CVSS 10.0. Não autenticado. Execução remota de código como root. Em menos de 24 horas após a publicação de um PoC, instâncias já estavam comprometidas com backdoor. O CVE-2026-10520 no Ivanti Sentry é o cenário mais grave possível para um appliance de perímetro — e a terceira vez que esse produto aparece no KEV da CISA. Na Tech86, vemos isso como mais um caso de um padrão que se repete: produto gateway crítico, disclosure minimizado pelo vendor, e abuso rápido em produção.
O bug: command injection com CVSS máximo
O CVE-2026-10520 é uma vulnerabilidade de command injection no Ivanti Sentry. O vetor é direto: um POST para /mics/api/v2/sentry/mics-config/handleMessage permite execução arbitrária de comandos como root. Nenhuma autenticação é necessária. O CVSS 10.0 reflete a combinação mais perigosa possível — acesso não autenticado, sem interação do usuário, com controle total do sistema.
Sozinho, já seria crítico. Mas existe o CVE-2026-10523 (CVSS 9.9): um bypass de autenticação que permite a criação de contas administrativas arbitrárias. Os dois CVEs formam uma cadeia completa de comprometimento — RCE como root para acesso inicial, seguido de persistência via conta admin criada pelo atacante. Quem explora os dois não apenas entra: fica.
A timeline: do patch ao backdoor em 24 horas
A sequência de eventos é reveladora. Em 9 de junho, segundo a advisory da Ivanti, a empresa publicou patches para as versões R10.5.2, R10.6.2 e R10.7.1, afirmando que "não tem conhecimento de clientes sendo explorados." Em 10 de junho, segundo a WatchTowr, um PoC completo foi publicado no GitHub. No mesmo dia, segundo a Shadowserver, scans identificaram pelo menos 19 instâncias vulneráveis, com pelo menos 2 já com backdoor instalado. Ainda em 10 de junho, segundo a Defused, atacantes lançaram exploits contra honeypots sem fingerprinting prévio — o cenário já estava mapeado.
Em 11 de junho, segundo a CISA, o CVE-2026-10520 foi adicionado ao KEV com prazo de remediação de 3 dias. Esta parece ser a primeira aplicação do BOD 26-04, que estabelece prazos mais curtos para vulnerabilidades críticas. Em 12 de junho, segundo a advisory atualizada da Ivanti, a empresa reconheceu a listagem no KEV, mas atribuiu a exploração a "tentativas contra honeypots" e não reconheceu comprometimento de clientes.
A mensagem é clara: a janela entre disclosure técnico e exploração em massa é medida em horas. Alegar que não há conhecimento de exploração não significa que não há exploração — significa que não se detectou ainda.
O padrão: 35 vezes no KEV
Este não é um caso isolado. Segundo o catálogo KEV da CISA, esta é a 35ª vulnerabilidade da Ivanti listada. Desses 35 CVEs, 12 foram vinculados a ransomware, segundo dados do KEV. O Sentry especificamente já apareceu no KEV duas vezes antes — CVE-2023-38035 e CVE-2020-15505, segundo o catálogo KEV da CISA. Esta é a terceira vez.
O padrão é consistente: produto gateway crítico, disclosure com "não temos conhecimento de exploração," e abuso rápido em produção assim que detalhes técnicos emergem. A Ivanti já repetiu esse padrão 35 vezes no KEV. Quando um vendor aparece no catálogo com essa frequência, o problema não é pontual — é sistêmico.
A resposta: KEV com prazo de 3 dias
A CISA manteve o CVE no KEV com prazo de 3 dias, independentemente do argumento da Ivanti de que instâncias gerenciadas com mTLS via EPMM estariam protegidas e de que a exploração requer acesso à porta de gerenciamento 8443. O BOD 26-04, aplicado pela primeira vez neste caso, estabelece que vulnerabilidades críticas em produtos de perímetro exigem resposta em dias, não semanas.
Segundo a Shadowserver, instâncias não patcheadas provavelmente já estão comprometidas. A frase é direta e a matemática é simples: se o PoC está público, se a exploração é trivial, e se o produto está exposto à internet, o comprometimento é uma questão de tempo — e esse tempo é curto.
A lição: não espere confirmação do vendor
A Ivanti argumenta que a exploração requer acesso à porta 8443 e que instâncias com mTLS estão protegidas. A CISA manteve o KEV. A Shadowserver detectou backdoors em produção. A Defused observou ataques sem fingerprinting prévio. A evidência é convergente: se você tem Ivanti Sentry exposto à internet, o patch é imediato.
Na Tech86, defendemos que a resposta a vulnerabilidades críticas em appliances de perímetro não pode depender da confirmação do vendor. O inventário de ativos, a aplicação imediata de patches e a restrição de superfície de ataque são controles que funcionam independentemente do que o vendor afirma. Quando o produto é um gateway e o CVSS é 10.0, cada hora sem patch é uma hora de exposição real.