CVE-2026-10520

Ivanti Sentry anterior a las versiones R10.5.2, R10.6.2 y R10.7.1 contiene una falla de inyección de comandos del sistema operativo accesible sin autenticación. Entrada controlada por el usuario proveniente de una solicitud remota se incorpora a un comando del sistema sin la debida sanitización, así que una solicitud elaborada permite a un atacante no autenticado ejecutar comandos arbitrarios en el dispositivo. Los comandos corren a nivel root, lo que significa que una sola solicitud convierte la accesibilidad de red en control total del dispositivo.

Sentry media y asegura el tráfico de dispositivos móviles hacia recursos de back-end, ubicándose en el borde de la red en un rol de guardián de confianza, que es precisamente la clase de dispositivo que repetidas divulgaciones de Ivanti han mostrado ser un objetivo predilecto de intrusión y persistencia. Una inyección de comandos previa a la autenticación, a nivel root y con CVSS 10 en tal dispositivo le da al atacante un punto de apoyo duradero dentro del perímetro. Actualice a la versión corregida R10.5.2, R10.6.2 o R10.7.1 sin demora, asegure que las interfaces administrativa y de gestión no estén expuestas a redes no confiables y, dado el historial de explotación activa de los dispositivos Ivanti, inspeccione los dispositivos afectados en busca de artefactos de ejecución de comandos y señales de persistencia en lugar de confiar solo en el parche.