กลุ่ม ShinyHunters โพสต์ภาพหน้าจอบัญชี Okta ของพนักงานบริษัท ReliaQuest พร้อมข้อความท้าทายว่า “ใครล่าใครกันแน่” และเพิ่มชื่อบริษัทเข้าเว็บไซต์ปล่อยข้อมูล แต่รายงานหลังเหตุการณ์ของ ReliaQuest ระบุว่าผู้โจมตีได้เพียงสิทธิ์อ่านอย่างเดียวบนพอร์ทัล SSO และความพยายามเคลื่อนที่ในเครือข่ายถูกสกัดทั้งหมด บรรณาธิการ Dark Reading ชี้ว่านี่คือรูปแบบการโจมตีสไตล์ Lapsus$ ที่เน้นการอวดอ้างมากกว่าความเสียหายจริง

กลุ่มขู่กรรโชก FulcrumSec ออกมาอ้างความรับผิดชอบต่อการเจาะระบบ Manchester Airports Group แล้วปล่อยข้อมูลราว 550 กิกะไบต์หลังบริษัทปฏิเสธจ่ายค่าไถ่ บริการ Have I Been Pwned ประมวลผลชุดข้อมูลแล้วพบอีเมลและหมายเลขโทรศัพท์ราว 8.8 ล้านรายการ พร้อมชื่อ ไอพี ข้อมูลเบราว์เซอร์ และทะเบียนรถ กลุ่มดังกล่าวอ้างว่าเข้าถึงระบบผ่านกุญแจผู้ดูแลของ Iterable ที่ฝังอยู่ในโค้ด JavaScript ฝั่งหน้าเว็บของสนามบินทั้งสามแห่ง ซึ่ง MAG ยังไม่ยืนยัน

บริษัท Cisco ออกแพตช์ปิดช่องโหว่ระดับวิกฤต CVE-2026-20212 คะแนน CVSS 9.8 บนสวิตช์ Nexus 9000 ที่ใช้ชิป Silicon One 10 รุ่น ซึ่งเปิดพอร์ต TCP 43210 และ 43211 ทิ้งไว้จนผู้โจมตีจากระยะไกลรันโค้ดด้วยสิทธิ์ root ได้โดยไม่ต้องยืนยันตัวตน พร้อมกันนั้นยังออกชุดแพตช์เสริมความแข็งแกร่งของ IOS XR ที่รวม 7 CVE โดย 2 รายการมีคะแนนสูงสุด 9.8 และกระทบทุกเวอร์ชันไม่ว่าตั้งค่าอย่างไรโดยไม่มีวิธีบรรเทาชั่วคราว

นักวิจัยของบริษัท Group-IB เปิดเผยเฟรมเวิร์กมัลแวร์ภาษา Python บนวินโดวส์ชื่อ BraZetsu ที่กลุ่ม Exilware ใช้ป้อนสินค้าให้ตลาดมืด Infected Marketplace ซึ่งขายสิทธิ์เข้าถึงเครื่องที่ถูกเจาะโดยเริ่มฝากเงินราว 5.80 ดอลลาร์ จุดต่างจากอินโฟสตีลเลอร์ทั่วไปคือมัลแวร์ใช้ AI ประเมินมูลค่าเชิงพาณิชย์ของเครื่องเพื่อจัดหมวดและตั้งราคาโดยอัตโนมัติ อีกทั้งยังค้นไฟล์โอนเงินรูปแบบ CNAB ของบราซิลและประวัติเบราว์เซอร์ ผู้ซื้อสามารถสั่งรันมัลแวร์ของตัวเองบนเครื่องที่ซื้อได้ทันที

บริษัท Thomson Reuters เปิดเผยเมื่อ 2 กันยายน 2569 ว่ามีผู้ไม่ได้รับอนุญาตดึงไฟล์จากแพลตฟอร์มจัดการคดี C-Track ของหน่วยธุรกิจ West Publishing กระทบศาลใน 11 รัฐของสหรัฐฯ หมู่เกาะเวอร์จิน และออนแทรีโอของแคนาดา ข้อมูลที่อาจหลุดมีทั้งชื่อ หมายเลขประกันสังคม เลขใบขับขี่ วันเกิด และข้อมูลสุขภาพ รวมถึงเอกสารที่ปิดผนึกของศาลบางแห่ง คำอธิบายของผู้ให้บริการกับศาลยังขัดกันว่าไฟล์ถูกดึงจากสำเนาสำรองบนคลาวด์หรือระบบใช้งานจริง ขณะนี้ยังไม่มีการเปิดเผยจำนวนผู้เสียหายหรือวิธีการเจาะ

ทีม Unit 42 ของบริษัท Palo Alto Networks เข้าตอบสนองเหตุการณ์ที่ผู้โจมตีใช้เอเจนต์ AI ระดับแนวหน้าเจาะเครือข่ายองค์กรจนสำเร็จภายในไม่ถึง 10 ชั่วโมง จากที่ปกติต้องใช้เวลาราวสองสัปดาห์ ในการโจมตีนั้นผู้โจมตีเก็บข้อมูลยืนยันตัวตน ยึดสิทธิ์ root เข้าควบคุมไปป์ไลน์ CI/CD และเปลี่ยนโครงสร้างพื้นฐาน AI ของเหยื่อให้กลายเป็นฐานปฏิบัติการ นักวิจัยย้ำว่าไม่มีการใช้ช่องโหว่ zero-day เลย จุดอ่อนที่ถูกใช้ล้วนเป็นเรื่องธรรมดาอย่าง API ที่เปิดสู่ภายนอกและข้อมูลยืนยันตัวตนที่ฝังอยู่ในโค้ด

ทีม Symantec Threat Hunter เปิดเผยว่าผู้โจมตีหลายกลุ่มหันมาใช้ Node.js ซึ่งเป็นเครื่องมือนักพัฒนาที่มีลายมือชื่อถูกต้อง เป็นช่องทางรันโค้ดอันตรายในการโจมตีหน่วยงานรัฐ บริษัทเทคโนโลยี และโรงแรมตั้งแต่เดือนกุมภาพันธ์ 2569 เสน่ห์ของเทคนิคนี้คือโค้ดอันตรายอยู่ในสคริปต์ที่ถูกตีความ ไม่ใช่ในไฟล์ไบนารี จึงเลี่ยงการตรวจจับด้วยลายเซ็นได้ กรณีหนึ่งผู้โจมตีโหลดตัวติดตั้ง Node.js จากเว็บทางการมาใช้ แล้วดึงคำสั่งผ่าน EtherHiding บนบล็อกเชน

นักวิจัยของบริษัท GitGuardian พบเมื่อต้นเดือนสิงหาคมว่าเวิร์มขโมยข้อมูลตระกูล Shai-Hulud รุ่นล่าสุดขยายการค้นหาข้อมูลยืนยันตัวตนเป็น 469 ตำแหน่ง จากรุ่นก่อนที่ค้นเพียง 189 ตำแหน่ง ครอบคลุมสภาพแวดล้อมนักพัฒนา เครื่องมือ CI/CD คอนฟิกคลาวด์ และคอนฟิกของเครื่องมือ AI ทิศทางนี้สะท้อนว่าผู้โจมตีเลิกพยายามทำลายความไว้วางใจในห่วงโซ่อุปทาน แล้วหันมาใช้ข้อมูลยืนยันตัวตนที่ทำให้ความไว้วางใจนั้นทำงานได้แทน โดยกุญแจสำหรับเผยแพร่แพ็กเกจคือเป้าหมายที่อันตรายที่สุด

องค์กร Citizen Lab ร่วมกับมูลนิธิ SHARE ยืนยันว่าไอโฟนของสมาชิกขบวนการประท้วงนักศึกษาในเซอร์เบียถูกฝังสปายแวร์ Pegasus ของบริษัท NSO Group ผ่านช่องโหว่ zero-click ทาง iMessage โดยพบร่องรอยการติดเชื้อระดับความเชื่อมั่นสูงในช่วงเดือนธันวาคม 2568 ถึงมกราคม 2569 ทั้งที่ Apple แก้ช่องโหว่นี้ไปแล้วใน iOS 18.4.1 ตั้งแต่เดือนเมษายน 2568 มูลนิธิ SHARE ระบุว่ามีผู้ถูกเล็งเป้าอย่างน้อย 14 รายตั้งแต่ต้นปี 2569 และพบสปายแวร์แอนดรอยด์ตัวใหม่ถูกติดตั้งขณะเจ้าของเครื่องถูกควบคุมตัว

นักวิจัยที่ใช้ชื่อ Chaotic Eclipse เผยแพร่ PoC ของช่องโหว่ยกระดับสิทธิ์ที่ยังไม่มีแพตช์ชื่อ FalconFlank ซึ่งใช้ประโยชน์จากกลไกลบมาโครอันตรายของ Microsoft Office ใน CrowdStrike Falcon Sensor โดยระบุว่าทำงานได้บน Windows 11 25H2 และ Windows Server 2025 ที่อัปเดตครบ บริษัท CrowdStrike ยืนยันว่ากำลังตรวจสอบและแนะให้ลูกค้าปิดนโยบายดังกล่าวไว้ก่อน นักวิจัยรายเดียวกันยังปล่อย PoC ของ Kaspersky, Microsoft Defender, NVIDIA และ Avast ในช่วงไม่กี่สัปดาห์ที่ผ่านมา