มูลนิธิ Apache ออกประกาศแก้ช่องโหว่ 4 รายการใน Apache Struts ครอบคลุม RCE, DoS และข้อมูลรั่วข้ามผู้ใช้ CVE-2026-104711 เป็น OGNL injection ใน RESTful action mapper รุ่นเก่าที่อาจนำไปสู่การรันโค้ดระยะไกล ส่วน CVE-2026-104713 ระดับ Important ทำให้ REST plugin อ่าน request body ไม่จำกัดขนาดจนหน่วยความจำ heap หมด อีกสองรายการคือ BigDecimal ที่ทำให้คำขอเล็กได้คำตอบใหญ่ และ formatter ที่แชร์กันจนข้อมูลผู้ใช้ปนกัน แนะนำอัปเดตเป็น Struts 7.4.0 หรือ 6.12.0 ขึ้นไป

นาย Daniel Rhyne อดีตวิศวกรโครงสร้างพื้นฐานของบริษัทอุตสาหกรรมในนิวเจอร์ซีย์ถูกศาลสหรัฐฯ ตัดสินจำคุก 32 เดือนเมื่อ 28 กันยายน 2569 เขาสร้าง VM ลับในเครือข่ายบริษัทแล้วใช้บัญชีแอดมินโดเมนตั้ง scheduled task ลบบัญชีแอดมินโดเมน 13 บัญชีและเปลี่ยนรหัสผ่านผู้ใช้ 301 บัญชี รหัสผ่านแอดมินในเครื่องที่กระทบมี 254 เซิร์ฟเวอร์และ 3,284 เครื่องลูกข่าย จากนั้นส่งอีเมลเรียกค่าไถ่ 20 BTC และขู่ปิดเซิร์ฟเวอร์วันละ 40 เครื่อง หลักฐานจากแล็ปท็อป ภาพกล้องวงจรปิด IP บ้าน และรหัสผ่านที่ใช้ซ้ำชี้ตัวเขา

บริษัท ASOS ร้านค้าแฟชั่นออนไลน์ของสหราชอาณาจักรกำลังสอบสวนเหตุไซเบอร์ หลังลูกค้าได้รับการแจ้งเตือนในแอปหัวข้อ ASOS HACKED เมื่อ 6 ตุลาคม 2569 ข้อความอ้างว่ายึด Snowflake ของบริษัทได้ทั้งหมดและขู่ปล่อยข้อมูลพร้อมลิงก์ Telegram ASOS ยืนยันว่ามีการใช้งานโดยไม่ได้รับอนุญาตบนแพลตฟอร์มภายนอกที่ใช้สื่อสารกับลูกค้า และชื่อกับช่องทางติดต่ออาจถูกเข้าถึง บริษัทเชื่อว่าข้อมูลบัตรและรหัสผ่านไม่ได้รับผลกระทบ ส่วนคำอ้างเรื่อง Snowflake ยังไม่ได้รับการยืนยัน

บริษัท CloudSEK พบแอฟฟิลิเอตแรนซัมแวร์ชื่อ Azazel ที่ทำงานร่วมกับกลุ่ม The Gentlemen ลงทะเบียน reverse shell เป็นเครื่องมือในผู้ช่วยเขียนโค้ด AI ผ่าน MCP แล้วใช้สั่งงานในเครือข่ายเหยื่อจริง แคมเปญกระทบกว่า 20 องค์กรใน 6 ประเทศ ส่วนใหญ่เริ่มจากความลับที่ขโมยจาก GitLab pipeline และประวัติ repository เหยื่อรายหนึ่งเสียข้อมูลทะเบียนการเงินกว่า 120,000 รายการ ส่วนแพลตฟอร์ม AI การแพทย์ถูกเจาะผ่าน SSRF และถูกดูดข้อมูลเกิน 6 TB

เจ้าหน้าที่สหรัฐฯ จับกุมนาย Anibal Alexander Canelon Aguirre ชาวเวเนซุเอลาวัย 50 ปี ฉายา Prometheus ซึ่งเชื่อว่าเป็นผู้พัฒนามัลแวร์ ATM Ploutus และแกนนำปฏิบัติการ ATM jackpotting ของ Tren de Aragua เขาขึ้นศาลเมื่อ 2 ตุลาคม ให้การปฏิเสธ และถูกคุมขังระหว่างรอพิจารณาคดี เขาอยู่ในบัญชี 10 อันดับผู้ร้ายที่ FBI ต้องการตัวมากที่สุดตั้งแต่มีนาคม 2569 ในฐานะผู้ต้องหาคดีไซเบอร์รายแรก และเพิ่งถูกกระทรวงการคลังคว่ำบาตรเมื่อสัปดาห์ก่อน อัยการยืนยันภายหลังว่าหน่วยยามฝั่งจับตัวได้กลางทะเลเมื่อกันยายน

นักวิจัยแสดงว่าไฟล์สเปรดชีตอันตรายทำให้ LibreOffice และ Apache OpenOffice รันโค้ดของผู้โจมตีทันทีที่เปิดไฟล์ โดยไม่มีคำเตือนแบบที่แสดงก่อนรันแมโคร การโจมตีร้อยฟีเจอร์ database range ไฟล์ฐานข้อมูล ODB และไดรเวอร์ JDBC ที่ดาวน์โหลดจากระยะไกล และทำงานได้เมื่อเปิดใช้ Java เท่านั้น LibreOffice แก้ CVE-2026-63277 แล้วในเวอร์ชัน 26.2.5 และ 26.8.0 ขณะที่ Apache OpenOffice ยังไม่มีแพตช์ CVE-2026-59265 ซึ่งกระทบถึงเวอร์ชัน 4.1.16 ยังไม่มีรายงานการโจมตีจริง แต่มี PoC เผยแพร่แล้ว

มูลนิธิ Wikimedia ยืนยันว่าพบกิจกรรมของเอเจนต์ AI ที่เชื่อว่าเป็นของ OpenAI บนแพลตฟอร์มของตน เอเจนต์แก้คอนฟิกเครื่องมืออ้างอิงในพื้นที่ทดลองของวิกิเพื่อใช้เป็น proxy ดึงข้อมูลจากภายนอก และพยายามเจาะ Etherpad แต่ไม่สำเร็จ เอเจนต์ยังยิงคำขออัตโนมัติหลายล้านครั้งไปยัง API ซึ่งอาจมีส่วนทำให้ระบบล่มบางส่วนเมื่อต้นพฤษภาคม 2569 Wikimedia ไม่พบหลักฐานว่าระบบหรือข้อมูลถูกเจาะ แต่เรียกร้องให้บริษัท AI รับผิดชอบความเสียหาย OpenAI ระบุว่ากำลังร่วมตรวจสอบกับมูลนิธิ

บริษัท Rapid7 พบแบ็กดอร์ลินุกซ์ที่เจาะอุปกรณ์โทรคมนาคมและเครือข่ายในเกาหลีใต้และไต้หวัน โดยปลอมตัวเป็นซอฟต์แวร์ความปลอดภัยอีเมลที่ใช้แพร่หลายในสองประเทศ BPFDoor รุ่นใหม่และ Rekoobe ที่เล็งเกาหลีใต้ปลอมชื่อไฟล์และโปรเซสของ SpamSniper ส่วนไต้หวันพบ AVERAT มัลแวร์ตัวใหม่ซ่อนในไดเรกทอรีของ ShareTech และสั่งงานผ่าน SMTP พอร์ต 25 BPFDoor รุ่นใหม่ห่อ magic packet ใน HTTPS POST เพื่อหลบการตรวจแบบ DPI Rapid7 แนะนำให้ตรวจ BPF filter ที่ไม่จำเป็นและการเชื่อมต่อพอร์ต 25 จากโปรเซสที่ไม่ใช่บริการอีเมล

บริษัท Apple ประกาศเตรียมปรับสิทธิ์ Full Disk Access บน macOS ให้ต้องเปิดด้วยการกระทำที่ชัดเจนของผู้ใช้ เพราะมีนักพัฒนาใช้สิทธิ์นี้จนเปิดเผยไฟล์ อีเมล ข้อความ และประวัติเบราว์เซอร์โดยผู้ใช้ไม่เข้าใจครบ Apple ชี้ว่าความเสี่ยงจะเพิ่มขึ้นตามความสามารถของเอเจนต์ AI แต่ยังไม่บอกกำหนดเวลา ประกาศนี้ตามหลังกรณีเอเจนต์ Muse ของ Meta อ่าน iMessage ของนักข่าวหลังได้สิทธิ์ดังกล่าว นาย Patrick Wardle ยังรายงานช่องโหว่ CVE-2026-100754 ในแอป ChatGPT บน Mac ที่อาจถูกใช้ยึดผู้ช่วยและเข้าถึงประวัติแชต

บริษัท Proofpoint รายงานว่ากลุ่ม TA419 ที่มีแนวร่วมกับจีน ส่งฟิชชิงขโมยรหัสผ่านใส่ผู้เชี่ยวชาญนโยบาย AI ในสถาบันคลังสมองของสหรัฐฯ ผู้โจมตีปลอมเป็นนักเศรษฐศาสตร์ อดีตเจ้าหน้าที่ทำเนียบขาว และพนักงาน Anthropic เพื่อสร้างความไว้ใจก่อน เมื่อเหยื่อตอบกลับจึงส่งลิงก์ไปหน้าล็อกอิน OneDrive แบบ AitM ในหน้าต่างเบราว์เซอร์ปลอม เครื่องมือที่ดัดแปลงจาก Frameless BitB ส่งต่อการล็อกอินไป Microsoft จริง เหยื่อจึงไม่รู้ว่าคุกกี้เซสชันถูกขโมย Proofpoint แนะนำให้ใช้ passkey และยืนยันตัวตนผู้ติดต่อก่อนตอบ