Kiteworks (เดิมชื่อ Accellion) ระบุว่าได้ทำงานร่วมกับหน่วยข่าวกรองรัฐบาลกลางสหรัฐช่วงสุดสัปดาห์ และพบพร้อมแก้ช่องโหว่ระดับวิกฤตระหว่างการปิดระบบเชิงป้องกัน ช่องโหว่จำกัดอยู่ในความสามารถที่เปิดใช้ให้ลูกค้าน้อยกว่า 1% และยังไม่มีหลักฐานว่าถูกใช้โจมตีจริง บริษัทพัฒนาและติดตั้งแพตช์ภายในช่วงเวลาดังกล่าว พร้อมเพิ่มการป้องกันอีกชั้นทุกสภาพแวดล้อม และยกเลิกคำแนะนำปิดระบบเมื่อ 27 กันยายน โดยยังไม่มีการกำหนด CVE

นักวิจัย OX Security พบกลุ่มแพ็กเกจ npm 101 ตัวที่ดักนักพัฒนาเข้าแคมเปญเพิ่มผู้ติดตามกลุ่ม WhatsApp ชื่อ PhantomSub โดยใช้โปรเจกต์โอเพนซอร์ส Baileys เพิ่มเหยื่อเข้ากลุ่มโดยไม่ยินยอม แพ็กเกจถูกดาวน์โหลดรวม 490,000 ครั้ง แบ่งเป็นสามสายพันธุ์ที่จัดการรายชื่อช่องต่างกัน กลุ่มและช่องที่ระบุได้ส่วนใหญ่เป็นของผู้ขายบอตในอินโดนีเซีย นักพัฒนาควรตรวจสอบว่าถูกเพิ่มเข้ากลุ่มหรือไม่และเลี่ยงแพ็กเกจที่ต้องเชื่อมต่อบัญชี WhatsApp ส่วนตัว

Microsoft พบแคมเปญเว็บดาวน์โหลดซอฟต์แวร์ปลอมที่เลียนแบบผู้ผลิตชื่อดังและแจกตัวติดตั้งฝังมัลแวร์ ประเมินด้วยความมั่นใจปานกลางว่าเชื่อมโยงกลุ่ม Silver Fox (Yinhu) กระทบผู้ใช้พูดภาษาจีนเป็นหลัก ขณะที่ Pelagos Intel วิเคราะห์อีกสายหนึ่งที่ส่งข้อความ WhatsApp ธีมการเงินไปยังผู้รับในมาเลเซีย มัลแวร์สร้าง scheduled task ปิด Windows Update และลบสำเนากู้คืน ทั้งนี้ยังไม่มีหลักฐานยืนยันว่าสองสายเป็นการบุกรุกเดียวกัน

บริษัท Huntress เปิดเผยแคมเปญ ClickFix ที่ใช้ Custom GPTs ของ ChatGPT ปลอมเป็นผลิตภัณฑ์ยอดนิยมเพื่อลวงเหยื่อรันโค้ดอันตราย โดย Custom GPT จะตอบด้วยลิงก์ Google Sites ที่นำไปยังหน้า ClickFix สั่งให้รัน PowerShell ดาวน์โหลดไฟล์ MSI มีผู้ติดมัลแวร์แล้วอย่างน้อย 40 ราย OpenAI ลบ Custom GPT ตัวแรกเมื่อ 25 กันยายน แต่พบตัวที่สองในวันที่ 27 กันยายน สุดท้ายเหยื่อถูกติดตั้ง RAT ที่ดึงและรัน payload ได้หลายชนิด

ศูนย์ข้อมูลกำลังพล (DMDC) ของกระทรวงกลาโหมสหรัฐเริ่มแจ้งเตือนว่าข้อมูลส่วนบุคคลถูกเปิดเผย หลังผู้ไม่ได้รับอนุญาตเข้าถึงเซิร์ฟเวอร์แชร์ไฟล์ได้นานราว 9 เดือน ข้อมูลที่รั่วรวม Social Security number ชื่อ วันเกิด และข้อมูลติดต่อ เจ้าหน้าที่ระบุกระทบผู้ยังมีชีวิต 2.76 ล้านรายและผู้เสียชีวิต 294,000 ราย ยังไม่ทราบว่าใครอยู่เบื้องหลัง และไม่มีกลุ่มใดออกมาอ้างความรับผิดชอบ

ตำรวจเนเธอร์แลนด์ยืนยันจับกุมชายวัย 24 ปีจากอัมสเตอร์ดัมในคดีสืบสวนกลุ่มแฮ็กเกอร์ ShinyHunters โดยผู้ต้องหามีกำหนดขึ้นศาลเขตรอตเทอร์ดามวันที่ 29 กันยายน สื่อความมั่นคงระบุตัวว่าคือ Pepijn van der Stap ที่เคยถูกจับปี 2023 และปัจจุบันทำงานสาย offensive security ด้าน ShinyHunters ปฏิเสธว่าไม่มีความเกี่ยวข้องกับผู้ต้องหา ท่ามกลางกระแสที่กลุ่มเพิ่งอ้างเจาะเว็บสมัครงานของ FBI

ทีมผู้ดูแล MCP Python SDK ออกประกาศเตือนช่องโหว่ที่ยอมให้เซิร์ฟเวอร์ MCP อันตรายหลอกแอปพลิเคชันฝั่งไคลเอนต์ส่ง client secret, authorization code และ PKCE ไปยัง token endpoint ของผู้โจมตี ผู้โจมตีจึงนำไปขอ access token ที่ใช้งานได้จริงจากบริการล็อกอินตัวจริง ช่องโหว่ได้คะแนนสูงสุด 7.5 และยังไม่มี CVE ณ วันที่ 29 กันยายน บริษัท Cycode เป็นผู้รายงานและสาธิตการขโมยได้สำเร็จ แก้ไขแล้วในเวอร์ชัน 1.30.0 และ 2.2.0

บริษัท Apple ออกอัปเดตแก้ช่องโหว่ CVE-2026-86950 ใน CoreGraphics ที่ระบุว่าอาจถูกใช้ในการโจมตีแบบเจาะจงเป้าหมาย เป็น out-of-bounds write ที่นำไปสู่การรันโค้ดได้เมื่อประมวลผลไฟล์ที่สร้างขึ้นมาเป็นพิเศษ บริษัท Apple แก้ด้วยการปรับปรุงการตรวจสอบขอบเขต และให้เครดิต Meta Product Security ที่ค้นพบ กระทบ iOS/iPadOS ก่อน iOS 27 และ macOS Sequoia/Tahoe แก้แล้วใน iOS 26.7.1, iPadOS 26.7.1, macOS Tahoe 26.7.1 และ macOS Sequoia 15.8.1 ผู้ใช้ควรอัปเดตทันที

บริษัท Microsoft เผยการวิเคราะห์มัลแวร์ตระกูล NeedyMantis ที่ผู้โจมตีใช้คงการเข้าถึงเครือข่ายที่เจาะได้แล้วในระยะยาว พบในการบุกรุกแบบเจาะจงจำนวนน้อยที่โทรคมนาคม มหาวิทยาลัย องค์กรการแพทย์ องค์กรระหว่างรัฐบาล และผู้รับเหมาภาครัฐ ย้อนไปอย่างน้อยตุลาคม 2025 มัลแวร์มาเป็นชุดสามส่วนและอาศัย DLL sideloading ผ่านโปรแกรมถูกกฎหมายอย่าง Poedit, curl, Vim และ TightVNC บริษัท Microsoft ติดตามกลุ่มหนึ่งที่ใช้มันในชื่อ Storm-3069 ซึ่งประเมินว่ามาจากจีน และเชื่อมโยงกับการโจมตีซัพพลายเชนของ DAEMON Tools

CISA เพิ่ม 2 ช่องโหว่วิกฤตใน Citrix NetScaler ADC และ Gateway เข้า KEV หลังพบถูกใช้โจมตีทั่วโลก คือ CVE-2026-88771 (CVSS 9.5) improper input validation ให้รันคำสั่งได้โดยไม่ต้องยืนยันตัวตน และ CVE-2026-88772 (CVSS 9.5) buffer error ที่นำไปสู่ RCE หรือ DoS โดย 88772 ต้องเปิด DTLS ซึ่งเปิดเป็นค่าเริ่มต้นบน VPN vserver บริษัท watchTowr สาธิตว่า 88771 รันโค้ดเป็น root ผ่าน endpoint pre-auth ได้ ขณะ Unit 42 พบเครื่องเปิดสู่สาธารณะกว่า 50,277 เครื่อง