บริษัท Socket พบเอ็กซ์เทนชัน Firefox อันตราย 16 ตัวที่ปลอมเป็นพอร์ทัลกระเป๋าคริปโต ยูทิลิตี และเครื่องมือเบราว์เซอร์ 4 ตัวเป็นร่างโคลนของ Rabby Wallet อีก 12 ตัวเลียนแบบ OKX Wallet โค้ดดักจับ recovery phrase และ private key ระหว่างขั้นตอนนำเข้ากระเป๋า แล้วส่งไปยัง Cloudflare Workers ของผู้โจมตี Socket ประเมินว่าเป็นแคมเปญต่อเนื่องจากระลอกเดือนสิงหาคม 2569 Mozilla ถอดเอ็กซ์เทนชันทั้งหมดแล้วเมื่อ 5 ต.ค. ผู้ที่กรอก seed phrase จริงต้องย้ายทรัพย์สินไปกระเป๋าใหม่

Bloomberg รายงานโดยอ้างรายงานของอัยการสูงสุดเท็กซัสว่าเหตุเจาะระบบ Cerner รุ่นเก่าของ Oracle Health เมื่อต้นปี 2568 กระทบข้อมูลส่วนบุคคลและข้อมูลทางการแพทย์ของคนเกือบ 20 ล้านคน สูงกว่าตัวเลขที่เคยแจ้งหลายเท่า ผู้โจมตีใช้ credential ของลูกค้าที่ถูกขโมยเข้าเซิร์ฟเวอร์เก่าที่ยังไม่ย้ายขึ้น Oracle Cloud และคัดลอกข้อมูลออกไป ข้อมูลที่รั่วรวมถึงชื่อ หมายเลข SSN การวินิจฉัย ยา ผลตรวจ และภาพถ่ายทางการแพทย์ Oracle ยังไม่ยืนยันตัวเลขต่อสาธารณะ หากยืนยันจะเป็นหนึ่งในเหตุรั่วด้านสุขภาพใหญ่สุดของสหรัฐฯ

กระทรวงยุติธรรมสหรัฐฯ ตั้งข้อหาฉ้อโกงทางสายโทรคมนาคม 2 กระทงและสมคบคิดอีก 1 กระทงกับนาย Zohar Pinhasi เจ้าของบริษัทกู้ข้อมูลแรนซัมแวร์ MonsterCloud ในฟลอริดา เขาถูกกล่าวหาว่าบอกเหยื่อว่ามีเครื่องมือถอดรหัสเฉพาะและเตือนไม่ให้จ่ายค่าไถ่ แต่แอบติดต่อจ่ายค่าไถ่ให้ผู้โจมตีเพื่อซื้อตัวถอดรหัสเอง แล้วเรียกเก็บค่าบริการสูงกว่าค่าไถ่หลายเท่า รวมแล้วเก็บเงินลูกค้ากว่า 19 ล้านดอลลาร์ ขณะจ่ายค่าไถ่ไปกว่า 8 ล้านดอลลาร์ หากถูกตัดสินว่าผิดอาจได้รับโทษจำคุกสูงสุด 20 ปีต่อกระทง

แพ็กเกจ npm tensorlake 0.5.144 ซึ่งเป็น SDK แซนด์บ็อกซ์เอเจนต์ AI ถูกฝัง worm ตระกูล ChainDrop/Shai-Hulud หลังคอมมิตอันตรายเข้า main branch ภายใต้ชื่อผู้ดูแลเมื่อ 7 ต.ค. 2569 มัลแวร์รันผ่าน preinstall hook ขโมย token npm, GitHub, คีย์คลาวด์, Kubernetes, Vault, SSH และคอนฟิกเครื่องมือ AI แล้วแพร่ต่อด้วยการ republish แพ็กเกจของเหยื่อ ยังวางไฟล์ .claude และ .vscode ให้รันซ้ำเมื่อเปิดโปรเจกต์ และล้างโฮมไดเรกทอรีหากเหยื่อเพิกถอน token ต้องถอดตัวเฝ้า token ก่อนเปลี่ยน credential

บริษัท ESET เผยแพร่ผลวิเคราะห์ MatchBoil ดาวน์โหลดเดอร์ภาษา C# ของกลุ่มจารกรรม UAC-0099 ที่เชื่อว่าสอดคล้องกับผลประโยชน์รัสเซีย ตัวอย่างระหว่าง เม.ย. 2567 ถึง เม.ย. 2569 แสดงการพัฒนาต่อเนื่องจาก downloader ที่ทำงานครั้งเดียวเป็นตัวที่ติดต่อ C2 ทุก 2 นาที เวอร์ชันใหม่ใช้ .NET Reactor ตรวจ sandbox จากเวลา uptime ใน Event Log และแสดงหน้าต่างแอปปลอม เหยื่อที่พบทั้งหมดอยู่ในยูเครน ไล่จากขนส่ง การผลิต สู่พลังงาน ESET ประเมินว่ากลุ่มนี้อาจเป็นนายหน้าส่งต่อสิทธิ์เข้าถึงให้ Sandworm

บริษัท Hunt.io นำตัวบ่งชี้ของ BraZetsu ที่ Group-IB เผยแพร่เมื่อ 31 ส.ค. 2569 มาเทียบกับคลังใบรับรอง TLS ของตน พบว่าโฮสต์ C2 ย้ายไปเซิร์ฟเวอร์ใหม่ที่ Njalla ตั้งแต่ 4 เม.ย. หรือเกือบ 5 เดือนก่อนรายงาน ผู้ควบคุมใช้ Hestia Control Panel และตั้งชื่อโฮสต์ขึ้นต้น painel. หรือ c2. บนพอร์ตที่ไม่ใช่ 443 ซ้ำเดิมแม้เปลี่ยนผู้ให้บริการ แฮชมัลแวร์เปลี่ยนไป 5 เวอร์ชันใน 4 เดือน แต่รูปแบบโครงสร้างคงที่ตั้งแต่ ก.พ. ถึง มิ.ย. Hunt.io จึงแนะนำให้สร้างกฎตรวจจับจากรูปแบบแทนการไล่บล็อก IP

นาย Ron Deibert ผู้อำนวยการ Citizen Lab ขึ้นปาฐกถาหลักที่งาน SecTor 2026 ในโทรอนโต วิจารณ์ว่ารัฐบาลสหรัฐฯ ภายใต้ประธานาธิบดี Trump และผู้บริหารบริษัทเทคโนโลยีบางรายกำลังผลักดันการสอดแนมวงกว้างและแนวคิดที่เขาเรียกว่า techno-fascism เขาชี้ว่าความคืบหน้าในการคุมสปายแวร์เชิงพาณิชย์ เช่น การคว่ำบาตร Intellexa อาจถูกพลิก โดยยก ICE ที่กลับมาใช้สัญญากับ Paragon และ NSO Group ที่ล็อบบี้ให้หลุดบัญชีคว่ำบาตร เขายังเตือนว่า AI ทำให้ภัยที่ Citizen Lab ติดตามมา 25 ปีรุนแรงขึ้น

กระทรวงการต่างประเทศสหรัฐฯ ตั้งรางวัลสูงสุด 10 ล้านดอลลาร์สำหรับข้อมูลเกี่ยวกับนาย Zhang Yu ชาวจีนที่ถูกกล่าวหาว่าทำงานให้สำนักงานความมั่นคงแห่งรัฐเซี่ยงไฮ้ของกระทรวงความมั่นคงแห่งรัฐจีน คดีกล่าวหาว่าเขาและนาย Xu Zewei เจาะมหาวิทยาลัยและนักวิจัยวัคซีนโควิด-19 ช่วงปี 2563-2564 ตามคำสั่งเจ้าหน้าที่ข่าวกรอง และเกี่ยวข้องกับแคมเปญ HAFNIUM ที่เจาะ Microsoft Exchange Xu ถูกจับที่มิลานและส่งตัวถึงสหรัฐฯ เมื่อเมษายน 2569 ส่วน Zhang ยังหลบหนี ข้อกล่าวหายังไม่ได้พิสูจน์ในชั้นศาล

Google เปิดเผยว่าผู้โจมตียึดระบบโดเมนระดับบนสุดประจำประเทศ 3 แห่ง ได้แก่ .gh (กานา) .sl (เซียร์ราลีโอน) และ .as (อเมริกันซามัว) แล้วแก้ DNS เพื่อขอใบรับรอง HTTPS ให้โดเมน Google ระบบของ Google ไม่ได้ถูกเจาะ แต่ทุกโดเมนใต้ 3 ccTLD นี้ตกอยู่ในความเสี่ยง บันทึก Certificate Transparency พบใบรับรองอย่างน้อย 12 ใบสำหรับ 7 โดเมนของ Google และ YouTube ออกระหว่าง 22-27 กันยายน 2569 Chrome บล็อกใบรับรองผ่าน CRLSets และ CA เพิกถอนครบแล้ว Google ระบุว่ามีแบรนด์ระดับโลกอื่นโดนด้วยแต่ไม่เปิดชื่อ

บริษัท SonicWall ออก hotfix แก้ 4 ช่องโหว่ในอุปกรณ์ SMA1000 ร้ายแรงสุดคือ CVE-2026-102255 ช่องโหว่ SSRF ในพอร์ทัล WorkPlace คะแนน CVSS 10.0 ซึ่งเข้าถึงได้โดยไม่ต้องล็อกอิน อีก 3 ช่องโหว่ต้องล็อกอินก่อน รวมถึง command injection ที่อาจนำไปสู่การรันโค้ด เวอร์ชันที่ได้รับผลกระทบรวมถึงเวอร์ชันที่ออกเมื่อ 1 กันยายนเพื่อแก้ช่องโหว่ที่ถูกโจมตีจริง นี่เป็น SSRF ระดับ 10.0 ใน WorkPlace ครั้งที่สามของปี SonicWall ระบุว่ายังไม่พบการโจมตีจริง