CISA สั่งหน่วยงานรัฐบาลกลางสหรัฐฯ เร่งแพตช์ช่องโหว่ CVE-2026-20230 ใน Cisco Unified Communications Manager ภายในวันที่ 28 มิถุนายน หลังพบการโจมตีจริง ช่องโหว่เป็น SSRF ระดับวิกฤตที่ผู้โจมตีระยะไกลไม่ต้องยืนยันตัวตนใช้เขียนไฟล์ลงระบบได้ และถูกเพิ่มลงแคตตาล็อก KEV พร้อมกับ CVE-2026-12569 ช่องโหว่ RCE ใน PTC Windchill และ FlexPLM ที่มีเส้นตายเดียวกัน

Kaspersky เปิดเผยมัลแวร์ใหม่ SharkLoader ที่ทำหน้าที่เป็น loader ปล่อย Cobalt Strike Beacon ลงเครื่องเหยื่อ ภายใต้ปฏิบัติการชื่อ StrikeShark เชื่อว่าเป็นฝีมือผู้โจมตีพูดภาษาจีน เป้าหมายครอบคลุมหน่วยงานทูตในอินโดนีเซีย หน่วยงานรัฐไต้หวัน และบริษัทพัฒนาซอฟต์แวร์หลายประเทศ ใช้ช่องโหว่สาธารณะหลายรายการเจาะระบบ เช่น ProxyLogon, Openfire, GeoServer แล้วใช้เทคนิค Perfect DLL Hijacking โหลด Cobalt Strike เข้าหน่วยความจำเพื่อหลบการตรวจจับ

กลุ่ม UAC-0226 ใช้ไฟล์ WinRAR ที่ฝัง Alternate Data Streams (ADS) ซ่อนไฟล์อันตรายร่วมกับเอกสารล่อ ส่งมัลแวร์ขโมยข้อมูล GIFTEDCROOK ที่ดูดข้อมูลล็อกอิน คุกกี้ และเอกสารจากเบราว์เซอร์ Chrome, Edge, Opera และ Firefox แคมเปญพุ่งเป้าบุคลากรสายทหารยูเครน ใช้ obfuscated PowerShell และ reflective PE loading โหลด payload เข้าหน่วยความจำโดยไม่แตะดิสก์ ทำให้ตรวจจับยาก พร้อมตั้ง shortcut ใน Startup เพื่อคงอยู่ในระบบ

FBI และ CISA อัปเดตคำเตือนเรื่องสายลับรัสเซียฟิชชิงบัญชี Signal โดยเพิ่มขั้นตอนใหม่ หลอกเหยื่อให้ส่งมอบ Signal Backup Recovery Key เมื่อได้คีย์ไป ผู้โจมตีสามารถกู้คืนแบ็กอัป อ่านประวัติข้อความ และยึดบัญชีได้ แม้สร้างบัญชีใหม่บนเบอร์เดิมคีย์เก่ายังใช้ได้ การโจมตีไม่ได้เจาะการเข้ารหัส แต่ใช้ social engineering เป้าหมายคือเจ้าหน้าที่รัฐ ทหาร นักข่าว

Palo Alto Networks Unit 42 เผยกลุ่ม APT พูดภาษาจีน CL-STA-1062 ใช้แบ็กดอร์ใหม่ TinyRCT โจมตีหน่วยงานรัฐและโครงสร้างพื้นฐานสำคัญในเอเชียตะวันออกเฉียงใต้ เน้นรัฐวิสาหกิจด้านพลังงานและภาครัฐ พบเจาะอย่างน้อย 10 องค์กรในภูมิภาคช่วงปลายปี 2025 ขโมยซอร์สโค้ดเว็บเซิร์ฟเวอร์ทั้งไดเรกทอรี TinyRCT รันคำสั่ง ขโมยไฟล์ จับภาพหน้าจอ และลบตัวเองได้

ช่องโหว่ใน traffic-control subsystem ของ Linux kernel ชื่อ pedit COW (CVE-2026-46331) เปิดทางให้ผู้ใช้ทั่วไปยกระดับเป็น root ได้ ด้วยการเขียนทับหน่วยความจำ page-cache ของไบนารี setuid โดยไม่แตะไฟล์บนดิสก์ ทำให้การตรวจ file-integrity ผ่านปกติ มี PoC ใช้งานได้จริงโผล่ภายในวันเดียว กระทบ RHEL, Debian, Ubuntu ควรแพตช์ kernel ด่วน

CISA เพิ่มช่องโหว่ร้ายแรง CVE-2026-12569 (CVSS 9.3) ใน PTC Windchill PDMLink และ FlexPLM ลงในแคตตาล็อก KEV หลังพบการโจมตีจริง ช่องโหว่เป็น RCE ผ่านการ deserialize ข้อมูลที่ไม่น่าเชื่อถือ แม้ออกแพตช์แล้วแต่ยังพบแฮ็กเกอร์ฝัง JSP web shell ต่อเนื่อง PTC เผยรายการ IoCs ให้บล็อก นี่เป็นช่องโหว่แรกของ PTC ที่ถูกเพิ่มลง KEV

นักวิจัยจาก LevelBlue พบแคมเปญ LokiBot ระลอกใหม่ มัลแวร์ขโมย credential ที่เก่าแก่ที่สุดตัวหนึ่งซึ่งยังทำงานอยู่ ใช้ไฟล์แนบอีเมล JScript เป็นจุดเริ่มต้น ตามด้วย PowerShell, .NET injector และ process injection เข้าสู่ aspnet_compiler.exe เพื่อหลบการตรวจจับ LokiBot ขโมย credential จากกว่า 100 แอป ทั้งเบราว์เซอร์ กระเป๋าคริปโต อีเมลไคลเอนต์ และ FTP แล้วบีบอัดส่งไป C2 ผู้ใช้และองค์กรเสี่ยงถูกยึดบัญชีและขโมยข้อมูล

นักวิจัยจาก JFrog Security Research พบ Shai-Hulud payload ที่พก Hades malware กลับมาอีกระลอก ฝังในแพ็กเกจ npm ที่พุ่งเป้านักพัฒนาสาย cloud และ serverless ขยายไปยังระบบนิเวศ Leo/RStreams ของ AWS เมื่อติดตั้งแพ็กเกจ payload จะขโมย credential จาก GitHub, npm, คลาวด์, CI/CD และ SSH ส่งไปยัง repository ของผู้โจมตี แพ็กเกจที่กระทบมียอดดาวน์โหลดราว 45,000 ครั้งต่อเดือน ใช้ไฟล์ binding.gyp ซ่อนโค้ดหลบ scanner

นักวิจัยจาก Datadog Security Labs พบชุดฟิชชิ่งแบบ adversary-in-the-middle (AiTM) ที่พุ่งเป้าผู้ใช้ AWS ขโมย credential และโค้ด MFA แบบเรียลไทม์ในขณะที่เหยื่อพิมพ์ ทำให้ผู้โจมตีเข้าสู่ AWS console ได้ก่อนเหยื่อจะรู้ตัวและ MFA แทบไร้ผล แคมเปญทำงานระหว่าง 19-23 มิ.ย. 2026 ใช้สามโดเมนปลอมหน้า AWS sign-in โจมตีแบบเจาะจงวิศวกรซอฟต์แวร์ในสหรัฐฯ ไม่ถึง 50 ราย ด้วยอีเมลปลอมเป็น AWS Support