Skip to content
OpenAdvisories
Critical 1 exploited CVE NCSC-2026-0180 2 CVEs

Kwetsbaarheden verholpen in Ivanti Sentry

Published Jun 9, 2026 · Updated Jun 11, 2026 · Revision 3 · nl

Vendor: ivanti Product: Sentry

Summary

Ivanti heeft twee kwetsbaarheden verholpen in Sentry.

Details

Interpretaties
De kwetsbaarheid met kenmerk CVE-2026-10520, waarvan Ivanti een CVSS-score van 10 heeft toegekend, kan een ongeauthenticeerde kwaadwillende op afstand in staat stellen willekeurige code uitvoeren met root rechten. De kwetsbaarheid met kenmerk CVE-2026-10523, die Ivanti een CVSS score van 9.9, heeft gegeven, kan door een ongeauthenticeerde kwaadwillende op afstand worden misbruikt om administratieve accounts aan te maken.

Misbruik van deze kwetsbaarheden is mogelijk, maar de randvoorwaarden die nodig zijn om deze kwetsbaarheden op afstand uit te buiten, vereisen dat een managementpoort aan het internet is ontsloten. Deze randvoorwaarden zijn niet aanwezig in standaardimplementaties van Ivanti Sentry.

De kwetsbaarheden hebben Ivanti bereikt via responsible disclosure. Momenteel vindt er, voor zover bekend, geen actief misbruik van deze kwetsbaarheden plaats en is er geen publieke PoC code beschikbaar. Het NCSC verwacht echter dat dit op korte termijn zal veranderen.

Oplossingen
Ivanti heeft updates uitgebracht om de kwetsbaarheden te verhelpen. Zie voor meer informatie de referenties.

Dreigingsinformatie
Er is een gedetailleerde blogpost gepubliceerd waarin de kwetsbaarheden in detail worden uitgelegd. De publicatie van deze blogpost vergroot de kans op misbruik. Zie de blog van Watchtwr: https://labs.watchtowr.com/more-evidence-that-words-dont-mean-what-we-thought-they-meant-ivanti-sentry-pre-auth-os-command-injection-cve-2026-10520/

Ook is PoC code beschikbaar: https://github.com/watchtowrlabs/watchTowr-vs-Ivanti-Sentry-RCE-CVE-2026-10520-CVE-2026-10523

Vulnerabilities 2

  • Critical 10.0
    CVE-2026-10520 Exploited Public exploit Scanner template EPSS 100%

    An OS Command Injection vulnerability in Ivanti Sentry before the R10.5.2, R10.6.2 and R10.7.1 versions allows a remote…

    ivanti Sentry Network devices
    KEV Jun 11, 2026
  • Critical 9.9
    CVE-2026-10523 Public exploit EPSS 54%

    An Authentication Bypass vulnerability (CWE-288) in Ivanti Sentry before the R10.5.2, R10.6.2 and R10.7.1 versions allo…

    ivanti Sentry Network devices

Revision history

  1. #1.0.2

    PoC code publiek beschikbaar en aanpassing aanvalspad.

  2. #1.0.1

    Er is een gedetailleerde blogpost gepubliceerd waarin de kwetsbaarheden in detail worden uitgelegd. Ook is inmiddels bekend dat de Ivanti Sentry via de Ivanti EPMM bereikt kan worden. De publicatie van deze blogpost vergroot de kans op misbruik.

  3. #1.0.0

    Initiele versie

References

  • Reference
    https://hub.ivanti.com/s/article/Security-Advisory-Ivanti-Sentry-CVE-2026-10520-CVE-2026-10523?language=en_US