ZDI

🏆 Contexte Source : BleepingComputer, publié le 18 mai 2026. La compétition Pwn2Own Berlin 2026 s’est tenue du 14 au 16 mai 2026 dans le cadre de la conférence OffensiveCon, organisée par la Zero Day Initiative (ZDI) de TrendMicro. Elle ciblait les technologies d’entreprise et l’intelligence artificielle. 💰 Résultats globaux 47 zero-days exploités au total 1,298,250 $ de récompenses distribuées Jour 1 : 523,000 $ pour 24 zero-days Jour 2 : 385,750 $ pour 15 zero-days Jour 3 : 389,500 $ pour 8 zero-days 🥇 Classement DEVCORE — 50,5 points, 505,000 $ (1er) STARLabs SG — 25 points, 242,500 $ Out Of Bounds — 12,75 points, 95,750 $ 🔓 Exploits notables Orange Tsai (DEVCORE) : 200,000 $ pour une chaîne de 3 bugs permettant une RCE avec privilèges SYSTEM sur Microsoft Exchange ; 175,000 $ supplémentaires pour un sandbox escape sur Microsoft Edge via 4 bugs logiques Valentina Palmiotti (IBM X-Force) : 70,000 $ pour un root sur Red Hat Linux for Workstations et un zero-day NVIDIA Container Toolkit Windows 11 : hacké à plusieurs reprises (LPE) Red Hat Enterprise Linux for Workstations : compromis plusieurs fois VMware ESXi : exploité via un bug de corruption mémoire Agents de codage IA : zero-days démontrés le jour 2 Microsoft SharePoint et Microsoft Exchange : ciblés par DEVCORE 📋 Catégories ciblées Navigateurs web, applications d’entreprise, élévation de privilèges locale, serveurs, inférence locale, environnements cloud-native/conteneurs, virtualisation, LLM ⏳ Divulgation responsable Conformément aux règles ZDI, les vendeurs disposent de 90 jours pour publier des correctifs avant la divulgation publique des vulnérabilités. ...

Selon Truesec, Zero Day Initiative (ZDI) a publié la divulgation de 13 vulnérabilités affectant Ivanti Endpoint Manager, sans CVE assignés et sans correctifs disponibles à ce stade. • Vue d’ensemble: ZDI signale 13 vulnérabilités dont 12 vulnérabilités d’exécution de code à distance (RCE) nécessitant une authentification — majoritairement des injections SQL — et 1 vulnérabilité d’élévation locale de privilèges (ZDI-25-947). L’absence de patch oblige les organisations à recourir à des contrôles compensatoires (restrictions d’accès, liste blanche IP, principe du moindre privilège, surveillance accrue des requêtes SQL et de l’activité des comptes de service). ⚠️ ...