Faille de gravité maximale dans Ivanti Sentry exploitée pour exécuter du code en root (CVE-2026-10520)

Le 10 juin 2026, Ivanti — l'éditeur américain (Utah) de solutions informatiques et de sécurité d'entreprise — a divulgué et corrigé une paire de vulnérabilités critiques dans Ivanti Sentry, la passerelle (anciennement MobileIron Sentry) qui assure l'accès entre les appareils mobiles et les systèmes internes de l'entreprise. La faille principale, CVE-2026-10520, atteint le score CVSS maximal de 10,0 : un attaquant distant et non authentifié peut exécuter des commandes système arbitraires en tant que root.

Ce qui s'est passé

CVE-2026-10520 est une faille d'injection de commandes système dans la classe ConfigServiceController de l'application web de Sentry. Les chercheurs l'ont reliée au point d'accès non authentifié /mics/api/v2/sentry/mics-config/handleMessage, qui interprète un paramètre message fourni par l'attaquant comme une commande de configuration interne et finit par l'exécuter en root. Une faille associée, CVE-2026-10523 (CVSS 9,9), est un contournement d'authentification permettant à un attaquant de créer des comptes administrateurs arbitraires sur l'appliance. Toutes deux affectent Sentry 10.5.1, 10.6.1, 10.7.0 et versions antérieures, et sont corrigées dans les versions 10.5.2, 10.6.2 et 10.7.1.

Ivanti a indiqué ne pas avoir connaissance d'exploitation active au moment de la divulgation, mais des attaques réelles ont rapidement suivi la circulation d'un code d'exploitation public. La Shadowserver Foundation a signalé une montée des tentatives d'exploitation et des passerelles compromises exposées sur Internet, et le 11 juin, la CISA a ajouté CVE-2026-10520 à son catalogue des vulnérabilités activement exploitées, ordonnant aux agences civiles fédérales de corriger sous trois jours — avant le 14 juin 2026 — au titre de la directive opérationnelle contraignante 26-04.

Pourquoi c'est important

Sentry se trouve en bordure de réseau, où elle termine les connexions des appareils mobiles gérés ; un accès non authentifié à root sur l'appliance offre donc à un attaquant une tête de pont dotée d'une visibilité profonde sur l'infrastructure de mobilité et d'identité d'une organisation. Les produits de périphérie d'Ivanti sont une cible récurrente, et cet épisode reproduit le schéma désormais familier où un bogue corrigé mais trivialement exploitable est militarisé quelques heures après la publication d'une preuve de concept — réduisant à des jours, et non plus des semaines, le délai laissé aux défenseurs qui tardent.