คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลของเกาหลีใต้สั่งปรับ KT Corporation เป็นเงิน 53,979 ล้านวอนหรือราว 39 ล้านดอลลาร์ จากเหตุผู้บุกรุกฝังตัวในเครือข่ายภายในนานเกือบ 11 เดือน ต้นตอคือเฟมโตเซลล์ที่สูญหายและมีใบรับรองยืนยันตัวตนที่ยังใช้ได้ ผู้โจมตีนำไปติดตั้งบนอุปกรณ์ที่ทำขึ้นเองจนกลายเป็นสถานีฐานปลอมและดักทราฟฟิกโทรศัพท์ได้ ข้อมูลผู้ใช้ 16,647 รายรั่วไหลและเกิดการชำระเงินฉ้อฉลกับลูกค้าอย่างน้อย 368 ราย ระหว่างสอบสวนยังพบเซิร์ฟเวอร์ 38 เครื่องติดมัลแวร์ BPFDoor มาตั้งแต่ปี 2567

บริษัท Cato Networks พบกลุ่มอาชญากรไซเบอร์จีน Silver Fox โจมตีองค์กรผลิตในภาคอุตสาหกรรมของญี่ปุ่น ด้วยการฝังไดรเวอร์ที่มีช่องโหว่ถึง 3 ตัวเข้าเป็นเฟรมเวิร์ก BYOVD แบบถอดเปลี่ยนได้ ห่วงโซ่เริ่มจากอีเมลฟิชชิงธีมใบแจ้งหนี้ที่โฮสต์เนื้อหาบน QQ และ Tencent Cloud แล้วต่อด้วย DLL side-loading เพื่อวางมัลแวร์ ValleyRAT ซึ่งเป็นสายพันธุ์หนึ่งของ Gh0st RAT จุดเด่นคือกลไก watchdog สองชั้นที่ปลุกกันเองขึ้นมาใหม่ ทำให้การฆ่าโปรเซสเพียงตัวเดียวไม่พอกำจัด

บริษัท Proofpoint เปิดโปงแคมเปญของกลุ่ม TA488 หรือ Laundry Bear ที่เริ่มเมื่อ 22 กรกฎาคม 2569 ใช้ช่องโหว่ XSS CVE-2026-42897 (CVSS 8.1) ใน Microsoft Outlook Web Access โจมตีแบบ half-click เพียงเปิดอ่านอีเมลก็ติดมัลแวร์ เพย์โหลดคือแบ็กดอร์ JavaScript ชื่อ OWAReaper ที่ฝังตัวใน localStorage ขโมยโทเคน OAuth และให้สิทธิ์ Owner กับผู้ใช้ Default ในทุกโฟลเดอร์เมล ทำให้การหมุนรหัสผ่านหรือล้างเครื่องใหม่ไม่สามารถขับไล่ผู้โจมตีได้

ระบบประปาชุมชนในรัฐมินนิโซตากว่า 30 แห่งถูกโจมตีทางไซเบอร์แบบประสานงานที่ระบบ OT เมื่อวันที่ 26-27 กรกฎาคม 2569 จนโรงผลิตน้ำของเมือง Braham ต้องหยุดเดินเครื่อง และเมือง Maple Plain ประกาศภาวะฉุกเฉินท้องถิ่น หน่วยงาน MNIT ยืนยันว่าเหตุการณ์มีลักษณะร่วมกันทั้งช่วงเวลา วิธีเข้าถึง และประเภทโครงสร้างพื้นฐานที่ถูกเล็ง ต่อมา FBI และ EPA เตือนว่ามีการโจมตี PLC รุ่น MicroLogix ที่เปิดสู่อินเทอร์เน็ตในอย่างน้อย 7 รัฐ ยังไม่มีการระบุตัวผู้โจมตีอย่างเป็นทางการ

บริษัท Nebula Security เปิดเผยช่องโหว่ CVE-2026-10702 ในตัวคอมไพเลอร์ JIT ของ Firefox ที่เปิดทางให้รันโค้ดตามอำเภอใจในกระบวนการ renderer เพียงแค่เหยื่อเปิดหน้าเว็บอันตราย โดยไม่ต้องคลิกหรือตั้งค่าอะไรเพิ่ม Mozilla จัดระดับความรุนแรงเป็น High และแก้ไขแล้วใน Firefox 151.0.3 ส่วน Tor Browser ทุกรุ่นที่ใช้ Firefox เวอร์ชันมีช่องโหว่ก็ได้รับผลกระทบด้วย นักวิจัยยังต่อยอดเป็นห่วงโซ่ IonStack ที่ยกสิทธิ์ถึงระดับ root บน Android 17

บริษัท Socket พบแพ็กเกจ npm ใน namespace @joyfill สองตัวรุ่นเบต้าถูกฝังโค้ดอันตรายที่ทำงานทันทีที่ Node.js โหลด entry point ไม่ใช่ตอนติดตั้ง มัลแวร์ดึงเพย์โหลดผ่านธุรกรรมบนบล็อกเชน Tron, Aptos และ BNB Smart Chain ปลายทางเป็น RAT ตระกูล DEV#POPPER และอินโฟสตีลเลอร์ OmniStealer เชื่อมโยงกับคลัสเตอร์ PolinRider ในเครือ Contagious Interview ของเกาหลีเหนือ นักพัฒนาที่ติดตั้งไปแล้วต้องถอนออกจาก lockfile แคช และ build image พร้อมหมุนเปลี่ยนข้อมูลรับรอง

บริษัท AllSecure เปิดเผยแคมเปญ malvertising บน macOS ที่เชื่อมโยงกับเกาหลีเหนือ ซึ่งเป็นวิวัฒนาการใหม่ของ Contagious Interview โดยเหยื่อคลิกผลค้นหาแบบสปอนเซอร์แล้วเจอหน้าอัปเดต macOS ปลอมเต็มจอที่แอบคัดลอกคำสั่งลงคลิปบอร์ดแล้วหลอกให้วางใน Terminal ตามเทคนิค ClickFix เพย์โหลดคือแบ็กดอร์ Node.js ที่ดึงที่อยู่เซิร์ฟเวอร์ควบคุมจากสัญญาอัจฉริยะ Ethereum แบบ EtherHiding แล้วโหลดตัวขโมยข้อมูลที่เล็งกระเป๋าคริปโต 157 ยี่ห้อ พร้อมส่วนขยาย Chrome ปลอมชื่อ Google Drive Offline สำหรับดูดเงินในกระเป๋า

บริษัท Brinks Home ผู้ให้บริการระบบรักษาความปลอดภัยบ้านในสหรัฐฯ เปิดเผยว่าถูกแฮ็กเกอร์เจาะระบบบางส่วนและถูกขู่ว่าจะปล่อยข้อมูลที่อ้างว่าขโมยไป บริษัทตรวจพบเหตุเมื่อวันที่ 20 กรกฎาคม 2569 และยืนยันว่าระบบเฝ้าระวังสัญญาณเตือนภัยไม่ได้รับผลกระทบ ด้านกลุ่มรีดไถ ShinyHunters อ้างว่าเจาะเข้าไปตั้งแต่ 13 กรกฎาคม ด้วยการโทรหลอกพนักงานให้ยืนยันตัวตน Microsoft Entra แล้วดูดข้อมูลจาก Salesforce กว่า 4.9 ล้านรายการ BleepingComputer ยังตรวจสอบความถูกต้องของข้อกล่าวอ้างไม่ได้

บริษัท Sophos เปิดเผยแคมเปญ STAC4749 ที่ผู้โจมตีปลอมเป็นฝ่ายไอทีโทรผ่าน Microsoft Teams หลอกพนักงานให้เปิดเซสชันควบคุมระยะไกลด้วย Quick Assist หรือเครื่องมือ RemSupp แล้ววางแบ็กดอร์ผ่าน PowerShell การโจมตีพุ่งเป้าองค์กรในแคนาดาและสหรัฐฯ กว่า 95% รวมหลายสิบองค์กรระหว่างกุมภาพันธ์ถึงมิถุนายน 2569 อย่างน้อย 3 กรณีจบลงด้วยแรนซัมแวร์ Chaos โดยกรณีหนึ่งใช้เวลาจากสายแรกถึงเข้ารหัสไฟล์ไม่ถึง 17 ชั่วโมง

บริษัท Wiz เปิดเผยช่องโหว่ CosmosEscape ใน Azure Cosmos DB ที่เปิดทางให้ผู้โจมตีหนีออกจาก sandbox ของ Gremlin query engine แล้วรันโค้ดบนเกตเวย์ที่ใช้ร่วมกันหลายผู้เช่า จนได้กุญแจลงนามระดับแพลตฟอร์มที่ดึงคีย์หลักของบัญชี Cosmos DB รายใดก็ได้ ผู้โจมตีต้องมีเพียงบัญชี Azure ทั่วไปกับฐานข้อมูล Gremlin ของตัวเองเท่านั้น Microsoft ปิดช่องทางภายใน 48 ชั่วโมงและแก้ครบทุกภูมิภาคเมื่อกรกฎาคม 2569 พร้อมยืนยันว่าไม่พบหลักฐานว่ามีลูกค้าได้รับผลกระทบ