CVSS 10.0. Não autenticado. Execução remota de código como root. Em menos de 24 horas após a publicação de um PoC, instâncias já estavam comprometidas com backdoor. O CVE-2026-10520 no Ivanti Sentry é o cenário mais grave possível para um appliance de perímetro, e a terceira vez que esse produto aparece no KEV da CISA. Na Tech86, vemos isso como mais um caso de um padrão que se repete: produto gateway crítico, disclosure minimizado pelo vendor, e abuso rápido em produção.
O bug: command injection com CVSS máximo
O CVE-2026-10520 é uma vulnerabilidade de command injection no Ivanti Sentry. O vetor é direto: um POST para /mics/api/v2/sentry/mics-config/handleMessage permite execução arbitrária de comandos como root. Nenhuma autenticação é necessária. O CVSS 10.0 reflete a combinação mais perigosa possível, acesso não autenticado, sem interação do usuário, com controle total do sistema.
Sozinho, já seria crítico. Mas existe o CVE-2026-10523 (CVSS 9.9): um bypass de autenticação que permite a criação de contas administrativas arbitrárias. Os dois CVEs formam uma cadeia completa de comprometimento, RCE como root para acesso inicial, seguido de persistência via conta admin criada pelo atacante. Quem explora os dois não apenas entra: fica.
A timeline: do patch ao backdoor em 24 horas
A sequência de eventos é reveladora. Em 9 de junho, segundo a advisory da Ivanti, a empresa publicou patches para as versões R10.5.2, R10.6.2 e R10.7.1, afirmando que "não tem conhecimento de clientes sendo explorados." Em 10 de junho, segundo a WatchTowr, um PoC completo foi publicado no GitHub. No mesmo dia, segundo a Shadowserver, scans identificaram pelo menos 19 instâncias vulneráveis, com pelo menos 2 já com backdoor instalado. Ainda em 10 de junho, segundo a Defused, atacantes lançaram exploits contra honeypots sem fingerprinting prévio, o cenário já estava mapeado.
Em 11 de junho, segundo a CISA, o CVE-2026-10520 foi adicionado ao KEV com prazo de remediação de 3 dias. Esta parece ser a primeira aplicação do BOD 26-04, que estabelece prazos mais curtos para vulnerabilidades críticas. Em 12 de junho, segundo a advisory atualizada da Ivanti, a empresa reconheceu a listagem no KEV, mas atribuiu a exploração a "tentativas contra honeypots" e não reconheceu comprometimento de clientes.
A mensagem é clara: a janela entre disclosure técnico e exploração em massa é medida em horas. Alegar que não há conhecimento de exploração não significa que não há exploração, significa que não se detectou ainda.
O padrão: 35 vezes no KEV
Este não é um caso isolado. Segundo o catálogo KEV da CISA, esta é a 35ª vulnerabilidade da Ivanti listada. Desses 35 CVEs, 12 foram vinculados a ransomware, segundo dados do KEV. O Sentry especificamente já apareceu no KEV duas vezes antes, CVE-2023-38035 e CVE-2020-15505, segundo o catálogo KEV da CISA. Esta é a terceira vez.
O padrão é consistente: produto gateway crítico, disclosure com "não temos conhecimento de exploração," e abuso rápido em produção assim que detalhes técnicos emergem. A Ivanti já repetiu esse padrão 35 vezes no KEV. Quando um vendor aparece no catálogo com essa frequência, o problema não é pontual, é sistêmico.
A resposta: KEV com prazo de 3 dias
A CISA manteve o CVE no KEV com prazo de 3 dias, independentemente do argumento da Ivanti de que instâncias gerenciadas com mTLS via EPMM estariam protegidas e de que a exploração requer acesso à porta de gerenciamento 8443. O BOD 26-04, aplicado pela primeira vez neste caso, estabelece que vulnerabilidades críticas em produtos de perímetro exigem resposta em dias, não semanas.
Segundo a Shadowserver, instâncias não patcheadas provavelmente já estão comprometidas. A frase é direta e a matemática é simples: se o PoC está público, se a exploração é trivial, e se o produto está exposto à internet, o comprometimento é uma questão de tempo, e esse tempo é curto.
A lição: não espere confirmação do vendor
A Ivanti argumenta que a exploração requer acesso à porta 8443 e que instâncias com mTLS estão protegidas. A CISA manteve o KEV. A Shadowserver detectou backdoors em produção. A Defused observou ataques sem fingerprinting prévio. A evidência é convergente: se você tem Ivanti Sentry exposto à internet, o patch é imediato.
Na Tech86, defendemos que a resposta a vulnerabilidades críticas em appliances de perímetro não pode depender da confirmação do vendor. O inventário de ativos, a aplicação imediata de patches e a restrição de superfície de ataque são controles que funcionam independentemente do que o vendor afirma. Quando o produto é um gateway e o CVSS é 10.0, cada hora sem patch é uma hora de exposição real.