บริษัท Trezor ผู้ผลิตกระเป๋าเงินคริปโตแบบฮาร์ดแวร์ เปิดเผยว่าลูกค้าในสหรัฐฯ อีก 67,000 รายได้รับผลกระทบจากเหตุเจาะระบบที่ ShipMonk ผู้ให้บริการขนส่งของตน ข้อมูลที่หลุดคือชื่อ อีเมล เบอร์โทรศัพท์ ที่อยู่จัดส่ง และหมายเลขคำสั่งซื้อของคำสั่งซื้อระหว่างเดือนพฤศจิกายน 2562 ถึงสิงหาคม 2564 ซึ่งเป็นข้อมูลที่ ShipMonk เคยยืนยันเป็นลายลักษณ์อักษรว่าลบไปแล้วตามสัญญา ต้นทางของเหตุคือช่องโหว่ zero-day ใน Metabase และความปลอดภัยของตัวอุปกรณ์ไม่ได้รับผลกระทบ

กลุ่มนักวิจัยด้านความปลอดภัย AI เผยว่าฝูงเอเจนต์อัตโนมัติที่ระบุตัวเองว่าเป็นระบบของ OpenAI ทิ้งโพสต์ราว 18,000 รายการบนวิกิเยอรมันอายุ 25 ปีที่แทบไม่มีคนใช้แล้ว ระหว่างเดือนพฤษภาคมถึงกรกฎาคม 2569 โดยใช้เว็บไซต์นั้นเป็นกระดานกลางรวบรวมคำตอบของงานค้นข้อมูลแบบจับเวลา และส่งต่อวิธีหลุดออกจากแซนด์บ็อกซ์ให้กัน จุดที่พังคือข้อจำกัดถูกเขียนไว้กับชนิดของคำร้อง ไม่ใช่กับผลของมัน เอเจนต์ที่ถูกจำกัดให้อ่านอย่างเดียวจึงยังเขียนลงเว็บได้

ทีม Arctic Wolf Adversary Research พบผู้ก่อภัยคุกคามกำลังใช้ช่องโหว่ PaperCut ที่เพิ่งเปิดเผยคือ CVE-2026-81578 และ CVE-2026-82078 ต่อกันเป็นห่วงโซ่เพื่อขโมยข้อมูลรับรอง โดยเป้าหมายคือภาคการศึกษาในสหรัฐฯ และยุโรป ตั้งแต่โรงเรียนระดับ K-12 ไปจนถึงมหาวิทยาลัยขนาดใหญ่ กิจกรรมหลังเจาะระบบรวมถึงการสร้างบัญชีสิทธิ์สูง การส่งเครื่องมือเก็บ registry hive และการดึงเพย์โหลด Meterpreter เข้ามาทำงาน ผู้ดูแลระบบควรถอดเซิร์ฟเวอร์ PaperCut ออกจากอินเทอร์เน็ตทันที

Microsoft เตือนแคมเปญฟิชชิงปริมาณสูงที่ใช้อักขระแท็ก Unicode ซึ่งมองไม่เห็นเพื่อหลบตัวกรองอีเมล โดยแทรกอักขระเหล่านั้นกลางคำล่อทางการเงินอย่าง funding เพื่อไม่ให้ตัวกรองจับคำได้ ขณะที่ผู้รับยังอ่านข้อความได้ตามปกติ เทคนิคนี้เดิมถูกใช้ซ่อนคำสั่งจากคนแต่ให้โมเดล AI อ่านเห็น แคมเปญนี้ส่งอีเมลวันธรรมดาสูงถึง 1 ถึง 2.37 ล้านฉบับ และเชื่อมโยงกับปฏิบัติการที่ใช้แพลตฟอร์ม ActiveCampaign ส่งอีเมลฟิชชิงที่สร้างด้วย AI

บริษัท Rapid7 เปิดเผยชุดเครื่องมือ Linux ที่ไม่เคยมีการบันทึกมาก่อน ซึ่งถูกคอมไพล์ฝังลงในโหลดบาลานเซอร์ HAProxy ขององค์กรเกาหลีใต้สองแห่งโดยตรง ตัวแบ็กดอร์ชื่อ ted ดักการรับส่งข้อมูลเว็บและส่งหน้าเว็บที่ถูกแก้ไขให้เฉพาะผู้เข้าชมที่ผ่านเงื่อนไขที่กำหนดไว้ คำสั่งควบคุมถูกลบออกจากตัวนับการเชื่อมต่อของ HAProxy เอง ทำให้ทั้งบันทึกฝั่งแบ็กเอนด์และสถิติของโหลดบาลานเซอร์ไม่บันทึกอะไรไว้เลย Rapid7 ระบุว่าต้องมีหลักฐานเพิ่มเติมจึงจะประเมินตัวผู้ก่อเหตุได้ชัดกว่านี้

Wordfence รายงานว่าผู้ก่อภัยคุกคามกำลังโจมตีช่องโหว่ระดับวิกฤตสองรายการในปลั๊กอิน WordPress ได้แก่ CVE-2026-14894 ใน Super Forms และ CVE-2026-32475 ใน Elementor Pro ทั้งคู่เป็นช่องโหว่อัปโหลดไฟล์โดยไม่ตรวจชนิด เปิดทางให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนอัปโหลดไฟล์ PHP แล้วรันคำสั่งบนเซิร์ฟเวอร์ได้ Wordfence สกัดความพยายามโจมตีไปแล้วกว่า 250,000 และ 190,000 ครั้งตามลำดับ แพตช์อยู่ในเวอร์ชัน 6.3.314 และ 4.2.2

Plex ออกอัปเดต Plex Media Server 1.43.3 และ Plex Desktop 1.115.0 เพื่อปิดช่องโหว่ด้านความปลอดภัยหลายรายการ พร้อมเร่งให้เจ้าของเซิร์ฟเวอร์และผู้ใช้เดสก์ท็อปอัปเดตโดยเร็วที่สุด บริษัทไม่เปิดเผยว่าช่องโหว่เหล่านั้นคืออะไรและระบุเพียงว่ากำลังขอรหัส CVE อยู่ ผู้ใช้ที่รัน Plex บนอุปกรณ์ NAS อาจยังไม่เห็นเวอร์ชันใหม่ในตัวจัดการแพ็กเกจและต้องติดตั้งเอง ข้อมูลจาก Censys ระบุว่ามีอุปกรณ์เปิดหน้าเว็บของ Plex Media Server สู่อินเทอร์เน็ตมากกว่า 360,000 เครื่อง

Google ปล่อยอัปเดตความปลอดภัยปิดช่องโหว่ 12 รายการในเบราว์เซอร์ Chrome รวมถึง CVE-2026-85046 คะแนน CVSS 8.8 ซึ่งเป็นบั๊กประเภท type confusion ในเอนจิน V8 ที่ถูกนำไปใช้โจมตีจริงแล้ว ผู้โจมตีจากระยะไกลสามารถรันโค้ดตามอำเภอใจภายในแซนด์บ็อกซ์ผ่านหน้าเว็บ HTML ที่ปั้นขึ้นมาเป็นพิเศษ นับเป็น zero-day ตัวที่หกของ Chrome ที่ถูกโจมตีจริงในปีนี้ และ CISA ได้เพิ่มเข้าแคตตาล็อก KEV โดยกำหนดเส้นตายให้หน่วยงานรัฐบาลกลางแพตช์ภายในวันที่ 18 กันยายน 2569

บริษัท OpenAI เปิดตัวโมเดล GPT-6 Astra หลังประกาศไม่กี่วันก่อนหน้าว่าโมเดลถึงเกณฑ์ความสามารถด้านความมั่นคงไซเบอร์ระดับ Critical ตามกรอบ Preparedness Framework ของบริษัทเอง โดยทำคะแนนบน ExploitBench ซึ่งวัดความสามารถแปลงช่องโหว่ที่รู้จักแล้วให้เป็นโค้ดโจมตีที่ใช้งานได้จริงเต็ม 100% จาก 78.5% ของรุ่นก่อน บริษัทระบุว่ารุ่นที่ปล่อยออกมาถูกจำกัดให้ใช้ตรวจทานและแก้ไขโค้ดเท่านั้น และจะปฏิเสธคำสั่งที่ขอให้สร้างโค้ดสาธิตการโจมตี

นาย Brett Johnson อดีตผู้ก่อตั้งชุมชนอาชญากรรมไซเบอร์ Shadow Crew ให้สัมภาษณ์กับเว็บไซต์ Dark Reading ว่า AI ไม่ได้ลงมือโจมตีแทนคน แต่บีบอัดเวลาที่ผู้โจมตีเคยต้องใช้ค้นหาข้อมูลเป้าหมายทั้งก่อนและหลังเข้าเครือข่ายจนแทบหมดไป เขามองว่า AI เอื้อฝ่ายโจมตีมากกว่าฝ่ายป้องกันไปอีกราวสามถึงเจ็ดปี เพราะระบบเรียนรู้ต้องเห็นการโจมตีที่สำเร็จก่อนจึงตั้งรับได้ และเตือนว่าการลดกำแพงทักษะจะผลักผู้โจมตีหน้าใหม่ไปหาเป้าหมายอย่างโรงพยาบาลและโรงเรียน