บริษัท Microsoft แกะมัลแวร์ทำลายล้างบน Windows ชื่อ GigaWiper ที่รวมเครื่องมือทำลายเก่า 3 ตัวไว้เป็นแพลตฟอร์มเดียวให้ผู้โจมตีเลือกสั่งได้ ทั้งล้างดิสก์ทั้งลูก เขียนทับไดรฟ์ Windows และแรนซัมแวร์ปลอมที่ไม่เคยเก็บกุญแจ นอกจากนี้ยังแอบดูจอ อัดหน้าจอ และเปิด VNC ซ่อน โดยปลอมตัวเป็น OneDrive และส่งข้อมูลผ่าน RabbitMQ/Redis/MinIO ไฟล์ชุดเดียวกันถูก Binary Defense เรียกว่า BLUERABBIT และโยงกับกลุ่มอิหร่าน CyberAv3ngers ที่เชื่อมโยงกับ IRGC

บริษัท Sygnia เปิดเผยเหตุบุกรุก AWS ขนาดใหญ่ที่แฮ็กเกอร์ใช้ AI ช่วยยกระดับจากการเข้าถึงครั้งแรกสู่การยึดทั้งสภาพแวดล้อมภายในราว 72 ชั่วโมง โดยไม่ได้ใช้ช่องโหว่ใหม่ แต่อาศัยความเร็ว ขนาด และการทำงานขนานกันที่มนุษย์ทำเองไม่ได้ หลักฐานพบว่ามีการใช้ access key 4 ตัวจาก 4 บัญชีในวินาทีเดียวกันจาก IP เดียว และรันคำสั่ง SQL หลายร้อยคำสั่งข้ามหลายฐานข้อมูล เป้าหมายคือการรีดไถเงิน ผู้เชี่ยวชาญเตือนว่าองค์กรต้องยกระดับการตอบสนองให้ทำงานขนานและอัตโนมัติเทียบเท่าความเร็วของผู้โจมตี

Roundcube ปล่อยเวอร์ชัน 1.7 แก้ช่องโหว่ 6 รายการ รวมถึง Stored XSS ระดับวิกฤต 2 ตัวที่ทำงานแบบ zero-click ไม่ต้องให้เหยื่อคลิก CVE-2026-54432 เกิดจากการแสดงชนิดไฟล์ (MIME type) ของไฟล์แนบโดยไม่กรอง ทำให้สคริปต์รันทันทีที่หน้าเตือนโหลด ส่วน CVE-2026-54433 อยู่ในเอนจินแสดงข้อความแบบ plain-text แค่เปิดอ่านเมลก็ถูกฝังสคริปต์เงียบ ๆ ทั้งคู่เปิดทางขโมย session และเข้าถึงกล่องเมลโดยไม่ต้องมีปฏิสัมพันธ์ นักวิจัยแนะนำให้อัปเดตด่วนกว่ารอบแพตช์ปกติ

กลุ่มแฮ็กเกอร์ APT-C-20 หรือที่รู้จักในชื่อ APT28 (Fancy Bear) ซ่อนเชลล์โค้ดไว้ในไฟล์ภาพ PNG เพื่อปล่อยแบ็กดอร์ที่เขียนด้วยภาษา C# แบบไร้ไฟล์ (fileless) โดยเริ่มจากเอกสาร Word ที่ฝังมาโคร ปลอมเป็นไฟล์ด้านกลาโหมของรัฐบาลยุโรปตะวันออก อาศัยเทคนิค COM hijacking และ steganography ซ่อนโค้ด ทำให้แอนติไวรัสตรวจจับได้ยาก และสื่อสารกับผู้โจมตีผ่านบริการคลาวด์ Filen.io

บริษัท Infoblox เปิดโปงกลุ่มอาชญากรไซเบอร์ Lurking Lizard ที่แอบเปลี่ยนคอมพิวเตอร์ทั่วไปให้เป็นพร็อกซีเซิร์ฟเวอร์ขายต่อแบนด์วิดท์มานานหลายปี ผ่านตัวติดตั้ง 7-Zip ปลอมที่โฮสต์บนโดเมน 7zip[.]com นักวิจัยพบว่าปฏิบัติการนี้ย้อนไปถึงสิงหาคม 2565 เชื่อมโยงกว่า 230 โดเมน และล่าสุดแปลงร่างเป็นแอป WireVPN ปลอมที่มียอดดาวน์โหลดบน Android เกินหนึ่งล้านครั้ง

บริษัท Ubiquiti ออกแพตช์อุดช่องโหว่ร้ายแรงหลายรายการใน UniFi Connect, Talk, Access, Protect และ UniFi OS ที่เปิดทางให้ยกระดับสิทธิ์และรันคำสั่งบนอุปกรณ์ได้ ช่องโหว่ร้ายแรงสุด CVE-2026-50746 มีคะแนน CVSS เต็ม 10.0 แม้ยังไม่พบการโจมตีจริงจากชุดนี้ แต่เมื่อเดือนก่อน CISA เพิ่งเตือนช่องโหว่ UniFi OS อีก 3 ตัวที่ถูกใช้โจมตีในโลกจริงมาแล้ว ผู้ดูแลระบบควรอัปเดตทันที

มัลแวร์ธนาคารตัวใหม่ SCMBANKER พุ่งเป้าลูกค้าธนาคาร ฟินเทค และกระดานเทรดคริปโตในเม็กซิโก ใช้กลลวง ClickFix ผ่านหน้า CAPTCHA ปลอมหลอกให้เหยื่อรันคำสั่งติดตั้งเอง ทีมวิจัย Elastic Security Labs ที่ติดตามในชื่อ REF6045 พบว่าเป็นชุดเครื่องมือ PowerShell ที่ใช้ AI ช่วยเขียน เฝ้าดูเซสชันธนาคาร สลับเลขบัญชีในคลิปบอร์ด และเปิดทางรีโมตเข้าเครื่องได้เต็มรูปแบบ

บริษัท Cyderes เปิดเผยแคมเปญมัลแวร์ที่ใช้หนังสือแจ้งภาษีปลอมของกรมสรรพากรอินเดีย (ITR) หลอกเหยื่อให้ติดตั้ง RAT พร้อมกันสองตัว โดยข่มขู่เรื่องค่าปรับให้ดาวน์โหลดไฟล์ ผ่านหน้า Microsoft ปลอมก่อนโหลด ZIP ที่มี exe ของแท้กับ DLL อันตราย nvdaHelperRemote.dll ใช้เทคนิค DLL sideloading ห่วงโซ่ 6 ขั้นจบด้วยการ inject Gh0st RAT (พอร์ต 6666) และ Quasar/AsyncRAT (พอร์ต 6351) เข้า svchost.exe แต่ละตัวต่อ C2 คนละเครื่องเป็นช่องสำรอง ใช้ polyglot JPEG และรันในหน่วยความจำหลบการตรวจจับ

งานวิจัยจากทีม Ben Nassi มหาวิทยาลัย Tel Aviv เผยเทคนิคโจมตีใหม่ชื่อ HalluSquatting ที่อาศัยนิสัยของ AI ผู้ช่วยเขียนโค้ดที่มัก มโน ชื่อไลบรารีหรือปลั๊กอินที่ไม่มีอยู่จริง ผู้โจมตีหาชื่อปลอมที่ AI มักคิดขึ้นซ้ำ ๆ แล้วไปจดชื่อนั้นบน GitHub หรือ marketplace พร้อมฝังคำสั่งอันตราย เมื่อผู้ใช้สั่งให้ AI ดึงทรัพยากรยอดนิยม ผู้ช่วยจะดึงของปลอมมาแทนและรันโค้ดผู้โจมตีผ่านเทอร์มินัลในตัวจนกลายเป็นบอตเน็ต ทดสอบสำเร็จกับ Cursor, Copilot, Gemini CLI และอื่น ๆ สูงสุด 85-100%

นักวิจัย Moises Cerqueira พบเซิร์ฟเวอร์ที่เปิดโล่งบนอินเทอร์เน็ตซึ่งใช้สร้างมัลแวร์ Banana RAT โทรจันขโมยข้อมูลธนาคารสายบราซิล โดยไม่ได้เป็นแค่ที่เก็บไฟล์ แต่รันสคริปต์ payload generator และ obfuscator ที่ผลิต payload หน้าตาต่างกันได้ทุกครั้ง รายงานจาก ANY.RUN ระบุว่าโครงสร้างเดียวกันผลิต Banana RAT ได้ 2 เวอร์ชันในไม่กี่สัปดาห์ เวอร์ชันใหม่สุ่มชื่อโฟลเดอร์/ไฟล์ต่อเครื่องและใช้ WebSocket เข้ารหัสเป็น C2 ทำให้การบล็อกด้วยรายชื่อ indicator ได้ผลน้อยลง