Ivanti ha rilasciato il 9-10 giugno 2026 le versioni corrette 10.5.2, 10.6.2 e 10.7.1 per Sentry, il gateway di sicurezza perimetrale che intercetta il traffico dei dispositivi mobili verso le risorse aziendali. La correzione chiude CVE-2026-10520, una vulnerabilità di OS command injection con punteggio CVSS 10.0 — il massimo della scala — che consente esecuzione remota di codice come root senza alcuna autenticazione. La novità che altera il calcolo del rischio non è solo la gravità, ma la pubblicazione contemporanea dell'analisi tecnica dettagliata da parte dei ricercatori WatchTowr, che hanno ricostruito il meccanismo dell'attacco analizzando la differenza tra il codice vulnerabile e quello patchato.
- CVE-2026-10520 ha CVSS 10.0: OS command injection che permette RCE come root su Ivanti Sentry senza autenticazione, con vettore di rete e nessuna interazione utente richiesta.
- Il difetto risiede in un'API esposta sotto Apache Tomcat che accetta comandi di configurazione MICS da fonti non autenticate su Internet; l'input dell'attaccante viene parsato ed eseguito dal backend con privilegi di root.
- Le versioni interessate sono 10.5.1, 10.6.1, 10.7.0 e precedenti; le patch 10.5.2, 10.6.2, 10.7.1 rimpiazzano l'input controllabile con un comando hard-coded e aggiornano le regole di configurazione Apache per bloccare l'accesso non autenticato.
- I ricercatori WatchTowr hanno pubblicato dettagli tecnici e uno script per la rilevazione; Ivanti dichiara di non avere evidenza di sfruttamento attivo al momento della divulgazione, ma il prodotto è tipicamente esposto a Internet e la storia del vendor include vulnerabilità rapidamente weaponizzate.
Il meccanismo: da API Tomcat esposta a shell come root
Secondo l'analisi di WatchTowr ricostruita da The Register, il percorso di attacco è lineare. Ivanti Sentry esegue un'istanza Apache Tomcat con un endpoint API accessibile dall'esterno. Questo endpoint accetta messaggi interpretati come comandi di configurazione del sistema MICS (MobileIron Configuration Service). L'API non richiede autenticazione: qualsiasi attaccante in grado di raggiungere la porta esposta può inviare una stringa appositamente costruita. Il backend la parsifica come comando legittimo di configurazione e lo esegue con i privilegi di root del sistema operativo sottostante.
La natura del difetto è OS command injection, classificata come CWE-78 nel record NVD. Il vettore di attacco è completamente remoto (AV:N), richiede bassa complessità (AC:L), nessun privilegio (PR:N), nessuna interazione utente (UI:N), con scope modificato (S:C) per l'impatto su risorse oltre lo scope di sicurezza del componente vulnerabile, e impatto alto su confidenzialità, integrità e disponibilità (C:H/I:H/A:H). L'NVD assegna il vettore CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H.
La correzione apportata da Ivanti, sempre secondo l'analisi del diff, opera su due livelli. Primo: il codice vulnerabile che accettava l'input dell'attaccante come comando MICS è stato modificato per utilizzare un comando hard-coded, eliminando la superficie di injection. Secondo: le regole di configurazione di Apache sono state aggiornate per impedire l'accesso non autenticato all'endpoint interessato.
La seconda falla: CVE-2026-10523 e l'escalation di privilegi
La stessa release di patch corregge CVE-2026-10523, con CVSS 9.9, classificata come authentication bypass con CWE-288. Questa vulnerabilità consente a un attaccante remoto non autenticato di creare account amministrativi sul sistema. SecurityWeek riporta esplicitamente entrambi i punteggi: 10.0 per la command injection e 9.9 per il bypass. Le versioni interessate e quelle corrette sono identiche per entrambe le CVE. Il dossier non documenta se le due vulnerabilità possano essere concatenate in un unico scenario di attacco, né la fonte lo afferma testualmente.
HelpNetSecurity sottolinea che il compromesso di Sentry espone credenziali, token di sessione, abilita l'impersonificazione degli utenti e l'accesso ad applicazioni aziendali e email interne. Ivanti posiziona Sentry come gateway di sicurezza tra i dispositivi mobili al di fuori della rete corporativa e i sistemi interni: la sua collocazione tipica è su perimetro Internet, il che rende la superficie di attacco immediatamente raggiungibile.
"Remote, unauthenticated RCE with root privileges is about as bad as it gets" — The Register
Il contesto storico: Ivanti e la velocità di weaponizzazione
La storia recente del vendor rende la divulgazione di WatchTowr particolarmente rilevante per il calcolo del rischio. BleepingComputer e HelpNetSecurity citano entrambi CVE-2023-38035, un'altra vulnerabilità critica in Sentry, e le falla EPMM (Endpoint Manager Mobile) divulgate nel gennaio 2026. HelpNetSecurity aggiunge il riferimento storico a CVE-2023-35078, zero-day in Ivanti EPMM sfruttato contro il governo norvegese, con conseguente risposta CISA. Questo pattern non stabilisce che CVE-2026-10520 sia già sfruttato — Ivanti dichiara il contrario — ma documenta che le vulnerabilità critiche nel portafoglio del vendor tendono a transitare rapidamente da advisory a exploit in-the-wild.
La dichiarazione ufficiale di Ivanti, riportata da BleepingComputer, è precisa: "We are not aware of any customers being exploited by these vulnerabilities at the time of disclosure. Currently, there is no known public exploitation of this vulnerability that could be used to provide a list of indicators of compromise". La formulazione copre lo stato al momento della divulgazione; non esclude sfruttamenti successivi né fornisce indicatori di compromesso.
Cosa fare adesso
Quattro azioni prioritarie emergono dalla convergenza delle fonti:
- Aggiornare immediatamente a Sentry 10.5.2, 10.6.2 o 10.7.1 in base alla linea di versione in uso; l'NVD conferma che queste sono le release che correggono entrambe le CVE.
- Verificare la raggiungibilità Internet delle istanze Sentry: il prodotto è progettato come gateway perimetrale, ma la mappatura della superficie esposta è il passo preliminare per priorizzare l'ordine di patching.
- Utilizzare lo script di rilevazione pubblicato da WatchTowr per verificare se l'ambiente è vulnerabile; HelpNetSecurity ne conferma la disponibilità per i difensori.
- Monitorare la catalogazione CISA KEV: la gravità massima e il profilo del vendor rendono probabile l'inclusione, ma al momento della pubblicazione il dossier non documenta un'aggiunta ufficiale.
Perché il diff della patch cambia il calcolo del rischio
L'elemento che distingue questa divulgazione è la velocità con cui l'analisi forense del diff è diventata pubblica. WatchTowr non ha solo identificato la vulnerabilità: ha ricostruito il percorso esatto dell'injection, la struttura del comando MICS, la ragione per cui l'esecuzione avviene come root, e il meccanismo preciso della correzione. Questo livello di dettaglio, pubblicato contestualmente alle patch, accelera la capacità offensiva di chiunque abbia intenzione di sviluppare un exploit, ma fornisce ai difensori uno strumento di rilevamento specifico.
La tensione tra queste due forze — esposizione tecnica e difesa — è il cuore del calcolo operativo. Le patch sono disponibili da meno di 48 ore. La finestra di esposizione per le istanze non aggiornate è compressa tra la facilità tecnica dell'attacco (un singolo messaggio craftato a un endpoint Tomcat) e la probabilità che l'intelligence tecnica pubblica venga convertita in codice funzionante. Il numero esatto di istanze Sentry esposte a Internet non è documentato nel dossier; la valutazione del rischio specifica per organizzazione richiede un inventario interno.
La lezione del caso non è solo nella criticità della singola CVE, ma nel modo in cui la responsabile divulgazione e l'analisi forense pubblica stanno ridisegnando il tempo tra patch disponibile e exploit probabile. Per i perimeter gateway come Sentry, dove la funzione stessa del prodotto richiede esposizione, la latenza di patching non è un indicatore di maturità operativa: è una variabile diretta della probabilità di compromesso.
Fonti
- https://www.helpnetsecurity.com/2026/06/10/ivanti-sentry-cve-2026-10520-cve-2026-10523/
- https://www.bleepingcomputer.com/news/security/new-max-severity-ivanti-sentry-flaw-allows-code-execution-as-root/
- https://www.securityweek.com/critical-vulnerabilities-patched-in-fortinet-ivanti-products/
- https://www.theregister.com/patches/2026/06/10/ivanti-urges-sentry-users-to-patch-two-critical-bugs/5253428
- https://nvd.nist.gov/vuln/detail/CVE-2026-10520
- https://nvd.nist.gov/vuln/detail/CVE-2026-10523
- https://www.helpnetsecurity.com/2023/07/25/cve-2023-35078/
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.
Fonti
- https://thehackernews.com/2026/06/unc3753-used-vishing-and-physical.html
- https://www.securityweek.com/servicenow-patches-vulnerability-exploited-against-some-customers/
- https://nvd.nist.gov/vuln/detail/CVE-2026-25089