บริษัท Flashpoint รายงานว่ามัลแวร์ขโมยข้อมูล CastleStealer ที่เขียนด้วย C# รุ่นใหม่ทะลวง App-Bound Encryption ของเบราว์เซอร์ตระกูล Chromium ได้ผ่านอินเทอร์เฟซ IElevator COM ของ Chrome ซึ่งรุ่นก่อนทำไม่ได้ และเพิ่มฟังก์ชัน remote shell ให้ผู้โจมตีสั่งคำสั่ง รันไฟล์ และดาวน์โหลดมัลแวร์อื่นได้ ข้อมูลที่ขโมยส่งออกเป็นชิ้นเล็กเข้ารหัส AES ผ่าน TCP เพื่อเลี่ยงทราฟฟิกพุ่ง มัลแวร์นี้แพร่ผ่าน ClickFix และโฆษณา Google ปลอมของ Node.js

รัฐฟลอริดา ไอโอวา มอนทานา และเนแบรสกาฟ้อง TP-Link Systems เมื่อ 6 ต.ค. รวมเป็น 5 รัฐหลังเท็กซัสฟ้องไปเมื่อ ก.พ. คำฟ้องกล่าวหาว่าบริษัทโฆษณาความปลอดภัยของเราเตอร์เกินจริง แจ้งว่าแยกจากจีนเกินความจริง และนโยบายความเป็นส่วนตัวละเลยความเสี่ยงจากกฎหมายข่าวกรองจีน วันถัดมาอัยการ 21 รัฐยื่นจดหมายถึง FCC เรื่องการขออนุมัติเราเตอร์รุ่นใหม่ TP-Link ปฏิเสธข้อกล่าวหาและจะสู้คดี

ผู้เชี่ยวชาญหลายรายเตือนผ่าน Dark Reading ว่าเมื่อองค์กรให้เอเจนต์ AI มีสิทธิ์ทำงานในระบบธุรกิจ ผู้โจมตีจะหันมาหลอกเอเจนต์แทนพนักงานในรูปแบบเดียวกับ BEC เครื่องมือหลักคือ prompt injection ทั้งแบบตรงและแบบแฝงในเว็บหรืออีเมล เพื่อสั่งให้เอเจนต์แก้ข้อมูลผู้ขาย เปลี่ยนบัญชีรับเงิน หรือดึงข้อมูลสำคัญ ผู้เชี่ยวชาญแนะนำให้ถือเอเจนต์เป็นตัวตนที่ต้องทำบัญชีคุม วางการควบคุมไว้นอกตัวเอเจนต์ และให้มนุษย์อนุมัติงานเสี่ยงสูง

นักวิจัยจาก V12 เผยแพร่ exploit AnyPwn ที่ใช้งานได้จริงบน GitHub สำหรับช่องโหว่ RCE ก่อนยืนยันตัวตนใน AnyDesk บน Linux ผู้โจมตีได้สิทธิ์ root ก่อนที่ใครจะกดอนุญาตการเชื่อมต่อ ต้นเหตุคือ integer overflow ขนาด 32 บิตในโปรโตคอล session ซึ่งนำไปสู่ heap overflow AnyDesk แก้ไขในเวอร์ชัน 8.0.3 ตั้งแต่มิถุนายน แต่ changelog เขียนเพียงว่าแก้บั๊กที่ทำให้ crash จนถึงตอนนี้ยังไม่มี CVE และไม่มีประกาศความปลอดภัย

บริษัท Anthropic เปิดบริการ OSS Scanner ให้โครงการโอเพนซอร์สสมัครเข้าร่วมเพื่อรับการสแกนช่องโหว่เป็นระยะด้วยโมเดลที่แรงที่สุดรวมถึง Claude Mythos โดยไม่เสียค่าใช้จ่าย รายงานสร้างโดยโมเดลทั้งหมดโดยไม่มีคนตรวจคัดกรอง จึงไม่กำหนดระยะเปิดเผย 90 วันเพราะอาจมีผลบวกลวง ผู้ดูแลสมัครผ่าน pull request พร้อมไฟล์ YAML และ Dockerfile ที่ build ได้แบบออฟไลน์ Anthropic ระบุว่าพบช่องโหว่ที่เป็นไปได้แล้วกว่า 29,000 รายการ

บริษัท Huntress พบผู้โจมตีใช้ช่องโหว่ 2 รายการในซอฟต์แวร์สำรองข้อมูล AhsayCBS ร่วมกัน คือ CVE-2026-105133 ข้ามการยืนยันตัวตน และ CVE-2026-105134 command injection (CVSS 9.3) เพื่อรันคำสั่งระยะไกล การโจมตีเริ่ม 7 ต.ค. และกระทบแล้ว 5 องค์กร ผู้โจมตีฝังเว็บเชลล์และตัวขุด XMRig ที่ปลอมชื่อเป็น edge.exe แม้ NVD ระบุว่าแก้แล้วในเวอร์ชัน 10.3.4 แต่ Huntress ยืนยันว่าเวอร์ชันนี้ยังโดน ช่องโหว่ทั้งคู่จึงเป็นซีโรเดย์ที่ยังไม่มีแพตช์

บริษัท Bitdefender เปิดโปง Midnight Mimosa มัลแวร์ที่ฝังมาในเฟิร์มแวร์มือถือ Android ราคาถูกที่ใช้ชิป MediaTek ตัวมัลแวร์เป็นแอประบบที่ลงนามด้วย platform key ผู้ใช้ถอนไม่ได้ และติดตั้ง/ลบแอปพร้อมให้สิทธิ์ได้เงียบ ๆ ช่วง 2 ปีพบเครื่องติดเชื้อหลายพันเครื่องในกว่า 150 ประเทศ เป้าหมายหลักคือโกงคลิกโฆษณาและขายเครื่องเป็น residential proxy นอกจากนี้ยังพบแอป 13 ตัวบน Google Play ที่มีโค้ดตระกูลเดียวกัน

นักวิจัย beaksec เผยแพร่ PoC ช่องโหว่ CVE-2026-107181 ใน Telegram Desktop ก่อนเวอร์ชัน 7.2.9 คะแนน CVSS 4.0 อยู่ที่ 8.6 ช่องทาง IPC ที่รับลิงก์จากภายนอกไม่ escape ตัวคั่นระเบียน ผู้โจมตีจึงแทรกคำสั่งไปเรียกตัวช่วยเก่าที่อ่านไฟล์ในเครื่องแล้วส่งเข้าแชทได้ ไฟล์ session ที่ถูกขโมยใช้ยึดบัญชีได้หากไม่ได้ตั้ง local passcode ช่องโหว่แก้แล้วในเวอร์ชัน 7.2.9 และยังไม่พบการโจมตีจริง

การแข่งขัน Pwn2Own Ireland 2026 ที่เมืองคอร์ก มี 3 ทีมเจาะ Google Pixel 10 ที่แพตช์ครบจากระยะไกลได้สำเร็จเมื่อ 8 ตุลาคม 2569 รวมเงินรางวัล 562,500 ดอลลาร์ Ikotas Labs ได้รางวัลสูงสุด 300,000 ดอลลาร์และตำแหน่ง Master of Pwn อย่างน้อย 2 ใน 3 ผลงานใช้บั๊กที่เคยมีผู้รายงานมาก่อน ZDI ยังไม่เปิดเผยวิธีเจาะ และ Google ยังไม่มีแพตช์ Galaxy S26 ถูกเจาะครบ 7 ครั้ง ส่วนทั้งงานสำเร็จ 51 จาก 63 ครั้ง รางวัลรวมกว่า 1.2 ล้านดอลลาร์

บริษัท Citrix ออกแพตช์ช่องโหว่ CVE-2026-107406 ใน NetScaler ADC และ NetScaler Gateway คะแนน CVSS 9.5 เป็น memory overflow ที่อาจนำไปสู่ RCE หรือ DoS เงื่อนไขคืออุปกรณ์ต้องตั้งค่าเป็น SAML identity provider หรือ service provider ยังไม่พบหลักฐานการโจมตีจริง ทีม JPMorgan Chase XOR และนาย Maxim Suhanov เป็นผู้รายงาน แก้แล้วในเวอร์ชัน 14.1-73.46 และ 13.1-64.29 ขึ้นไป