，建議檢查是否有不明的管理員帳號、異常的行程與對外連線；若發現異常，要把設備視為已被控制，並更換相關的密碼與憑證
CISA 的要求中提到鑑識篩查（Forensics Triage），細節請參考 CISA 的指引
官方資料沒有說明攻擊者是誰、如何利用，也沒有說兩個 Ivanti 漏洞是否被串在一起利用

同一份公告、兩天之內，兩個高嚴重度漏洞接著上了新聞，其中一個還被列入遭利用清單，這類邊界設備的更新優先順序，真的該排在最前面。我接觸的中小企業客戶多半沒有專職資安人員，常見的狀況是設備買了就放著，沒人知道它的版本。

如果你是幫客戶管 IT 的人，這週可以做兩件事：第一，盤點哪些設備對外開放，記下版本；第二，訂出更新的負責人與頻率。至於已被列入遭利用清單的漏洞，更新之外，別忘了檢查有沒有被入侵的跡象。

這跟前兩天的 Ivanti Sentry 漏洞有關嗎？

兩個漏洞出現在同一份 Ivanti 安全公告、受影響與修補版本相同：CVE-2026-10523 是驗證繞過，可建立管理員帳號；CVE-2026-10520 是指令注入，可取得 root 層級的遠端程式碼執行。兩者是否被串在一起攻擊，目前資料沒有說明。

為什麼 CISA 只給 3 天？

NVD 記載的 CISA 處理期限是 6 月 14 日，距離 6 月 11 日加入清單只有三天。官方的原因這裡沒有查到，一般來說，這代表風險很高、需要盡快處理。

升級之後就沒事了嗎？

不一定。官方說明已有遭利用的證據，若設備在修補前曾暴露在網際網路，建議同時檢查是否有異常的帳號、行程或對外連線；CISA 的要求也提到需要鑑識篩查，細節請看 CISA 的指引。

作者

接案做系統開發、網站與主機託管。觀點裡的文章都是我自己寫的,寫的是做專案時第一手遇到的事。