CVE-2026-10520

Ivanti Sentry — Ivanti Sentry OS Command Injection Vulnerability

criticalAktiv ausgenutztPoCEPSS 100%
Severity
critical
Priority-Score
239.95
KEV-Status
Aktiv ausgenutzt
Exploit-Reife
aktiv ausgenutzt (KEV)
CVSS v3
10.0
CVSS v4
—
EPSS-Perzentil
99.9 %
Kritisch — Modell sagt sehr hohe Ausnutzungs-Wahrscheinlichkeit in den nächsten 30 Tagen.
Veröffentlicht
2026-06-09 16:16 UTC
CWE
CWE-78

Weakness-Klassen (CWE)

  • CWE-78Base

    Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection')

    The product constructs all or part of an OS command using externally-influenced input from an upstream component, but it does not neutralize or incorrectly neutralizes special elements that could modify the intended OS command when it is sent to a downstream component.

    cwe.mitre.org →

Re-Analyse & Statuswechsel

Chronologie der NVD-Audit-Events für diese CVE — Reanalyses, CVSS-Updates, CPE-Diffs.

  1. CVE Translated2026-07-23 08:10 UTC· nvd@nist.gov
    • Translation: Title: Sentry de Ivanti, Description: Una vulnerabilidad de inyección de comandos del sistema operativo en Ivanti Sentry anterior a las versiones R10.5.2, R10.6.2 y R10.7.1 permite a un usuario remoto no autenticado lograr ejecución remota de código a nivel de root.
  2. Initial Analysis2026-06-12 12:42 UTC· nvd@nist.gov
    • CPE Configuration: OR *cpe:2.3:a:ivanti:standalone_sentry:*:*:*:*:*:*:*:* versions up to (excluding) 10.5.2 *cpe:2.3:a:ivanti:standalone_sentry:*:*:*:*:*:*:*:* versions from (including) 10.6.0 up to (excluding) 10.6.2 *cpe:2.3:a:ivanti:standalone_sentry:10.7.0:*:*:*:*:*:*:*
    • Reference Type: CISA-ADP: https://github.com/watchtowrlabs/watchTowr-vs-Ivanti-Sentry-RCE-CVE-2026-10520-CVE-2026-10523 Types: Third Party Advisory
    • Reference Type: ivanti: https://hub.ivanti.com/s/article/Security-Advisory-Ivanti-Sentry-CVE-2026-10520-CVE-2026-10523?language=en_US Types: Patch, Vendor Advisory
    • Reference Type: CISA-ADP: https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-10520 Types: US Government Resource

Beschreibung

Eine Befehls-Injektion-Schwachstelle in Ivanti Sentry vor den Versionen R10.5.2, R10.6.2 und R10.7.1 ermöglicht einem nicht authentifizierten Angreifer, Remote-Code-Ausführung auf Root-Ebene zu erreichen.

Quelle: CISA_KEV

Öffentliche Exploit-Referenzen

Öffentliche Proof-of-Concepts und Detection-Templates für diese Schwachstelle. Die Reife reicht von gemeldeten PoCs über funktionsfähige Detection-Skripte bis hin zu vollständig waffenfähigen Exploit-Modulen. NEOSEC mirrort den Code intern für forensische Analysen; nach außen verlinken wir ausschließlich auf die Original-Quellen.

Quellen & Referenzen

Verknüpfte Empfehlungen