Провідні розробники рішень для корпоративного мережевого захисту, компанії Ivanti та Fortinet, одночасно випустили пакети екстрених оновлень для закриття критичних вразливостей у своїх флагманських продуктах. Найбільш серйозний дефект виявлено у захищеному мобільному шлюзі Ivanti Sentry, де прогалина CVE-2026-10520 отримала максимальну оцінку за шкалою небезпеки – 10.0 балів із 10 можливих. Цей недолік класифікується як уразливість ін’єкції команд операційної системи, що дозволяє стороннім особам змушувати сервер виконувати сторонні директиви. Одночасно Ivanti усунула діру CVE-2026-10523, яка дозволяла обходити автентифікацію та створювати приховані облікові записи адміністраторів. У цей же час компанія Fortinet опублікувала три офіційні бюлетені, які описують критичні помилки аналогічного типу в інтерфейсах систем ізольованого аналізу загроз FortiSandbox, FortiSandbox Cloud та FortiSandbox PaaS.

Технічний механізм експлуатації уразливості в Ivanti Sentry дозволяв віддаленим хакерам без введення облікових даних надсилати спеціально сформовані HTTP-запити до пристрою, що призводило до миттєвого виконання довільного коду з найвищими системними привілеями суперкористувача. У випадку з продуктами Fortinet, помилка крилася в коді веб-інтерфейсу керування, де некоректна нейтралізація спеціальних керуючих символів дозволяла неавторизованим атакуючим впроваджувати шкідливі команди через стандартні веб-запити. Наслідки не усунення цих дефектів несуть загрозу повного перехоплення контролю над корпоративними мережевими шлюзами. Оскільки ці пристрої контролюють вхідний трафік організацій, їх компрометація дозволяє хакерам перехоплювати паролі користувачів, проводити глибинну розвідку внутрішніх мереж та відключати захисні бар’єри. Обидва виробники підтвердили готовність патчів (зокрема, Fortinet випустила версії FortiSandbox 5.0.6 та 4.4.9) та зафіксували відсутність публічних даних про використання цих багів до моменту релізу.