บริษัท SAP ปล่อยประกาศความปลอดภัย 20 ฉบับในรอบเดือนกันยายน 2569 โดยฉบับสำคัญที่สุดปิดช่องโหว่ CVE-2026-44756 คะแนน CVSS เต็ม 10.0 ซึ่งเป็นปัญหาหน่วยความจำเสียหายในการประมวลผล Extended Passport ที่บริษัท Onapsis ตั้งชื่อว่า OVERPASS ผู้โจมตีที่ไม่ต้องยืนยันตัวตนสามารถรันคำสั่งระบบ ดึงข้อมูลยืนยันตัวตนของฐานข้อมูล อ่านเซสชันของผู้ใช้ที่ล็อกอินอยู่ และแก้ไขข้อมูลได้ ช่องโหว่อยู่ในโค้ดเคอร์เนลจึงกระทบผลิตภัณฑ์จำนวนมากตั้งแต่ S/4HANA ถึง NetWeaver ปัจจุบันยังไม่มีสัญญาณว่าถูกใช้โจมตีจริง

บริษัท Check Point เผยว่าคำสั่งที่ถูกฝังไว้ในบทสนทนา ChatGPT เพียงคำสั่งเดียวทำให้โมเดลแอบทำงานให้ผู้โจมตีไปพร้อมกับตอบคำถามผู้ใช้ตามปกติ ในการสาธิต งานที่ซ่อนอยู่อ่านข้อมูลจากบัญชี Gmail ที่ผู้ใช้เชื่อมไว้แล้วส่งต่อไปยังบัญชี ChatGPT อีกบัญชีหนึ่ง ช่องทางที่ใช้คือบริการติดตั้งแพ็กเกจภายในซึ่งคอนเทนเนอร์ของทุกบัญชีเข้าถึงได้ร่วมกัน โดยไม่มีการแยกข้อมูลตามบัญชี OpenAI ยืนยันว่าปิดบริการเบื้องหลังช่องทางนี้แล้วและผู้ใช้ไม่ต้องติดตั้งอะไรเพิ่ม

บริษัทด้านความปลอดภัย Calif สร้างเวิร์มที่ยึดบัญชี WeChat ได้ด้วยสายเรียกเข้าเพียงสายเดียว โดยเป้าหมายไม่ต้องกดรับหรือแตะเครื่องเลย เงื่อนไขเดียวคือผู้โทรต้องอยู่ในรายชื่อผู้ติดต่อของเหยื่อก่อน ซึ่งทำให้บัญชีที่ถูกยึดแล้วกลายเป็นฐานแพร่ต่อไปยังผู้ติดต่อรายอื่นได้เอง นักวิจัยแจ้ง Tencent เมื่อเดือนกรกฎาคมและระบุว่าบริษัทปิดกั้นการโจมตีนี้ให้ผู้ใช้ทุกคนแล้ว แต่ยังไม่มีหมายเลข CVE ไม่มีประกาศจาก Tencent และยังไม่มีการเปิดเผยว่าเวอร์ชันใดได้รับผลกระทบบ้าง

บริษัท Fortinet เปิดเผยช่องโหว่การตรวจสอบใบรับรองที่ไม่รัดกุมในพอร์ทัล Agentless ZTNA ของ FortiOS และ FortiProxy หมายเลข CVE-2026-84393 คะแนน CVSSv3 อยู่ที่ 7.3 ระดับสูง ผู้โจมตีที่อยู่บนเส้นทางเครือข่ายสามารถแสดงใบรับรองปลอมแล้วดักหรือแก้ไขข้อมูลระหว่างพอร์ทัลกับเว็บไซต์ปลายทางได้โดยไม่ต้องยืนยันตัวตน ช่องโหว่กระทบ FortiOS 7.6.1 ถึง 7.6.6 และ FortiProxy 7.6.2 ถึง 7.6.6 โดยแก้ไขแล้วในเวอร์ชัน 7.6.7 ปัจจุบันยังไม่พบหลักฐานการถูกใช้โจมตีจริง

นักวิจัยที่ใช้ชื่อ Chaotic Eclipse เผยแพร่ PoC ช่องโหว่ที่ยังไม่มีแพตช์ในคอมโพเนนต์ฝั่งผู้ใช้ของ NVIDIA บน Windows ชื่อ GreenSection ต้นเหตุคือหลายคอมโพเนนต์ใช้หน่วยความจำร่วมก้อนเดียวที่เปิดสิทธิ์อ่านเขียนให้ทุกบัญชี แล้วนำข้อมูลจากก้อนนั้นกลับมาใช้ซ้ำจนเขียนนอกขอบเขตได้ นักวิจัยระบุเองว่ายังไม่ได้สิทธิ์ SYSTEM ทันที แต่อาจข้ามขอบเขตระหว่างผู้ใช้หรือกระทบ dwm.exe ได้ PoC ที่ปล่อยมาทำได้แค่ทำให้แอปที่ใช้ Vulkan หรือ OpenGL ล่ม และยังไม่มี CVE หรือคำแถลงจากผู้ผลิต

เว็บติดตามเหยื่อแรนซัมแวร์ Ransomware.live บันทึกหน่วยงานและบริษัทในไทยขึ้นเว็บปล่อยข้อมูล 10 รายในช่วง 16 สิงหาคม ถึง 2 กันยายน 2569 จากกลุ่มผู้โจมตีถึง 7 กลุ่ม รายที่ถูกจับตามากที่สุดคือ PTT Oil and Retail Business ที่กลุ่ม Direwolf อ้างเมื่อ 2 กันยายน ขณะที่ SUNSEA ถูกอ้างซ้ำโดยสองกลุ่มห่างกัน 11 วัน ทั้งหมดยังเป็นคำกล่าวอ้างฝ่ายเดียวบนเว็บปล่อยข้อมูล ยังไม่มีการยืนยันจากองค์กรที่ถูกระบุชื่อ

แพลตฟอร์มเรียนคณิตศาสตร์ออนไลน์ Mathspace ยืนยันเหตุข้อมูลรั่วที่กระทบนักเรียน ผู้ปกครอง ครู และพนักงานรวม 1,079,819 รายในออสเตรเลียและนิวซีแลนด์ ต้นเหตุคือช่องโหว่ CVE-2026-72898 ใน Metabase ที่บริษัทติดตั้งเอง ซึ่งเป็น SQL injection แบบไม่ต้องยืนยันตัวตน คะแนน CVSS เต็ม 10.0 ผู้โจมตีเข้าถึงระบบตั้งแต่ 10 สิงหาคม หลังแพตช์ออกเพียงสี่วัน และดึงข้อมูลออกเมื่อ 27 สิงหาคม ขณะที่บริษัทเพิ่งอัปเดตระบบเมื่อ 29 สิงหาคม

บริษัท Huntress เปิดเผยกิจกรรมที่มีพฤติกรรมคล้าย worm ซึ่งอาศัย ConnectWise ScreenConnect กระจายห่วงโซ่ VBScript สี่ขั้นไปยังเครื่องที่เชื่อมต่อเข้ามาใหม่ พบสามเหตุการณ์ที่ไม่เกี่ยวข้องกันในเดือนสิงหาคม 2569 ใช้ช่องทางเข้าถึงต่างกันทั้งสแกมหลอกให้เปิด Quick Assist ตัวติดตั้ง MSI จากฟิชชิง และแบบฟอร์มคืนเงิน Geek Squad ปลอม สคริปต์จะสำรวจเครื่องแล้วเลือกเพย์โหลดตามค่าสถานะสามบิต ตั้งแต่แบ็กดอร์ระดับผู้ใช้ไปจนถึงการยกสิทธิ์และโปรแกรมขุดเหรียญ

บริษัท TantoSec เผยแพร่ห่วงโซ่การโจมตี Telerik UI for ASP.NET AJAX ที่เปลี่ยน padding oracle ใน AES-CBC ให้กลายเป็นการรันโค้ดระยะไกลโดยไม่ต้องยืนยันตัวตน พร้อมปล่อยเครื่องมือและเพย์โหลดสำเร็จรูป Progress ปิดช่องโหว่ไปแล้วตั้งแต่กรกฎาคมในเวอร์ชัน 2026.2.708 และการโจมตีต้องอาศัยค่าตั้งค่าที่ไม่ใช่ค่าเริ่มต้น ยังไม่มีรายงานยืนยันการโจมตีจริงและยังไม่เข้ารายการ KEV ของ CISA แต่คอมโพเนนต์นี้มีประวัติถูกโจมตีหนักผ่านช่องโหว่รุ่นเก่า

บริษัท N-able ออกฮอตฟิกซ์ที่สี่ในรอบห้าสัปดาห์ให้แพลตฟอร์ม RMM ชื่อ N-central เพื่อปิด CVE-2026-86218 ช่องโหว่ static code injection ที่ได้คะแนน CVSS 4.0 เต็ม 10.0 และเปิดให้รันโค้ดบนเซิร์ฟเวอร์โดยไม่ต้องยืนยันตัวตน ทุกบิลด์ต่ำกว่า 2026.3.1.14 ได้รับผลกระทบ รวมถึงเครื่องที่เพิ่งอัปเป็น Hotfix 3 ก่อนหน้าเพียงแปดชั่วโมง จุดที่ต้องจับตาคือช่องทางสื่อสารของบริษัทเองขัดกันว่าช่องโหว่นี้ถูกใช้โจมตีจริงแล้วหรือยัง และประกาศทั้งหมดไม่มี IoC ไม่มีมาตรการชั่วคราว