Hudson Rock เปิดผลวิเคราะห์ FortiBleed 2.0 จากไฟล์รายงานคอนฟิก FortiGate ชุดใหม่ 1,703 ไฟล์ พบความลับแบบข้อความธรรมดา 40,573 รายการ รวมรหัสผ่านผู้ใช้ภายใน 37,076 รายการและรหัส LDAP ที่เชื่อมไฟร์วอลล์กับ Active Directory 1,576 รายการ ชุดนี้ไม่ใช่ช่องโหว่ใหม่ แต่เป็นข้อมูลคอนฟิกที่ถูกขโมยไป ส่วนใหญ่ลงวันที่ 20 กุมภาพันธ์ 2026 ตัวเลขเป็นจำนวนรายการ ไม่ใช่จำนวนผู้ใช้หรือรหัสที่ยังใช้ได้จริง ผู้ดูแลควรเปลี่ยนรหัส VPN, LDAP และ HA และเปิด MFA

Frontier Red Team ของ Anthropic เผยว่าโมเดล AI ภายในที่ยังไม่เปิดตัวพบช่องโหว่ใน Chrome, Safari, Android, Windows และ Linux แล้วร้อยเป็น exploit ใช้งานได้จริง 5 ชุด ชุดที่ร้ายแรงสุดรันคำสั่งระดับ root บนเซิร์ฟเวอร์ Linux ผ่านเครือข่ายโดยไม่ต้องล็อกอิน ส่วนชุด Chrome หลุดแซนด์บ็อกซ์ได้จากการเปิดหน้าเว็บครั้งเดียว ทุกช่องโหว่แจ้งผู้ผลิตและแพตช์แล้ว แต่บทบาทของคนในแต่ละขั้นยังตรวจสอบไม่ได้ และ CVE บางตัวมีคำอธิบายไม่ตรงกับที่ Anthropic เล่า ควรอัปเดต Chrome 156 และเคอร์เนล Linux

กระทรวงยุติธรรมสหรัฐฯ ประกาศยึดโดเมน virtualine.net ของ Virtualine ผู้ให้บริการ bulletproof hosting ที่โฆษณาว่ารองรับฟิชชิง คาร์ดดิง และสแปม ตามเอกสารศาล Virtualine โฮสต์ฟอรัมขายภาพทางเพศของผู้เยาว์ต่อแม้ถูกแจ้งเตือนจากหลายประเทศ และรับบิตคอยน์ผ่านกระเป๋าที่ไม่ผ่านการตรวจ AML Chainalysis พบเงินเชื่อมโยงแรนซัมแวร์ infostealer และฟอรัมอาชญากรภาษารัสเซีย ผู้ดำเนินการปฏิเสธข้อกล่าวหา และ Silent Push เตือนว่าเสียโดเมนหรือ ASN ไม่ได้แปลว่าบริการหยุด ผู้ดูแลเครือข่ายควรบล็อกช่วง IP ของ AS209800

GMO Internet Group ตั้งรางวัลรวมสูงสุด 1 ล้านดอลลาร์สำหรับเบาะแสที่นำไปสู่การจับกุมผู้เจาะบริการ Onamae.com Desktop Cloud หลังปฏิเสธข้อเรียกร้องค่าไถ่ราว 50 ล้านดอลลาร์ ผู้โจมตีขู่จะปั่นบัญชีลูกค้าในบริษัทหลักทรัพย์และ FX กว่า 70 แห่ง ปล่อยข้อมูล และโจมตีด้วยแรนซัมแวร์ ก่อนโพสต์ข้อมูลที่อ้างว่าเป็นของลูกค้า OANDA Japan ยืนยันว่ามีการล็อกอินและเทรดในบัญชีลูกค้าบางรายด้วยรหัสที่เชื่อว่ารั่วจากเซิร์ฟเวอร์ GMO ลูกค้าควรเปลี่ยนรหัสบัญชีเทรดจากอุปกรณ์อื่นและเปิด 2FA

Zero Day Initiative เผยว่า CVE-2026-35273 ช่องโหว่ Oracle PeopleSoft ที่ ShinyHunters ใช้เจาะมาตั้งแต่พฤษภาคม แท้จริงเป็น 3 ช่องโหว่ต่อกันที่ Oracle แก้รวมไว้ใต้หมายเลขเดียว จุดเริ่ม คือ SSRF ใน Integration Gateway ที่ยิงไปยัง 127.0.0.1 ซึ่ง Environment Management Hub เชื่อใจตั้งแต่ติดตั้ง จากนั้นเขียน web shell หรือไฟล์ XML เพื่อรันโค้ดโดยไม่ต้องล็อกอิน Mandiant พบผู้โจมตีหลบกฎ WAF ด้วยการเข้ารหัส URL ตัวอักษรเดียว ควรแพตช์ ปิด PSEMHUB ถ้ายังแพตช์ไม่ได้ และเปลี่ยนข้อมูลยืนยันตัวตนทั้งหมด

Check Point พบ Aokigahara มัลแวร์ขโมยข้อมูลบน Windows ที่ไม่ได้เก็บแค่รหัสผ่านเบราว์เซอร์ คริปโต และ VPN แต่เล็งไฟล์ยืนยันตัวตนและ session ของเครื่องมือ AI อย่าง Claude, ChatGPT Desktop, Codex, Cursor, Windsurf, GitHub Copilot และ Gemini CLI มันยังเก็บข้อมูล Git, กุญแจ SSH และไฟล์คอนฟิก AWS, Azure และ Google Cloud แล้วเข้ารหัสส่งออก ผู้โจมตีนำบัญชี AI ไปขายต่อหรือใช้ประวัติแชตที่มีโค้ดลับข่มขู่เรียกเงินได้ ควรปฏิบัติต่อ session ของเครื่องมือ AI เหมือนความลับระดับองค์กร

FoxIO พบช่องโหว่ TLS 3 จุดใน GoAhead เว็บเซิร์ฟเวอร์ที่ผู้ผลิตฝังในเฟิร์มแวร์เราเตอร์ เครื่องพิมพ์ และระบบควบคุมอุตสาหกรรม จุดร้ายแรงสุด CVE-2026-115881 คะแนน 9.1 ทำให้ build ที่ใช้ OpenSSL กับ mutual-TLS โหลดรายการเพิกถอนใบรับรองแต่ไม่เคยตรวจจริง อีก 2 จุดกระทบ build ที่ใช้ LibreSSL รุ่นเก่าและ Mbed TLS ยังไม่มีรายงานการโจมตีจริงและยังไม่ทราบว่าอุปกรณ์รุ่นใดได้รับผลกระทบ ผู้ผลิตอุปกรณ์ควรอัปเดตเป็น GoAhead 6.1.1 แล้วออกเฟิร์มแวร์ใหม่

Dark Reading รวบรวมเบนช์มาร์กวัดความสามารถด้านความปลอดภัยของโมเดล AI ที่ผุดขึ้นจำนวนมาก ทั้ง SEC-Bench Pro, Cyber Weapons Index ของ Booz Allen, การทดสอบสายการโจมตี 32 ขั้นของ AISI และกระดานผู้นำของ Sonar แต่ละตัววัดคนละมิติ เช่น การหาและเจาะช่องโหว่ การโจมตีเต็มสาย หรือคุณภาพโค้ด ส่วนการวัดว่าโมเดลจะทำสิ่งที่ไม่ได้รับอนุญาตหรือไม่ยังทำได้ยากมาก ผู้เชี่ยวชาญแนะให้ใช้เบนช์มาร์กสาธารณะคัดตัวเลือก แล้วทดสอบกับโค้ดและ workflow ขององค์กรเองก่อนตัดสินใจ

นาย Daniel B. Garrie จาก Law and Forensics เสนอ 3 กรอบช่วย CISO รับมือคำถามว่าใครต้องรับผิดเมื่อระบบ AI ถูกเจาะ บนเวที ISC2 Security Congress 2026 กรอบแรกให้คะแนนความเสี่ยงก่อน deploy เครื่องมือ AI จาก 5 มิติ กรอบที่สองบันทึกการตัดสินใจของบอร์ดอย่างละเอียด และกรอบที่สามเป็นเช็กลิสต์เก็บสถานะของระบบ AI ตอนเกิดเหตุ เขาย้ำว่าสิทธิ์เข้าถึงล็อกและ snapshot ของโมเดลต้องเขียนไว้ในสัญญากับผู้ให้บริการ AI ตั้งแต่แรก CISO ควรทดลองใช้กรอบนี้กับระบบ AI หนึ่งตัวภายใน 30 วัน

นาย Deepam Kanjani จาก Atlassian ถอดบทเรียนการรับมือ worm Shai-Hulud ในระบบ SaaS ขนาดใหญ่บนเวที ISC2 Security Congress 2026 แพ็กเกจที่ดูน่าเชื่อถือซ่อน dependency อันตรายลึก 3 ชั้น จึงหลุดการตรวจระดับบนสุด และ SBOM ที่เก่าไป 2 สปรินต์รายงานว่าระบบสะอาด ทีมไม่มีข้อมูล runtime จึงต้องไล่ล็อกกว่า 400 เซอร์วิสด้วยมือ เขาเสนอให้ SBOM ที่ deploy อายุไม่เกิน 72 ชั่วโมงและตรวจจับโมดูลแปลกปลอมขณะรันภายใน 90 วินาที