ช่องโหว่ CVE-2026-3300 (CVSS 9.8) ใน Everest Forms Pro plugin สำหรับ WordPress ซึ่งมีผู้ติดตั้งกว่า 4,000 ราย ถูกโจมตีจริงตั้งแต่วันที่ 13 เมษายน 2569 รวมกว่า 29,300 ครั้ง ช่องโหว่เกิดจากฟังก์ชัน process_filter() ที่นำค่าจากผู้ใช้ไปรันใน eval() โดยไม่กรองอักขระพิเศษ แฮ็กเกอร์สามารถสร้างบัญชี admin ปลอมและฝัง web shell ได้ ผู้ดูแลเว็บไซต์ WordPress ที่ใช้ plugin นี้ควรอัปเดตเป็นเวอร์ชัน 1.9.13 โดยด่วน

นักวิจัยและ FBI เตือนแก๊งมิจฉาชีพออนไลน์ปล่อยเว็บ FIFA ปลอมกว่า 4,300 โดเมน โดยกลุ่ม GHOST STADIUM เลียนแบบระบบล็อกอินจริงของ FIFA เพื่อขโมยบัตรและบัญชีผู้ใช้งาน มัลแวร์ธนาคาร Massiv และ Perseus ซ่อนอยู่ในแอปสตรีมผิดกฎหมาย ผู้ที่วางแผนดูการแข่งขันหรือซื้อบัตรออนไลน์ควรระวังเป็นพิเศษ เนื่องจากแก๊งมิจฉาชีพกำลังเดินหน้าปฏิบัติการช่วง 11 มิถุนายน ถึง 19 กรกฎาคม 2569

บริษัท Check Point Research เปิดโปงแคมเปญขนาดใหญ่ที่สร้างเว็บปลอมเลียนแบบเครื่องมือความปลอดภัยยอดนิยมอย่าง Ghidra, dnSpy และ SpiderFoot เพื่อหลอกแจกมัลแวร์ เมื่อคลิกดาวน์โหลด ผู้ใช้จะถูกส่งผ่าน Traffic Distribution System (TDS) ที่คัดกรองตามตำแหน่ง เบราว์เซอร์ VPN และว่าเป็นนักวิจัยหรือไม่ พบเว็บปลอมกว่า 100 แห่ง โหลดสคริปต์จาก CloudFront เป้าหมายคือนักวิจัยความปลอดภัยโดยตรง payload มี 3 ตระกูล: RemusStealer, AnimateClipper (สลับ wallet คริปโต) และ SessionGate (loader ต้านการวิเคราะห์)

บริษัท StepSecurity เปิดเผยเวิร์มแพร่ตัวเองสายพันธุ์ใหม่ของ Miasma ตั้งชื่อเทคนิคว่า Phantom Gyp ที่ใช้ไฟล์ตั้งค่าเล็ก ๆ ชื่อ binding.gyp (157 ไบต์) กระตุ้นโค้ดอันตรายตอน npm install แทนการซ่อนใน package.json เลี่ยง preinstall/postinstall ที่ scanner ส่วนใหญ่ตรวจ เจาะ 57 แพ็กเกจ 286+ เวอร์ชันใน 2 ชั่วโมงเมื่อ 3 มิ.ย. เป้าใหญ่สุดคือ @vapi-ai/server-sdk (408,000 ดาวน์โหลด/เดือน) ขโมย credential คลาวด์ใน CI/CD ฝัง backdoor ใน Claude Code/Cursor/Gemini ทิ้งข้อความเย้ย Shai-Hulud

บริษัท Sansec เปิดเผยแคมเปญ Magecart ใหม่ที่ใช้โครงสร้าง API ของ Stripe เก็บทั้ง payload ขโมยบัตรและข้อมูลที่ขโมยจากหน้า checkout โดยอาศัยโดเมน googletagmanager.com และ api.stripe.com ที่ร้านค้าออนไลน์ไว้ใจโดยปริยาย ทำให้เลี่ยง CSP และ network filter ได้ โค้ดอันตรายฝังใน GTM container ทำงานเมื่อถึงหน้า checkout ของ Magento/Adobe Commerce ดักเลขบัตร วันหมดอายุ CVV ชื่อ ที่อยู่ แล้วเก็บข้อมูลที่ขโมยเป็น customer record ปลอมในบัญชี Stripe ของผู้โจมตี มีอีก variant ใช้ Google Firestore

บริษัท JFrog เปิดเผยมัลแวร์ใหม่ IronWorm ที่เจาะ 36 แพ็กเกจบน npm เป็น infostealer เขียนด้วย Rust ซ่อนหลัง eBPF kernel rootkit และสื่อสารกับผู้ควบคุมผ่านเครือข่าย Tor มุ่งเป้า environment variable 86 ตัวและไฟล์ credential 20 ไฟล์ที่อาจมี OpenAI, AWS, Anthropic, npm token, SSH key และ wallet Exodus มันแพร่ตัวเองด้วย npm token ที่ขโมยมา เริ่มจากบัญชี asteroiddao ที่ถูกเจาะ โดย Ox Security ระบุว่าหยุดได้เร็วก่อนลามไปแพ็กเกจยอดนิยม

บริษัท Cisco ออกแพตช์ปิดช่องโหว่ระดับวิกฤตใน Unified Communications Manager (Unified CM) ติดตามด้วยรหัส CVE-2026-20230 ซึ่งเป็น server-side request forgery (SSRF) ที่ผู้โจมตีระยะไกลไม่ต้องมีสิทธิ์สามารถส่ง HTTP request พิเศษเพื่อเขียนไฟล์ลง OS แล้วยกระดับเป็น root ได้ Cisco จัดเป็น Critical เพราะนำสู่ root ทีม PSIRT รับทราบว่ามี PoC เผยแพร่สาธารณะแล้วแต่ยังไม่พบการโจมตีจริง กระทบเฉพาะระบบที่เปิด WebDialer (ปิดเป็นค่าเริ่มต้น) แนะนำอัปเดตเป็น 14SU6 หรือ 15SU5

พันธมิตรข่าวกรอง Five Eyes (สหราชอาณาจักร สหรัฐฯ แคนาดา ออสเตรเลีย นิวซีแลนด์) รวมถึง MI5 และ FBI ออกรายงานร่วมเตือนว่าสายลับที่เชื่อมโยงรัฐจีนใช้เว็บหางานอย่าง LinkedIn, Indeed และ Upwork สร้างโปรไฟล์ปลอมเป็น HR หรือที่ปรึกษา โพสต์งานปลอมด้านกลาโหม/นโยบายต่างประเทศ เพื่อล่อเจ้าหน้าที่รัฐและทหารให้แชร์ข้อมูลลับ เป้าหมายหลักคือผู้มี security clearance โดยเฉพาะในอินโด-แปซิฟิก จ่ายค่าตอบแทนผ่าน PayPal, Wise และคริปโต MI5 ระบุเคยพยายามล่อคนอังกฤษกว่า 20,000 คน

นาย Marcus Hutchins เปิดเผยช่องโหว่ 0-day ที่ยังไม่มีแพตช์ในไดรเวอร์ firewall ของ Comodo Internet Security ชื่อ Inspect.sys ตั้งชื่อว่า ComoDoS เปิดให้ผู้โจมตีระยะไกลทำให้ Windows เป้าหมายจอฟ้า (BSOD) ได้ด้วย IPv6 แพ็กเก็ตผิดรูปเพียงแพ็กเก็ตเดียว ข้ามกฎ firewall ทั้งหมด ต้นเหตุคือ integer underflow ในการแยก IPv6 extension header ที่ไม่ตรวจสอบ payload length ทำให้ค่า unsigned 64-bit วนกลับเป็น ~18.4 ล้านล้านล้าน Comodo ไม่ตอบกลับหลายครั้ง PoC เผยแพร่บน GitHub แล้ว

บริษัท Malwarebytes เปิดเผยแคมเปญฟิชชิงใหม่ที่มุ่งเป้านักพัฒนา Chrome extension ด้วยประกาศลบเนื้อหาละเมิดลิขสิทธิ์ (DMCA) ปลอมที่ดูเหมือนข้อความทางการจาก Chrome Web Store หลอกให้กรอก credential Google บนหน้า sign-in ปลอม โดยให้เวลาเพียง 48 ชั่วโมงสร้างความเร่งด่วน หน้าปลอมมีเลขร้องเรียน นาฬิกานับถอยหลัง และดึงชื่อ/ไอคอน extension จริงมาแสดง โฮสต์บนโดเมน dmca-chrome-extensions[.]click หากบัญชีถูกยึด ผู้โจมตีสามารถ push อัปเดตอันตรายไปยังผู้ใช้หลายพันคน