Niveau de menace CRITIQUE cette semaine. Onze vulnérabilités de score CVSS supérieur à 9.4 ont été publiées ou activement exploitées entre le 29 mai et le 4 juin 2026, dont quatre avec exploitation confirmée en environnement réel. La priorité absolue va à CVE-2026-41089 (Windows Netlogon, RCE non authentifiée sur les contrôleurs de domaine, alerte du gouvernement belge) et à CVE-2026-35616 (FortiClient EMS, exploité pour déployer l'infostealer EKZ). Patchez immédiatement les contrôleurs de domaine, les appliances Fortinet exposées, les serveurs Oracle ORDS (CVSS 10.0, RCE non authentifiée) et isolez toute instance ChromaDB exposée (CVSS 10.0). Les sites WordPress utilisant Burst Statistics, Kirki, ARMember ou WP Maps Pro doivent être mis à jour sous 24 h et audités pour la présence de comptes administrateurs frauduleux.
Vulnérabilité d'exécution de code à distance non authentifiée dans Oracle REST Data Services (composant Backend-as-a-Service). Un attaquant disposant d'un accès réseau via HTTPS peut prendre le contrôle total du serveur ORDS sans authentification. Un PoC public a été publié.
Injection de code pré-authentification dans le serveur API Python de ChromaDB. Un endpoint marqué comme authentifié permet d'injecter des paramètres de modèle avant la vérification d'authentification ; en pointant vers un dépôt Hugging Face malveillant avec trust_remote_code=true, l'attaquant force l'exécution de code à distance. Environ 73 % des instances exposées sont vulnérables.
Débordement de tampon sur la pile dans le service Windows Netlogon. Un attaquant non authentifié disposant d'un accès réseau à un contrôleur de domaine peut exécuter du code à distance au niveau SYSTEM via une requête RPC Netlogon spécialement conçue. Le Centre belge pour la cybersécurité (CCB) a émis une alerte d'exploitation active le 1er juin 2026.
Contrôle d'accès incorrect (CWE-284) permettant à un attaquant non authentifié d'exécuter du code via des requêtes contre l'API EMS. Les chercheurs d'Arctic Wolf ont observé le déploiement d'un voleur d'identifiants nommé EKZ, déguisé en mise à jour Fortinet légitime, via la modification des politiques VPN et l'exécution de scripts par fortitray.exe.
Use-after-free (CWE-416) dans l'analyse du corps BDAT d'Exim, exploitable à distance sans authentification. Déclenché par un close_notify TLS en milieu de corps pendant un transfert CHUNKING suivi d'un octet en clair, permettant l'écriture en mémoire libérée et potentiellement l'exécution de code arbitraire.
Contrôle d'accès incorrect (CWE-284) dans l'appliance d'identité FortiAuthenticator. Un attaquant non authentifié peut exécuter du code ou des commandes via des requêtes conçues. Une compromission permettrait de manipuler les politiques d'authentification ou d'émettre des jetons frauduleux.
Absence d'autorisation (CWE-862) dans l'interface web de FortiSandbox permettant à un attaquant non authentifié d'exécuter du code via des requêtes HTTP. Une appliance compromise pourrait supprimer la détection de malwares ou servir de point de pivot.
Contournement d'authentification (CWE-287) : la fonction is_mainwp_authenticated() interprète une erreur WP_Error comme une authentification réussie. Un attaquant non authentifié peut usurper n'importe quel administrateur via l'API REST et créer un compte administrateur. Exploitation active confirmée par Wordfence.
Prise de contrôle de compte via réinitialisation de mot de passe : le plugin accepte un nom d'utilisateur et un e-mail indépendamment sans vérifier leur correspondance. Un attaquant soumet le nom d'un administrateur avec sa propre adresse e-mail et reçoit le jeton de réinitialisation, lui donnant un accès administrateur complet.
Réinitialisation de mot de passe non sécurisée (CWE-287) : le plugin stocke une copie en clair de la clé de réinitialisation dans le champ meta arm_reset_password_key. Un attaquant ayant un accès à la base de données (via SQLi, sauvegarde compromise) peut extraire la clé et prendre le contrôle de n'importe quel compte, y compris administrateur. Chaînable avec CVE-2026-5073 (SQLi).
Élévation de privilèges permettant à un attaquant non authentifié de créer un compte WordPress disposant de permissions administratives. Des attaquants ont été observés créant des comptes administrateurs frauduleux sur les sites vulnérables.