CVE-2026-10520

O Ivanti Sentry anterior às versões R10.5.2, R10.6.2 e R10.7.1 contém uma falha de injeção de comandos de SO alcançável sem autenticação. Entrada controlada pelo usuário a partir de uma requisição remota é incorporada a um comando de sistema sem a devida sanitização, de modo que uma requisição elaborada permite a um atacante não autenticado executar comandos arbitrários no appliance. Os comandos rodam em nível de root, o que significa que uma única requisição converte a acessibilidade de rede em controle total do dispositivo.

O Sentry intermedia e protege o tráfego de dispositivos móveis para recursos de back-end, ficando na borda da rede em um papel confiável de guardião, que é precisamente a classe de appliance que repetidas divulgações da Ivanti mostraram ser um alvo favorito para intrusão e persistência. Uma injeção de comandos pré-autenticação, em nível de root e CVSS 10 em tal dispositivo dá ao atacante um ponto de apoio duradouro dentro do perímetro. Atualize para a versão corrigida R10.5.2, R10.6.2 ou R10.7.1 sem demora, garanta que as interfaces administrativa e de gerenciamento não estejam expostas a redes não confiáveis e, dado o histórico de exploração ativa dos appliances Ivanti, inspecione os dispositivos afetados em busca de artefatos de execução de comandos e sinais de persistência, em vez de confiar apenas na correção.