Dell ออกประกาศความปลอดภัยแก้ไขช่องโหว่หลายรายการใน Wyse Management Suite (WMS) แพลตฟอร์มจัดการ thin client และอุปกรณ์ปลายทางที่ใช้กันแพร่หลาย ช่องโหว่ที่ร้ายแรงที่สุดคือ CVE-2026-41120 คะแนน CVSS 9.8 เปิดทางให้ผู้โจมตีสิทธิ์ต่ำจากระยะไกลรันโค้ดได้โดยไม่ต้องโต้ตอบจากผู้ใช้ อีกตัวคือ CVE-2026-49506 คะแนน 7.2 เป็นช่องโหว่ path traversal ทั้งคู่กระทบ WMS เวอร์ชันก่อน 5.5 HF1 Dell ออกแพตช์แล้วและแนะนำให้อัปเกรดทันที

ผู้โจมตีเริ่มใช้ช่องโหว่ร้ายแรง CVE-2026-46817 ใน Oracle E-Business Suite (EBS) แอปด้านการเงินขององค์กร ช่องโหว่อยู่ในส่วน File Transmission ของ Oracle Payments เปิดทางให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนและมีเพียงการเข้าถึง HTTP เข้ายึดระบบได้ด้วยการโจมตีที่ซับซ้อนต่ำ ได้คะแนน CVSS 9.8 Oracle ออกแพตช์ไปแล้วใน Critical Security Patch Update เดือนพฤษภาคม 2026 บริษัท Defused พบการโจมตีจริงครั้งแรกเมื่อสุดสัปดาห์ที่ผ่านมา ขณะที่ยังมี EBS กว่า 450 ระบบเปิดอยู่บนอินเทอร์เน็ต

กลุ่มภัยคุกคามที่เชื่อมโยงกับรัสเซีย Turla ขยายคลังเครื่องมือจารกรรมด้วยแบ็กดอร์ตัวใหม่ชื่อ STOCKSTAY โจมตีหน่วยงานรัฐและทหารในยูเครนตั้งแต่ปลายปี 2022 มัลแวร์เขียนด้วย .NET สื่อสารผ่าน WebSocket ที่เข้ารหัส ทำให้ตรวจจับยากในทราฟฟิกปกติ Turla ใช้โครงสร้างพื้นฐานของยูเครนที่ถูกยึด เช่น เว็บหน่วยงานรัฐและเซิร์ฟเวอร์บริษัทไอที เพื่อ stage และส่งเพย์โหลด นักวิจัย Google ระบุว่ามันมีความเชื่อมโยงกับชุดเครื่องมือ KAZUAR ของกลุ่มเดียวกัน

กระทรวงยุติธรรมสหรัฐยึดโดเมนเว็บไซต์เกือบ 400 โดเมนที่ใช้สตรีมการแข่งขัน FIFA World Cup 2026 อย่างผิดกฎหมาย ภายใต้ปฏิบัติการ Offsides ที่ประสานงานกับพันธมิตรนานาชาติ เป้าหมายคือเซิร์ฟเวอร์และโดเมนในเปรู บัลแกเรีย โครเอเชีย โรมาเนีย โปแลนด์ และโคลอมเบีย เจ้าหน้าที่เตือนว่าเว็บสตรีมเถื่อนไม่เพียงละเมิดลิขสิทธิ์ แต่ยังเปิดทางให้ผู้ชมเสี่ยงต่อมัลแวร์และการขโมยข้อมูลส่วนตัวและการเงิน

มี proof-of-concept สาธารณะออกมาแล้วสำหรับ CVE-2026-55200 ช่องโหว่ร้ายแรงใน libssh2 ที่เปิดทางให้เซิร์ฟเวอร์ SSH ที่เป็นอันตรายหรือถูกยึดส่ง memory corruption ไปยังเครื่องไคลเอนต์ที่เชื่อมต่อ โดยไม่ต้องใช้รหัสผ่านหรือการโต้ตอบจากผู้ใช้ ช่องโหว่กระทบทุกเวอร์ชันถึง 1.11.1 ได้คะแนน CVSS 9.2 libssh2 ฝังอยู่ใน curl, Git, PHP และเฟิร์มแวร์จำนวนมากที่มักลิงก์แบบ static จึงตามแพตช์ยาก

นาย Aubrey Cottle แฮ็กเกอร์ชาวแคนาดาที่เชื่อมโยงกับกลุ่ม Anonymous ถูกศาลตัดสินจำคุก 18 เดือน หลังรับสารภาพมีส่วนในการถล่มและเปลี่ยนหน้าเว็บไซต์พรรครีพับลิกันแห่งรัฐเท็กซัสเมื่อปี 2021 เขาเปลี่ยนหน้าแรกของ texasgop.org เป็นภาพการ์ตูนและภาพผู้ใหญ่ พร้อมขโมยไฟล์ 180 GB ที่มีข้อมูลส่วนตัวของเจ้าหน้าที่และผู้บริจาค หากถูกส่งตัวข้ามแดนไปสหรัฐฯ อาจต้องโทษเพิ่มอีกห้าปี

หน่วยความมั่นคงยูเครน (SSU) ร่วมกับ FBI เปิดโปงปฏิบัติการระยะยาวของหน่วยข่าวกรองรัสเซียที่เจาะบัญชีแอปแชตของเจ้าหน้าที่รัฐ ทหาร นักการเมือง และนักเคลื่อนไหวในยูเครน ยุโรป และสหรัฐฯ ด้วยการส่ง SMS ปลอมเป็นบอทฝ่ายสนับสนุนของแพลตฟอร์มหลอกขอข้อมูลล็อกอิน เป้าหมายคือล้วงข้อมูลทางทหาร การเมือง และเศรษฐกิจที่อ่อนไหว คลื่นโจมตีคล้ายกันถูกเชื่อมโยงกับกลุ่ม Star Blizzard, UNC5792 และ UNC4221

บริษัท Push Security เปิดโปงแคมเปญ Poisoned Tenant ที่แฮ็กเกอร์สร้างองค์กร OpenAI ปลอมแอบอ้างชื่อบริษัทจริง แล้วส่งคำเชิญเข้าร่วม ChatGPT workspace ไปยังพนักงานที่เลือกเป้าหมายไว้ คำเชิญส่งจากอีเมลจริงของ OpenAI ผ่านการตรวจสอบ authentication ทุกขั้น เป้าหมายคือหลอกให้พนักงานใช้ workspace ปลอมเสมือนแพลตฟอร์มองค์กรจริงเพื่อดักข้อมูลอ่อนไหวที่พิมพ์ลง prompt เหยื่อที่ตกเป็นเป้าล้วนอยู่ในวงการไซเบอร์และเทคโนโลยี

Infoblox รายงานว่าเว็บไซต์กว่า 200,000 แห่งใช้เทมเพลตหลอกลงทุนที่สร้างด้วยเฟรมเวิร์กโอเพนซอร์สจีน Uni-App ของ DCloud ครอบคลุมตั้งแต่กระดานเทรดคริปโตปลอม เว็บพนัน การปลอมแบรนด์ ฟิชชิ่ง WhatsApp ไปจนถึงเว็บ pig-butchering หลายภาษา พบโดเมนระดับสองกว่า 236,000 รายการเชื่อมโยงกับเครือข่ายเดียวกัน รวมถึงแพลตฟอร์ม RainbowEx ที่เคยหลอกชาวเมืองเล็กในอาร์เจนตินาทั้งเมือง ผู้ขายเทมเพลตหลอกลงทุนเปิดให้มิจฉาชีพนำไปใช้ต่อ

นักวิจัย Unit 42 เปิดเผยเทคนิคโจมตีคลาวด์ใหม่ชื่อ bucket hijacking ที่เปิดให้ผู้โจมตีเปลี่ยนเส้นทางสตรีมข้อมูลขององค์กร รวมถึง audit log และ telemetry ไปยัง storage bucket ที่ผู้โจมตีควบคุม ยืนยันว่ากระทบทั้ง Google Cloud, AWS และ Azure เทคนิคนี้อาศัยข้อบกพร่องเชิงสถาปัตยกรรมที่ชื่อ bucket ต้องไม่ซ้ำกันทั่วทั้งระบบ ทำให้การลบแล้วสร้าง bucket ชื่อเดิมในบัญชีผู้โจมตีดูดข้อมูลต่อไปได้โดยไม่มีการแจ้งเตือน