Group-IB เปิดโปง CyberDakait แคมเปญมัลแวร์แอนดรอยด์ที่เล็งลูกค้าธนาคารอินเดียตั้งแต่ ก.ค. 2568 พบเครื่องถูกยึดอย่างน้อย 17,960 เครื่องและ SMS ถูกดัก 7,611,443 ข้อความ ผู้โจมตีโทรแอบอ้างเป็นธนาคารให้ยกเลิกแผนคุ้มครองบัตรเครดิต แล้วพาไปติดตั้ง APK จาก GitHub ที่ขโมยข้อมูลบัตร รหัส OTP และแอบขุด Monero มัลแวร์ 7 ตระกูลสวมรอยธนาคาร 11 แห่งกับโครงการรัฐ 2 โครงการ และเก็บข้อมูล PAN กับ Aadhaar ด้วย ผู้ใช้ควรติดตั้งแอปธนาคารจากช่องทางทางการเท่านั้นและตรวจแอปที่ขอสิทธิ์ SMS

DDoSecrets เผยแพร่ชุดข้อมูล Icepick รายชื่อพนักงานและผู้รับเหมาของ DHS กว่า 41,000 ราย โดยให้เครดิตกลุ่ม Department of Peace ข้อมูลมีชื่อ อีเมล เบอร์โทร ตำแหน่ง หัวหน้างาน และกลุ่มสิทธิ์ภายในกว่า 55,000 กลุ่ม WIRED พบพนักงาน HSI 39 รายอยู่ในกลุ่มที่โยงกับงานนอกเครื่องแบบ DDoSecrets อ้างว่าข้อมูลมาจาก Okta SSO ของ DHS แต่ Okta ยืนยันว่าระบบไม่ถูกเจาะและยังไม่มีใครยืนยันช่องทางเข้า หน่วยงานที่ใช้ SSO ควรทบทวนการยืนยันตัวตนกับ help desk เพราะข้อมูลชุดนี้ใช้สวมรอยได้แนบเนียน

WordPress ออกเวอร์ชัน 7.1.4 เมื่อ 28 ตุลาคม แก้ช่องโหว่ 22 ตัวใน 17 ประกาศ ตัวร้ายแรงที่สุดเป็น race condition ในขั้นตอนอัปเดตที่เปิดให้ผู้โจมตีไม่ต้องล็อกอินรันตัวติดตั้ง WordPress ที่แตกค้างใน wp-content/upgrade/ ด้วยฐานข้อมูลของตัวเองจนรันโค้ดได้ ส่วนที่เหลือเป็น stored XSS ใน Interactivity API และ block markup และสิทธิ์เข้าถึงผิดพลาด Patchstack ประเมินว่า RCE ใช้จริงยากเพราะมีช่วงเวลาเพียงไม่กี่วินาที ผู้ดูแลควรอัปเดตทันที บล็อก wp-content/upgrade/ และทบทวนบัญชีระดับ Contributor ขึ้นไป

บริษัท Dream รายงานว่าผู้โจมตีที่สงสัยว่าเชื่อมโยงกับจีน ร้อยช่องโหว่ PHP2Shell เข้ากับช่องโหว่ยกสิทธิ์เคอร์เนล Linux Fragnesia จนได้ root บนไฟร์วอลล์25 เครื่องในสหรัฐฯ ญี่ปุ่น ไต้หวัน และเกาหลีใต้ ผู้โจมตีสแกนหน้าจัดการไฟร์วอลล์ราว 19,000 เครื่องด้วย FOFA คัดเหลือ 240 เป้า แล้วยิง exploit อัตโนมัติ เครื่อง 3 เครื่องอยู่ในเครือข่ายเกี่ยวข้องรัฐบาลสหรัฐฯ และถูกใช้เป็นทางเข้า Active Directory ยังไม่ชัดว่าได้รหัสผ่านจริงหรือไม่ ผู้ดูแลควรปิดหน้าจัดการไฟร์วอลล์จากอินเทอร์เน็ตและตรวจ web shell

TeamViewer ออกประกาศ TV-2026-1011 แก้ 3 ช่องโหว่ระดับสูงใน Full Client, Host และแอป Android ที่ใช้กับ TeamViewer Remote, Tensor และ ONE ช่องโหว่ 2 ตัวคะแนน 8.8 อยู่ในส่วนประมวลผลภาพหน้าจอ เครื่องปลายทางที่ประสงค์ร้ายหรือไฟล์บันทึกเซสชันที่สร้างมาเฉพาะจึงอาจทำให้แอปฝั่งผู้ควบคุมแครชหรือถูกรันโค้ด อีกตัวคะแนน 7.8 เปิดให้ผู้ใช้ในเครื่อง macOS ยกสิทธิ์เป็น root ผ่านตัวช่วยติดตั้ง TeamViewer ระบุว่ายังไม่พบการโจมตีจริง ผู้ดูแลควรอัปเดตเป็น 15.83 หรือรุ่น legacy ที่แก้แล้วทุกเครื่อง

นักวิจัย Searchlight ร้อยจุดอ่อนเล็ก ๆ หลายจุดในฟีเจอร์ Image Transformations ของ Cloudflare จนได้ XSS ผ่าน endpoint /cdn-cgi/image/ บน cloudflare.com ไฟล์ SVG ที่ซ่อนสคริปต์ในค่า namespace หลุดตัวกรอง svg-hush จากนั้น header Cache-Control ที่ส่งผ่านมาสั่ง Chromium ทิ้ง CSP ออกจากแคช แล้วการโหลดสำเนาจากแคชทำให้สคริปต์รันได้ เทคนิคเดียวกันใช้ทิ้ง CSP และ Content-Type บน Netlify Image CDN ได้ด้วย รายงานไม่ระบุ CVE หรือสถานะแพตช์ ทีมเว็บควรเลิกส่งต่อ header จากแหล่งที่ไม่เชื่อถือและตั้ง nosniff

ศาลสหรัฐฯ พิพากษาจำคุกนาย Artem Stryzhak ชาวยูเครนวัย 36 ปี เป็นเวลา 70 เดือน ฐานสมคบคิดก่ออาชญากรรมคอมพิวเตอร์ ในฐานะแอฟฟิลิเอตของแรนซัมแวร์ Nefilim และ Hive เขาร่วม Nefilim ช่วงมิถุนายน-ตุลาคม 2564 โดยแบ่งค่าไถ่ 20% ให้ผู้ดูแลระบบ และใช้ Hive โจมตีเหยื่อ 7 ราย ทั้งคลินิกทันตกรรม ผู้ให้บริการสุขภาพ และสำนักงานกฎหมาย นาย Stryzhak ถูกจับในสเปนเมื่อมิถุนายน 2567 และส่งตัวให้สหรัฐฯ ในปี 2568 ส่วนนาย Volodymyr Tymoshchuk ผู้ดูแล Nefilim ยังหลบหนี โดยสหรัฐฯ ตั้งรางวัลนำจับสูงสุด 10 ล้านดอลลาร์

GitGuardian รายงานว่าระหว่าง 13-21 ตุลาคม ผู้อยู่เบื้องหลัง GhostAction push 72,000 commit เข้า 23,000 repo สาธารณะผ่านบัญชีนักพัฒนาที่ยึดไว้ โดยมี 8,000 repo เป็นเป้าใหม่ ผู้โจมตีส่ง payload 5 แบบตามชนิด runner รวมถึงตัวขอโทเคน OIDC เพื่อสวมบทบาท AWS และ stealer ในไฟล์ฟอนต์ปลอมที่ลอกจาก PolinRider GitHub ตรวจพบและสกัดเวิร์กโฟลว์อันตรายไว้ได้ แต่ผู้โจมตียังเข้าถึงบัญชีที่ยึดไว้ได้ 1,792 บัญชี เจ้าของ repo ควรลบไฟล์ตาม IoC ทุก branch เพิกถอนโทเคน และหมุนเวียน secret ทั้งหมด

Black Lotus Labs ของ Lumen เปิดโปง Silent Train เครือข่ายแฝงที่ Volt Typhoon กลุ่มจารกรรมสายจีนใช้มาตั้งแต่ปลายปี 2566 เครือข่ายนี้ร้อยเราเตอร์ อุปกรณ์ IoT และอุปกรณ์องค์กรที่ถูกเจาะเป็นสายส่งต่อแบบใช้ครั้งเดียว แล้วลบร่องรอยหลังแต่ละเซสชัน กลุ่มนี้ใช้ Silent Train ใน zero-day 4 แคมเปญ ได้แก่ Versa Director, N-able N-central, Cisco SD-WAN และ Arista VeloCloud เหยื่อหลายร้อยรายอยู่ในโทรคมนาคม รัฐ กลาโหม และโครงสร้างพื้นฐานสำคัญ ผู้ดูแลควรปิดหน้าจัดการระบบเหล่านี้จากอินเทอร์เน็ตและแพตช์ให้ครบ

นาย Saifeldeen Aziz นักวิจัยความปลอดภัย อ้างว่าพบช่องโหว่ zero-click ใหม่ในสติกเกอร์ Telegram และนำไปบรรยายที่งาน OffensiveCon โตเกียว 28 ตุลาคม เขาใช้ LLM ช่วย fuzz ไลบรารี rlottie จนพบบั๊กหน่วยความจำ แล้วร้อยกับช่องโหว่เชิงตรรกะจนรันโค้ดบน iOS ได้ คำอ้างนี้ค้านจุดยืนของ Telegram ที่ว่าเซิร์ฟเวอร์กรองสติกเกอร์ไว้หมดแล้ว ขณะที่ ZDI เผยแพร่ CVE-2026-111105 ใน rlottie ที่ยังไม่มีแพตช์ บทคัดย่อยังไม่มีหลักฐานเทคนิค จึงยังไม่ยืนยัน ผู้ใช้ควรอัปเดตแอปและจำกัดคนที่ส่งข้อความหรือเพิ่มเข้ากลุ่มได้