CVSS 10.0. Sin autenticación. Ejecución remota de código como root. En menos de 24 horas tras la publicación de un PoC, ya había instancias comprometidas con backdoor. El CVE-2026-10520 en Ivanti Sentry es el escenario más grave posible para un appliance de perímetro, y la tercera vez que este producto aparece en el KEV de CISA. En Tech86 lo vemos como un caso más de un patrón que se repite: producto gateway crítico, disclosure minimizado por el vendor y abuso rápido en producción.
El bug: command injection con CVSS máximo
El CVE-2026-10520 es una vulnerabilidad de command injection en Ivanti Sentry. El vector es directo: un POST a /mics/api/v2/sentry/mics-config/handleMessage permite la ejecución arbitraria de comandos como root. No se necesita ninguna autenticación. El CVSS 10.0 refleja la combinación más peligrosa posible: acceso no autenticado, sin interacción del usuario, con control total del sistema.
Por sí solo, ya sería crítico. Pero existe el CVE-2026-10523 (CVSS 9.9): un bypass de autenticación que permite la creación de cuentas administrativas arbitrarias. Los dos CVE forman una cadena completa de compromiso: RCE como root para el acceso inicial, seguido de persistencia vía cuenta admin creada por el atacante. Quien explota ambos no solo entra: se queda.
La timeline: del parche al backdoor en 24 horas
La secuencia de eventos es reveladora. El 9 de junio, según el advisory de Ivanti, la empresa publicó parches para las versiones R10.5.2, R10.6.2 y R10.7.1, afirmando que "no tiene conocimiento de que se estén explotando clientes". El 10 de junio, según WatchTowr, se publicó un PoC completo en GitHub. El mismo día, según Shadowserver, escaneos identificaron al menos 19 instancias vulnerables, con al menos 2 que ya tenían backdoor instalado. Todavía el 10 de junio, según Defused, atacantes lanzaron exploits contra honeypots sin fingerprinting previo: el escenario ya estaba mapeado.
El 11 de junio, según CISA, el CVE-2026-10520 fue añadido al KEV con un plazo de remediación de 3 días. Esta parece ser la primera aplicación del BOD 26-04, que establece plazos más cortos para vulnerabilidades críticas. El 12 de junio, según el advisory actualizado de Ivanti, la empresa reconoció la inclusión en el KEV, pero atribuyó la explotación a "intentos contra honeypots" y no reconoció el compromiso de clientes.
El mensaje es claro: la ventana entre el disclosure técnico y la explotación masiva se mide en horas. Alegar que no hay conocimiento de explotación no significa que no haya explotación: significa que aún no se detectó.
El patrón: 35 veces en el KEV
Este no es un caso aislado. Según el catálogo KEV de CISA, esta es la vulnerabilidad número 35 de Ivanti en la lista. De esos 35 CVE, 12 fueron vinculados a ransomware, según datos del KEV. El Sentry específicamente ya había aparecido en el KEV dos veces antes, CVE-2023-38035 y CVE-2020-15505, según el catálogo KEV de CISA. Esta es la tercera vez.
El patrón es consistente: producto gateway crítico, disclosure con "no tenemos conocimiento de explotación" y abuso rápido en producción apenas emergen los detalles técnicos. Ivanti ya repitió este patrón 35 veces en el KEV. Cuando un vendor aparece en el catálogo con esa frecuencia, el problema no es puntual: es sistémico.
La respuesta: KEV con plazo de 3 días
CISA mantuvo el CVE en el KEV con un plazo de 3 días, independientemente del argumento de Ivanti de que las instancias gestionadas con mTLS vía EPMM estarían protegidas y de que la explotación requiere acceso al puerto de administración 8443. El BOD 26-04, aplicado por primera vez en este caso, establece que las vulnerabilidades críticas en productos de perímetro exigen respuesta en días, no semanas.
Según Shadowserver, las instancias sin parche probablemente ya están comprometidas. La frase es directa y la matemática es simple: si el PoC está público, si la explotación es trivial y si el producto está expuesto a internet, el compromiso es cuestión de tiempo, y ese tiempo es corto.
La lección: no esperes la confirmación del vendor
Ivanti argumenta que la explotación requiere acceso al puerto 8443 y que las instancias con mTLS están protegidas. CISA mantuvo el KEV. Shadowserver detectó backdoors en producción. Defused observó ataques sin fingerprinting previo. La evidencia es convergente: si tienes Ivanti Sentry expuesto a internet, el parche es inmediato.
En Tech86 defendemos que la respuesta a vulnerabilidades críticas en appliances de perímetro no puede depender de la confirmación del vendor. El inventario de activos, la aplicación inmediata de parches y la restricción de la superficie de ataque son controles que funcionan independientemente de lo que el vendor afirme. Cuando el producto es un gateway y el CVSS es 10.0, cada hora sin parche es una hora de exposición real.