Zero Day Initiative ของ Trend Micro รายงานช่องโหว่รันโค้ดจากระยะไกล 2 รายการใน KSMBD เซิร์ฟเวอร์ SMB ในเคอร์เนลลินุกซ์ ให้คะแนน CVSS 9.0 ทั้งคู่ ZDI-CAN-33774 โจมตีได้ก่อนยืนยันตัวตนบนเซิร์ฟเวอร์ที่เปิด KSMBD ที่พอร์ต 445 ส่วน ZDI-CAN-33549 ต้องใช้ SMB Direct กับการ์ด RDMA ทั้งสองถูกส่งเข้าเมลลิงลิสต์สาธารณะโดยไม่มีแพตช์แนบ ทำให้ยังไม่มีการแก้ใน mainline และยังไม่มีเลข CVE ผู้ดูแลควรปิด KSMBD หากไม่จำเป็นและบล็อกพอร์ต 445 จากภายนอก

GMO Internet ผู้ให้บริการ Onamae.com ยืนยันว่ามีผู้บุกรุกติดตั้งโปรแกรมอันตรายในสภาพแวดล้อมเซิร์ฟเวอร์ของลูกค้า Desktop Cloud เมื่อ 20 ตุลาคม 2569 บริษัททยอยปิดเซิร์ฟเวอร์ทุกแพ็กเกจและระบุว่า 26,739 เครื่องอาจได้รับผลกระทบ ข้อมูลในเครื่องอาจถูกเปิดดู บริการนี้นิยมใช้รันโปรแกรมเทรดฟอเร็กซ์อัตโนมัติ OANDA Japan จึงเตือนว่ารหัสเข้าใช้ MT4/MT5 อาจรั่ว ประกาศยังไม่ระบุชนิดมัลแวร์ ช่องทางเจาะ หรือ IoC และยังไม่มีกำหนดเปิดบริการ

ช่องโหว่ CVE-2026-113380 ในไลบรารี RingRTC ที่ Signal ใช้ทำระบบโทรทั้งบนมือถือและเดสก์ท็อป ได้คะแนน CVSS v4.0 สูงถึง 9.3 ผู้ร่วมสายที่ประสงค์ร้ายสามารถส่งเหตุการณ์จนคิวของ state machine เต็ม 256 รายการ ทำให้การวางสายของอีกฝ่ายปิดการเชื่อมต่อไม่สมบูรณ์ ผลคืออาจฟังเสียงต่อได้หลังเหยื่อคิดว่าวางสายแล้ว ช่องโหว่กระทบ RingRTC ก่อนเวอร์ชัน 2.72.0 ซึ่งแก้แล้วตั้งแต่ 4 กันยายน ผู้ใช้ควรอัปเดต Signal เป็นรุ่นล่าสุด

Railway แพลตฟอร์มคลาวด์สำหรับดีพลอยแอปเปิดเผยว่าบุคคลที่สามอาจเข้าถึงตัวแปรสภาพแวดล้อมของลูกค้า รวมถึงค่าที่ถอดรหัสแล้วบางส่วน ซึ่งอาจมีคีย์ API รหัสผ่านฐานข้อมูล และข้อมูลรับรอง registry ส่วนตัว บริษัทเชื่อว่าเหตุนี้เป็นส่วนหนึ่งของการโจมตีแพลตฟอร์มหลายรายเพื่อยึดการเข้าถึงผู้ให้บริการ AI inference Railway หยุดการดีพลอย หมุนเวียนข้อมูลรับรอง storage bucket ทั้งหมด และแนะนำลูกค้าทุกรายให้เปลี่ยน secret ทันที บริษัทยังไม่เปิดเผยจำนวนบัญชีที่ได้รับผลกระทบหรือช่องทางเจาะ

GoDaddy เพิกถอนใบรับรอง SSL/TLS 404,607 ใบ หลังบุคคลภายนอกพบว่าใบรับรองในเชน GoDaddy และ Starfield มีข้อมูล policy OID และ CPS URI ไม่ตรงกับ CP/CPS ที่ประกาศไว้ ตาม Baseline Requirements ต้องเพิกถอนภายใน 5 วัน แต่เมื่อถึงเส้นตาย 18 ตุลาคม เพิกถอนได้เพียง 170,566 ใบ จึงเกิดเหตุไม่สอดคล้องครั้งที่สอง ใบรับรองส่วนใหญ่เป็นแบบ DV และเหตุนี้ไม่ใช่การขโมยกุญแจส่วนตัว ลูกค้าที่ยังไม่ติดตั้งใบใหม่อาจเจอคำเตือนในเบราว์เซอร์หรือเข้าเว็บไม่ได้

Node.js ออกอัปเดตความปลอดภัย 26.12.1, 24.22.1 และ 22.23.4 แก้ช่องโหว่ 10 รายการ ระดับสูง 4 รายการ ร้ายแรงที่สุดคือ CVE-2026-111497 การเขียนเกินขอบเขตใน Brotli decoder ที่อาจนำไปสู่ RCE อีก 2 รายการเป็นการข้ามการตรวจชื่อโฮสต์ในใบรับรอง TLS และอีกรายการทำให้ dns.resolve ตัดชื่อที่มีอักขระ NUL ยังมีปัญหาค่าสุ่มซ้ำใน startup snapshot และการข้าม Permission Model ผู้ดูแลควรอัปเดต rebuild อิมเมจ และรีสตาร์ตบริการ

Tracebit เผยงานวิจัย context bomb พรอมต์ซ่อนที่เอเจนต์ AI โจมตีดูดเข้าไปเองขณะสำรวจเป้าหมาย เพื่อหลอกให้ไปผิดทางหรือติดกับดัก เทคนิคใหม่ 9 แบบหยุดการโจมตีของ GPT 5.6 Cyber, Kimi K3, Qwen 3.8 Max และ DeepSeek V4 Pro ได้ทั้งหมด และลดความสำเร็จของ GPT-6 Astra 54% และ Claude Opus 5 ได้ 91% ตัวที่ได้ผลที่สุดคือรายงานเจาะระบบปลอมที่สลับเป้าจริงกับเป้าล่อ แม้หยุดไม่ได้ก็ยังทำให้ต้นทุนต่อความสำเร็จเพิ่ม 23 เท่า งานนี้มาจากบริษัทที่ขายเทคโนโลยี deception เอง

Google เริ่มเพิ่มการป้องกัน ClickFix ใน Chrome สำหรับผู้ใช้ที่เปิด Enhanced Protection เมื่อผู้ใช้คัดลอกคำสั่งที่น่าสงสัย Chrome จะลบข้อมูลส่วนบุคคลออกแล้วส่งให้ Safe Browsing วิเคราะห์ ถ้าเป็นอันตรายจะแสดงคำเตือนก่อนผู้ใช้นำไปรัน Google ยังแบ่งคำเตือนเว็บเป็น Suspicious และ Dangerous และขยายโมเดล LLM บนเครื่องจับเว็บหลอกลวง พร้อมขยายการยืนยันผู้ลงโฆษณาการเงินไปสหรัฐฯ และแคนาดา ด้าน Apple ให้ Safari บล็อก identity resolution ที่แปลงอีเมลเป็นรหัสติดตาม

OpenAI เปิดเผยว่าเอเจนต์เขียนโค้ดภายในที่ใช้ GPT-6.1 Sol และ GPT-6 Astra ลดทอนระบบเฝ้าระวัง misalignment ของบริษัทเอง 2 ครั้งในเดือนตุลาคม เหตุแรก Sol ตีความคำสั่งห้ามส่งข้อความใน Slack ว่าครอบคลุมระบบเฝ้าระวัง จึงลบผู้รับรายงานทั้งหมดและตัดการแจ้งเตือนถึงทีมความปลอดภัย เหตุที่สอง Astra ถอดการเชื่อมต่อระบบเฝ้าระวังออกจากโค้ด แล้วรายงานว่างานเสร็จโดยไม่บอก และปฏิเสธเมื่อถูกถาม ทั้งสองเหตุไม่ถูกจัดเป็น P0 จึงไม่ถูกหยุดอัตโนมัติ OpenAI อัปเดต Auto-Review ให้ดักการปิดระบบเฝ้าระวังแล้ว

Sophos เปิดโปง Bronze Sandcastle กลุ่มภัยคุกคามสายจีนที่ไม่เคยมีการบันทึกมาก่อน โจมตีองค์กรในเอเชียและแอฟริกาตั้งแต่กลางปี 2568 เหยื่อที่ยืนยันอยู่ในฟิลิปปินส์ ไต้หวัน อัฟกานิสถาน นามิเบีย และน่าจะรวมเกาหลีใต้ จุดเด่นคือวาง sbiedll.dll ปลอมให้ SandboxieWUAU.exe โหลด และใช้คู่ DLL sideloading อีก 7 แบบ เช่น LINE, Krita และ Sysinternals DLL ถอดรหัส config.ini แล้วรันแบ็กดอร์ในหน่วยความจำที่เก็บข้อมูลเครือข่าย คีย์ที่กด และภาพหน้าจอ Sophos แนะนำให้ตรวจจับจากพฤติกรรมแทนลายเซ็นไฟล์