นักวิจัยบริษัท pwn.ai พบช่องโหว่ PwnEscape (CVE-2026-99999) ในโค้ดเครือข่ายของ Linux kernel ที่ทำให้โค้ดใน VM อ่านหน่วยความจำของ host ได้ เคอร์เนลให้คะแนน 9.3 ระดับ Critical แต่ผู้โจมตีต้องรันโค้ดใน guest อยู่แล้ว การรั่วหน่วยความจำพิสูจน์บน sandbox จริงของ Vercel ส่วนการทำ host ล่มและรันโค้ดเกิดในแล็บเท่านั้น ช่องโหว่พบในการแข่งขันมูลค่า 1 ล้านดอลลาร์ของ Vercel ด้วยระบบวิจัยที่ใช้ AI ช่วย ใช้เวลา 3 วัน แพตช์ backport ไปทุกสาย stable แล้ว

Cisco Talos และ Recorded Future รายงานว่ากลุ่ม Silent Lynx ซึ่งเชื่อมโยงกับคาซัคสถาน โจมตีหน่วยงานรัฐในภูมิภาค CIS ต่อเนื่องตั้งแต่มิถุนายน 2568 ถึงสิงหาคม 2569 เหยื่อและเหยื่อล่อครอบคลุม 9 ประเทศ ทั้งเอเชียกลาง อาร์เมเนีย อาเซอร์ไบจาน รัสเซีย และเบลารุส ผู้โจมตีส่งอีเมลฟิชชิงจากบัญชีรัฐที่ถูกยึด พร้อมใช้ 4 เส้นทางติดเชื้อ ตั้งแต่ไฟล์ Word มีมาโครจนถึงไฟล์ RAR ที่เจาะช่องโหว่ WinRAR CVE-2025-8088 ปลายทางคือ reverse shell อย่าง PickleShell และ FoalShell ที่ให้ผู้โจมตีควบคุมเครื่องจากระยะไกล

Legal Aid Agency หน่วยงานในสังกัดกระทรวงยุติธรรมอังกฤษ เผยผลนิติวิทยาศาสตร์ล่าสุดของเหตุถูกเจาะเมื่อเมษายน 2568 ว่าข้อมูลที่ถูกขโมยย้อนไปถึงปี 2521 นอกจากข้อมูลคำขอช่วยเหลือทางกฎหมายปี 2550-2568 แล้วยังมีบันทึกเก่ากว่าปี 2550 อีกราว 250,000 รายการ ข้อมูลที่หลุดรวมชื่อ ที่อยู่ วันเกิด เลข National Insurance และข้อมูลผู้ต้องโทษที่อยู่ในความดูแลของงานคุมประพฤติ ทนายความยังถูกขโมยข้อมูลสัญญา การจ่ายเงิน และข้อมูลล็อกอิน หน่วยงานระบุว่ายังไม่พบการเผยแพร่หรือขายข้อมูล

Citizen Lab เผยหลักฐานทางเทคนิคครั้งแรกว่าสปายแวร์รับจ้างถูกส่งเข้าอุปกรณ์จริงผ่านโฆษณาออนไลน์แบบเจาะกลุ่ม โดยเชื่อมโยงบริษัทโฆษณา Discover-Tech ของอิสราเอลกับผู้ผลิตสปายแวร์ Candiru อุปกรณ์ของ Al Jazeera อย่างน้อย 45 เครื่องถูกโจมตีแบบ zero-click ระหว่างปี 2567-2568 โค้ดในโฆษณาส่ง advertising ID และ IP กลับไปให้เซิร์ฟเวอร์คัดเลือกเป้าหมายก่อนส่งโค้ดโจมตี โฆษณาของบริษัทนี้ปรากฏในเว็บไซต์ 120,000 แห่งและแอป 75,000 แอป Google และ IAB Europe ถอดบริษัทออกแล้ว

Infoblox เชื่อมโยง Help TDS ระบบกระจายทราฟฟิกที่ทำงานมาตั้งแต่ปี 2560 เข้ากับ Hotejka เครือข่ายพันธมิตรภาษารัสเซียที่เชื่อว่าเป็น ROI777 เปลี่ยนชื่อใหม่ ระบบนี้รับทราฟฟิกจากเว็บไซต์ WordPress ที่ถูกเจาะแล้วส่งต่อเหยื่อไปหน้าแจ้งเตือน Windows ปลอมให้โทรหา call center ตั้งแต่เมษายน 2569 กลุ่มนี้สร้างหน้า Cloudflare Pages ราว 300 หน้าต่อวัน รวมกว่า 20,000 โดเมน ปลายทางคือหลอกให้ติดตั้งโปรแกรมรีโมตเพื่อยึดเครื่องซ้ำ ๆ

NGINX ออกเวอร์ชัน 1.30.6 และ 1.31.7 เมื่อ 14 ต.ค. 2569 แก้ 5 ช่องโหว่ โดยตัวหนึ่งมีอยู่ในทุกรุ่นตั้งแต่ปี 2548 บั๊กหน่วยความจำ 3 ตัวทำให้ worker ล่มและอาจรันโค้ดได้ F5 ให้คะแนน CVSS v4.0 ที่ 9.2 ส่วนบั๊กหมุนคีย์ TLS session ticket อาจทำให้ปลอม session ข้ามการตรวจใบรับรองไคลเอนต์ได้ ทุกช่องโหว่ต้องอาศัยการตั้งค่าเฉพาะ และยังไม่มีรายงานการโจมตีจริง ช่องโหว่ regex map ตัวใหม่เกิดจากแพตช์เดือน ก.ค. จึงต้องอัปเกรดซ้ำ

Next.js ออกแพตช์นอกรอบเมื่อ 14 ต.ค. 2569 แก้ 2 ช่องโหว่รันโค้ดโดยไม่ต้องยืนยันตัวตนระดับ critical คะแนน 9.5 และช่องโหว่ DoS ระดับสูงอีก 1 รายการ ตัวแรกอยู่ใน React Server Components กระทบแอป Next.js 16 ที่เปิด Cache Components ตัวที่สองคือ CVE-2026-96889 ใน librsvg ที่ Next.js ใช้ผ่านแพ็กเกจ sharp เพื่อจัดการภาพ SVG บน Linux แบบ glibc แก้ไขแล้วในเวอร์ชัน 16.4.1 และ 15.5.28 แต่สาย 15 อาจยังค้าง sharp เวอร์ชันเก่าที่มีช่องโหว่ และสองช่องโหว่ยังไม่มี CVE ทำให้ npm audit ไม่เตือน

Drupal ออกแพตช์ CVE-2026-108097 ช่องโหว่ระดับ critical ในโมดูล Field UI ของ core ที่อาจทำให้ผู้โจมตีรันโค้ดบนเซิร์ฟเวอร์ได้ แก้แล้วในเวอร์ชัน 11.4.10, 11.3.19 และ 10.6.19 ช่องโหว่นี้เข้าถึงผ่าน core อย่างเดียวไม่ได้ ต้องอาศัยโมดูลเสริม และมีอย่างน้อยหนึ่งเส้นทางที่ไม่ต้องล็อกอิน เว็บไซต์ราว 151,000 แห่งหรือ 28.5% ยังอยู่บนเวอร์ชันที่หมดอายุและไม่มีแพตช์ เว็บไซต์ที่ยังอัปเดตไม่ได้ให้ถอนโมดูล field_ui ออกชั่วคราว

Langflow แพลตฟอร์มโอเพนซอร์สสร้างแอป AI มีช่องโหว่ CVE-2026-105740 คะแนน CVSS 9.9 ในเวอร์ชันก่อน 1.9.0 ที่ถูกโจมตีจริงแล้ว ผู้ใช้ที่ล็อกอินได้ แม้ไม่ใช่แอดมิน เพิ่ม MCP server แบบ stdio ที่ใส่คำสั่งอะไรก็ได้ แล้วคำสั่งจะรันทันทีเมื่อเรียกดูรายการเซิร์ฟเวอร์ honeypot ของ Previdian บันทึกความพยายามโจมตี 1,706 ครั้งจาก 28 IP ตั้งแต่ 19 ก.ย. 2569 ผู้โจมตีล็อกอินด้วยรหัสผ่านที่เดาง่ายแล้วพยายามดึง secret key และรหัสผ่าน superuser ผู้ดูแลควรอัปเดต ปิด auto-login และไม่เปิด Langflow สู่อินเทอร์เน็ต

OpenAI รายงานปฏิบัติการชี้นำข้อมูลของรัสเซียชื่อ Dark Clark ที่ส่งอีเมลปลอมเป็นหน่วยงานการศึกษาของเปรูและเอกวาดอร์ หลอกให้โรงเรียนจัดกิจกรรมแล้วนำภาพไปปลุกกระแสความขัดแย้ง ผู้ปฏิบัติการใช้ ChatGPT ช่วยวางแผน แปลภาษา สร้างเนื้อหา และเขียนรายงานภายใน และตั้งองค์กรวิจัยบังหน้าเพื่อจ้างคนในพื้นที่ OpenAI โยงกลุ่มนี้กับเครือข่ายของนาย Yevgeniy Prigozhin เป้าหมายใหญ่คือทำลายภาพลักษณ์ของยูเครน OpenAI ระบุว่า AI เพิ่มความได้เปรียบเพียงเล็กน้อย และหลายผลงานที่ผู้ปฏิบัติการอ้างไม่พบหลักฐาน