Une vulnérabilité critique, CVE-2026-10090, affecte Red Hat Advanced Cluster Management (ACM) for Kubernetes et permet à un utilisateur disposant de simples privilèges de modification sur un espace de noms de s’élever jusqu’aux privilèges d’administrateur du cluster. Avec un score CVSS de 9,9, cette faille pourrait compromettre l’ensemble des clusters gérés depuis un hub ACM. Red Hat recommande aux organisations concernées de surveiller les ressources Channel et Subscription, de limiter les privilèges accordés aux utilisateurs et de renforcer les contrôles d’admission en attendant la publication d’un correctif officiel.

CVE-2026-20685 est une vulnérabilité de traversée de chemin affectant Private Cloud Compute d’Apple. Découverte par Sentry Security, elle permettait dans l’environnement de recherche d’Apple de démontrer une écriture de fichiers avec les privilèges root pendant le démarrage d’un nœud et la redirection de certaines données de télémétrie. Apple a corrigé le problème dans PCC 5E290.3, avec un score CVSS 6,5. La recherche a été menée exclusivement dans le VRE d’Apple et aucune compromission de l’infrastructure PCC de production n’a été rapportée.

Le groupe de ransomware Gunra exploite des vulnérabilités connues de produits Fortinet pour obtenir un accès initial aux réseaux d’entreprises. Les attaques peuvent ensuite impliquer le contournement de la MFA, le vol d’identifiants, le mouvement latéral, l’exfiltration de données et enfin le chiffrement des systèmes. Les vulnérabilités CVE-2024-55591 et CVE-2025-24472 figurent dans le catalogue KEV de la CISA et doivent être traitées en priorité par les organisations concernées.

Levi Strauss & Co. a révélé une cyberattaque reposant sur l’ingénierie sociale. Trois ordinateurs d’employés ont été compromis et des informations confidentielles de l’entreprise ont été exfiltrées. Levi Strauss affirme avoir contenu l’incident et ne disposer d’aucune indication montrant que les données de ses consommateurs ont été affectées. L’affaire souligne une nouvelle fois l’importance de la protection des identités, de l’authentification multifacteur et de la sensibilisation des employés face aux techniques de manipulation utilisées par les cybercriminels.

Une vulnérabilité critique affectant le cœur de WordPress permet à un attaquant de partir d’une faille XSS non authentifiée pour atteindre, dans certaines conditions, l’exécution de code à distance. Baptisée XSS2Shell et référencée CVE-2026-64638, elle affiche un score CVSS de 8,9.