คำแนะนำร่วมด้านความมั่นคงไซเบอร์จากญี่ปุ่น สหรัฐฯ ออสเตรเลีย และเยอรมนี เตือนว่าผู้ก่อภัยเกาหลีเหนือเบื้องหลังแคมเปญ Contagious Interview เจาะอุปกรณ์อย่างน้อย 30,000 เครื่องในกว่า 100 ประเทศ และดูดเงินหรือข้อมูลจากกระเป๋าคริปโตกว่า 7,000 ใบ รวมมูลค่าอย่างน้อย 10.71 ล้านดอลลาร์ เป้าหมายคือนักพัฒนาและผู้เชี่ยวชาญคริปโต บล็อกเชน และ Web3 โดยหลอกผ่านการสัมภาษณ์งานปลอมและแบบทดสอบเขียนโค้ด

บริษัท SolarWinds ออกแพตช์แก้ช่องโหว่ระดับสูง CVE-2026-28326 (CVSS 8.8) ใน Access Rights Manager ที่เปิดทางให้รันโค้ดจากระยะไกลโดยไม่ต้องยืนยันตัวตน ต้นตอมาจากคีย์แบบ static ที่ฝังตายไว้ในโค้ด กระทบ ARM เวอร์ชัน 2026.2 และก่อนหน้า แก้ไขแล้วใน 2026.2.1 บริษัทไม่ได้ระบุว่าถูกโจมตีจริง เครดิตนักวิจัยจาก Armadin การแก้ครั้งนี้ตามหลังการปิดช่องโหว่ Web Help Desk และ Serv-U อีกหลายรายการ

Fortinet เตือนว่าช่องโหว่ร้ายแรง CVE-2026-58138 (CVSS 9.8) ในแพลตฟอร์มจัดการเวิร์กโฟลว์ Orkes Conductor กำลังถูกใช้โจมตีจริง เป็นช่องโหว่รันโค้ดจากระยะไกลโดยไม่ต้องยืนยันตัวตน ผู้โจมตีส่งนิยามเวิร์กโฟลว์ที่ฝังคำสั่ง JavaScript หรือ Python เข้า API เพื่อหลุดออกจาก GraalVM ที่ตั้งค่าเปิดสิทธิ์เต็ม ณ วันที่ 9 กันยายน Fortinet บล็อกความพยายามโจมตี 1,290 ครั้งใน 24 ชั่วโมง เพิ่มขึ้น 132% แนะนำอัปเกรดเป็นเวอร์ชัน 3.30.2

CrowdSec เปิดเผยเมื่อ 18 กันยายนว่ามีผู้โจมตีคัดลอกรีโพ GitHub ส่วนตัวราว 170 รายการเมื่อ 22 พฤษภาคม ผ่านบัญชีของอดีตพนักงานที่เพิ่งลาออกและถูกทิ้งสิทธิ์เข้าถึงไว้ เครื่องของเขาถูกยึดในการโจมตีซัพพลายเชน npm ของ TanStack (CVE-2026-45321) ซอร์สโค้ดโผล่บนฟอรัมเมื่อ 16 กันยายน พร้อมอีเมลผู้ใช้ 83 ราย และข้อมูลนักลงทุนปี 2563 อีก 51 ราย บริษัทยืนยันว่าโครงสร้างพื้นฐานและฐานข้อมูลไม่ถูกเข้าถึง การโจมตีเดียวกันยังกระทบ Mistral AI และ OpenAI

CISA เพิ่มช่องโหว่เคอร์เนล Linux สามรายการเข้าบัญชี KEV เมื่อวันศุกร์ โดยอ้างหลักฐานว่าถูกใช้โจมตีจริง ได้แก่ CVE-2025-39682 (CVSS 9.8) ในเส้นทางรับข้อมูล TLS, CVE-2026-53266 (CVSS 8.8) เขียนนอกขอบเขตใน ebtables และ CVE-2025-39964 (CVSS 7.8) race condition บนซ็อกเก็ต AF_ALG ยังไม่มีรายละเอียดว่าถูกใช้โจมตีอย่างไร แต่ Red Hat อัปเดตประกาศยอมรับการโจมตีจริงแล้ว หน่วยงาน FCEB ต้องแก้ไขภายใน 21 กันยายน

บริษัท Zscaler ThreatLabz เปิดโปงปฏิบัติการใหม่ของกลุ่ม APT36 (Transparent Tribe) กลุ่มภัยคุกคามฝั่งปากีสถาน ในชื่อ Operation RapidRust ที่พุ่งเป้าหน่วยงานรัฐและกลาโหมในอินเดียและอัฟกานิสถาน โดยใช้มัลแวร์ใหม่สี่ตระกูล ได้แก่ RUSTYSHADE, RUSTYMOVE, PSNATCH และ BASHNATCH จุดเด่นคือแบ็กดอร์ RUSTYSHADE ที่เขียนด้วย Rust และใช้ private GitHub repository เป็นช่องทางสั่งการ (C2) ผ่าน GitHub REST API พร้อมจดโดเมนเลียนแบบสำนักข่าวอินเดียเพื่อโฮสต์สคริปต์อันตราย

บริษัท Microsoft ออกแพตช์แก้ช่องโหว่ร้ายแรงสูงสุดใน Azure AI Foundry รหัส CVE-2026-85889 คะแนน CVSS เต็ม 10.0 ที่เกิดจากการขาดการยืนยันตัวตนในฟังก์ชันสำคัญ เปิดทางให้ผู้โจมตีที่ไม่ผ่านการพิสูจน์ตัวตนยกระดับสิทธิ์ผ่านเครือข่ายได้ พร้อมแก้ช่องโหว่ระดับวิกฤตอีกหลายตัวใน Microsoft 365 Copilot, PostgreSQL และ Cosmos DB โดยช่องโหว่ฝั่งคลาวด์ทั้งหมดแก้ที่เซิร์ฟเวอร์แล้วผู้ใช้ไม่ต้องทำอะไร ส่วนช่องโหว่วินโดวส์อีกสองตัวต้องอัปเดตเอง

นักวิจัยพบกลุ่มแพ็กเกจ npm 13 ตัวที่ปล่อยสตีลเลอร์ JavaScript ตัวใหม่ชื่อ WeaselBiscuit ซึ่งมีฟังก์ชันทับซ้อนกับ BeaverTail และ OtterCookie สองมัลแวร์ในแคมเปญ Contagious Interview ของเกาหลีเหนือ แต่ตัวเล็กและเรียบง่ายกว่า มันถูกกระตุ้นผ่านการ import แพ็กเกจ ดึงมัลแวร์หลักจาก dead drop มารันในหน่วยความจำ แล้วดูดข้อมูลในที่เก็บของส่วนขยาย Chrome ทั้งบน Windows macOS และ Linux พร้อมบันทึกคลิปบอร์ดและคีย์บนเครื่อง Windows นักวิจัยยังไม่ฟันธงว่าเป็นฝีมือเกาหลีเหนือ

แพลตฟอร์มการตลาด Brevo ถูกเจาะห่วงโซ่อุปทาน ทำให้โค้ดอันตรายถูกฝังลงเว็บไซต์กว่า 100,000 แห่ง ผู้โจมตีเจาะครั้งแรกวันที่ 10 กันยายนผ่านช่องโหว่การจัดการ SAML SSO เข้าถึง 138 บัญชี รวมถึงบัญชีของ Trezor แล้วกลับมาอีกครั้งวันที่ 14 กันยายนโดยใช้คีย์ API ของ Cloudflare ที่ยึดได้ ปล่อย worker inject สคริปต์อันตรายเข้าไฟล์ JavaScript ที่ลูกค้าฝังบนเว็บ สคริปต์แสดงหน้ายืนยันตัวตนปลอมของ Cloudflare หลอกให้เหยื่อรันคำสั่งบนเครื่องด้วยเทคนิค ClickFix

CrowdStrike เผยว่า PhantomRaven มัลแวร์ขโมยข้อมูลบน npm ถูกพัฒนาโดยผู้โจมตีที่คาดว่าใช้ LLM เขียนโค้ด ประเมินด้วยความมั่นใจสูงจากคอมเมนต์ยืดยาว โค้ด placeholder และรูปแบบการวิเคราะห์โทเคน มัลแวร์ถูกพบครั้งแรกปลายเดือนตุลาคม 2568 ในแคมเปญ typosquatting กว่า 100 แพ็กเกจ ขโมยโทเคน ความลับ CI/CD และข้อมูล GitHub ของนักพัฒนา จุดที่แปลกคือผู้โจมตีอ้างตัวเป็นนักล่าบั๊ก และใช้ข้อมูลที่ขโมยได้ไปเคลมเงินรางวัลจากโครงการ bug bounty