นักวิจัยเปิดเผยมัลแวร์ที่เขียนด้วยภาษา Go ซึ่งถูกแจกจ่ายผ่าน Go Modules และ Terraform providers นับเป็นครั้งแรกที่ผู้ก่อภัยใช้ registry กลางของ HashiCorp เป็นช่องทางแพร่มัลแวร์ กิจกรรมนี้ทับซ้อนกับแคมเปญ Graphalgo ที่เชื่อมโยงกับเกาหลีเหนือ ซึ่งหลอกนักพัฒนาผ่านการสัมภาษณ์งานปลอม มัลแวร์ใช้ C2 สองช่องทางทั้งบล็อกเชนและ Slack เพื่อรับคำสั่งอย่างลับ ผู้เชี่ยวชาญเตือนว่า Terraform registry อาจกลายเป็นช่องทางแพร่มัลแวร์ช่องทางใหม่

นักวิจัยจากบริษัท Checkmarx เปิดเผยแพ็กเกจ npm อันตรายชื่อ indexed-btree ที่ซ่อนพฤติกรรมอันตรายไว้ในโค้ดรันไทม์แทนการใช้ lifecycle script เพื่อเลี่ยงมาตรการใหม่ของ npm v12 แพ็กเกจถูกอัปโหลดตั้งแต่ 18 มิถุนายน 2569 มียอดดาวน์โหลดหลักล้านในเวลาสั้น และอาจทำกำไรผิดกฎหมายให้ผู้โจมตีราว 230,933 ยูโร (109 ETH) มัลแวร์ใช้เทคนิค EtherHiding ดึง payload ขั้นถัดไปจาก smart contract บน Sepolia testnet ขณะที่แคมเปญ PolinRider ที่โยงเกาหลีเหนือก็กลับมาโผล่บน Packagist อีกครั้ง

บริษัท Check Point เปิดเผยว่าช่องโหว่ zero-day บน Security Management Server รหัส CVE-2026-93616 ถูกใช้โจมตีแบบเจาะจงตั้งแต่ 23 กรกฎาคม เป็นช่องโหว่ path traversal ที่ให้ผู้โจมตีอัปโหลดและรันสคริปต์ได้โดยไม่ต้องล็อกอิน ระดับ CVSS 9.8 Check Point ออกแพตช์เมื่อ 22 กันยายน สำหรับเซิร์ฟเวอร์ที่ควบคุมนโยบายไฟร์วอลล์ของเกตเวย์ทั้งหมด นอกจากนี้ยังพบความพยายามโจมตีช่องโหว่ VPN CVE-2026-85102 ที่เล็ง Spark ตั้งแต่ 12 กันยายน ผู้ดูแลควรรีบตรวจเวอร์ชันและติดตั้งแพตช์ตาม sk1000171 และ sk1000117

นักวิจัยจากบริษัท ReversingLabs เปิดเผยแพ็กเกจ npm อันตรายชื่อ tw-pkgprobe-7731 ที่ปลอมเป็นเครื่องมือวิจัยความปลอดภัยในโครงการ bug-bounty ของ Twilio ถูกอัปโหลด 11 เวอร์ชันรวดใน 45 นาทีเมื่อกลางเดือนสิงหาคม 2569 เมื่อรันจะตรวจว่าเป็นสภาพแวดล้อมนักพัฒนา Twilio ก่อน แล้วดูดตัวแปรสภาพแวดล้อมและข้อมูลระบบส่งออกผ่าน webhook เวอร์ชัน 1.0.4 เพิ่มการขโมย ACCOUNT_SID และ AUTH_TOKEN ซึ่งเป็นข้อมูลรับรองบัญชี Twilio โดยตรง โดย Twilio ยืนยันว่าลบแพ็กเกจออกแล้วและระบบไม่ถูกเจาะ

ทีม GReAT ของบริษัท Kaspersky เปิดเผยมัลแวร์หลายสเตจตัวใหม่ที่แพร่ผ่าน torrent หนังดังอย่าง The Odyssey หลังคลังไฟล์ torrent สาธารณะแห่งหนึ่งถูกยึดเป็นช่องทางส่ง payload มัลแวร์ใช้ loader ตรวจจับ sandbox ของแอนติไวรัส ฝังตัวถาวร และ bypass UAC เพื่อยกสิทธิ์ผู้ดูแลระบบบน Windows จุดเด่นคือใช้บล็อกเชน Solana ดึงที่อยู่เซิร์ฟเวอร์ C2 ทำให้ปิดโครงสร้างได้ยาก พบเหยื่อหลายร้อยรายในหลายประเทศ ทั้งภาคเอกชน รัฐ ไอที ค้าปลีก ขนส่ง และเกษตร โดยแคมเปญเริ่มตั้งแต่กลางเดือนสิงหาคมและยังดำเนินอยู่

บริษัท Manifold Security พบว่าโดเมน third-party.com ที่นิยมใช้เป็น placeholder ในเอกสาร กลายเป็นแหล่งเสิร์ฟกล ClickFix ให้ผู้ใช้วินโดวส์ ขณะแสดงหน้าลวงไม่มีพิษภัยให้ผู้ใช้อื่น เพราะโดเมนนี้ไม่ได้ถูกสงวนโดย IANA จึงมีคนจดทะเบียนไปใช้ ทำให้ทุกเอกสาร เทสต์ และ skill ที่ฝังโดเมนนี้ไว้ชี้ไปยังโครงสร้างของผู้โจมตี พบถูกอ้างในกว่า 1,700 รีโพสาธารณะ และยังพบอีก 13 โดเมน placeholder ที่ไม่ถูกสงวน บางตัวเสิร์ฟสแกมและ scareware

งานวิจัยจาก Transluce, Corridor, MIT และ AIUC เผยว่าเอเจนต์ AI ที่ทำงานดึงข้อมูลธรรมดา หันไปใช้เทคนิคแฮ็กอย่างน้อย 3 กรณีเมื่อวิธีปกติล้มเหลว โดยยิงโพรบทดสอบ SQL injection, XSS, command injection และ path traversal ใส่ผู้ให้บริการข้อมูลสาธารณะ รวมถึงหน่วยงานสถิติรัฐบาลออสเตรเลีย นักวิจัยโยงกิจกรรมบางส่วนเข้ากับฝูงเอเจนต์ที่ OpenAI เคยยืนยันว่าเป็นของตน แม้ไม่มีการโจมตีใดสำเร็จ แต่ชี้ว่าพฤติกรรมแฮ็กเกิดขึ้นได้แม้ในงานที่ไม่เกี่ยวกับความปลอดภัย

บริษัท Arctic Wolf พบแคมเปญ ClickFix ที่กำลังเดินสายเจาะเว็บธุรกิจยูเครนของแท้ แล้ว inject หน้ายืนยันตัวตน Cloudflare ปลอมเพื่อหลอกให้เหยื่อรันคำสั่งใน Windows Run กล ClickFix ใช้ msiexec.exe ดึงตัวติดตั้ง MSI มาปล่อยอินโฟสตีลเลอร์ตัวใหม่ชื่อ Psychedelic ที่ดูดรหัสผ่านเบราว์เซอร์ โทเคนบัญชี และข้อมูลกระเป๋าคริปโต แผงควบคุมชื่อ Rublevka TDS บันทึกยอดคลิกจาก 32 ประเทศโดยเน้นยูเครนเป็นหลัก คาดว่าเป็นฝีมือผู้ปฏิบัติการที่พูดภาษารัสเซีย

SOCRadar เปิดโปงแคมเปญ Operation Conflict Compass ที่ใช้ไฟล์ทางลัดวินโดวส์ปลอมเป็น PDF เพื่อติดตั้งตัวดาวน์โหลดมัลแวร์ชื่อ VelvetCake เล่นงานคนและองค์กรที่ทำงานเกี่ยวกับยูเครน นักวิจัยเชื่อมโยงกับ Konni กลุ่มจารกรรมที่โยงเกาหลีเหนือด้วยความมั่นใจปานกลาง เหยื่อเป้าหมายคือสายการทูต งานวิจัยนโยบายและ NGO มัลแวร์เก็บข้อมูลระบบ จับภาพหน้าจอและส่งไฟล์ออกได้ แต่รายงานยังไม่ยืนยันจำนวนเหยื่อ

บริษัท Have I Been Squatted เปิดโปงสปายแวร์แอนดรอยด์ชื่อ Corp MDM ที่เจาะบริษัทในภาคโลจิสติกส์ ผ่านหน้า Google Play ปลอมที่สวมแบรนด์ CEVA และ TKW Logistics เพื่อแจกไฟล์ APK ที่ปลอมเป็นบริการระบบ มัลแวร์ดักข้อความ SMS ที่เข้ามาใหม่ เปิดการโอนสายอัตโนมัติ และคงบริการเบื้องหลังแบบซ่อน ส่งข้อมูลออกผ่าน HTTP แบบไม่เข้ารหัส คาดว่าเชื่อมโยงกับกลุ่มอาชญากรรมสาย Diesel Vortex ที่มีเบาะแสอาร์เมเนีย-รัสเซีย