cPanel ออกแพตช์แก้ช่องโหว่ร้ายแรง CVE-2026-65643 ในฟังก์ชันจอดโดเมนและโดเมนเสริมของ cPanel และ WHM ซึ่งกระทบทุกเวอร์ชันที่ยังรองรับ ผู้ถือบัญชีที่ล็อกอินได้และมีสิทธิ์เพิ่มโดเมนสามารถสร้างไฟล์บนเซิร์ฟเวอร์ได้ตามใจจนนำไปสู่การรันโค้ดในสิทธิ์ root และควบคุมเครื่องทั้งเครื่อง ประกาศแจ้งลูกค้าไม่มีคะแนน CVSS ไม่มีมาตรการชั่วคราว และไม่มีวิธีตรวจว่าเซิร์ฟเวอร์ถูกเจาะไปแล้วหรือยัง

บริษัท Recorded Future เปิดเผยแคมเปญจารกรรมที่เล็งหน่วยงานรัฐและการทูตในโรมาเนีย สเปน และตุรกี ระหว่างปลายกันยายน 2568 ถึงต้นเมษายน 2569 ปล่อยแบ็กดอร์ตัวใหม่ชื่อ HOOKEDGE ผ่านเอกสาร Word ที่ฝังมาโคร นักวิจัยเชื่อมโยงกับกลุ่ม APT28 ของรัสเซียด้วยความมั่นใจระดับปานกลาง จากโค้ดและวิธีการที่ทับซ้อนกับแบ็กดอร์ HEADLACE ตัวเดิม จุดเด่นคือใช้บริการ webhook สาธารณะแทนการตั้งเซิร์ฟเวอร์ของตัวเอง และเรียก Microsoft Edge โหมดไร้หน้าจอเป็นตัวรับส่งข้อมูล

Manchester Airports Group เปิดเผยว่าบุคคลที่สามที่ไม่ได้รับอนุญาตเข้าถึงข้อมูลลูกค้าราว 8.7 ล้านรายของสนามบินแมนเชสเตอร์ ลอนดอนสแตนสเต็ด และอีสต์มิดแลนด์ส ข้อมูลที่หลุดมาจากการจองที่จอดรถ เลานจ์ ช่องตรวจแบบเร่งด่วน และการลงทะเบียนใช้ไวไฟในสนามบิน ประกอบด้วยอีเมล เบอร์โทรศัพท์ ทะเบียนรถ และรหัสไปรษณีย์ แต่ไม่มีข้อมูลธนาคารหรือการชำระเงิน บริษัททราบเหตุเมื่อ 25 สิงหาคม 2569 หลังผู้โจมตีเจาะระบบช่วงสุดสัปดาห์ ยังไม่มีกลุ่มใดอ้างความรับผิดชอบ

ประธานาธิบดีทรัมป์ลงนามคำสั่งฝ่ายบริหารหมายเลข 14420 เมื่อวันที่ 26 สิงหาคม 2569 ประกาศภาวะฉุกเฉินระดับชาติเพื่อลดความเสี่ยงในระบบส่งไฟฟ้ากำลังสูงที่มาจากอุปกรณ์ไฟฟ้าซึ่งผลิตโดยต่างชาติ คำสั่งครอบคลุมสายส่งตั้งแต่ 69 กิโลโวลต์ขึ้นไป รวมถึงหม้อแปลง อินเวอร์เตอร์ ระบบกักเก็บพลังงาน และระบบควบคุมอุตสาหกรรมอย่าง RTU กับ PLC พร้อมเฟิร์มแวร์และช่องทางเข้าถึงระยะไกล ธุรกรรมที่เริ่มหลัง 26 สิงหาคม 2569 กับหน่วยงานที่ถูกระบุชื่อจะถูกห้าม และกระทรวงพลังงานสั่งมาตรการกับอุปกรณ์ที่ติดตั้งไปแล้วได้

นาย Jacob Baines จาก VulnCheck เปิดเผยว่าเราเตอร์ของบริษัทจีน ZBT ที่ขายแบบไวท์เลเบลทั่วโลกมีแบ็กดอร์เพิ่มอีก 2 ตัวชื่อ SpeakingStone และ DarkLantern ซึ่งเป็นรุ่นก่อนหน้าของ EndlessDoors และถูกฝังในเฟิร์มแวร์มาตั้งแต่ราวปี 2562 DarkLantern เปิดพอร์ต UDP รอรับการเชื่อมต่อเข้ามา ส่วน SpeakingStone ส่งพิกัด GPS ออกไปและรับคำสั่งรวมถึงการปลอมแปลง DNS ได้ VulnCheck พบ DarkLantern ที่เปิดสู่อินเทอร์เน็ต 203 เครื่องใน 3 วัน และดักการเชื่อมต่อของ SpeakingStone ได้ 392 ครั้ง

Vercel ออกแพตช์ให้ Next.js อุด 2 ช่องโหว่ร้ายแรงที่เปิดทางรันโค้ดระยะไกลโดยไม่ต้องยืนยันตัวตน ตัวแรกคือ CVE-2026-75604 (CVSS 9.0) เป็น path traversal ที่กระทบเฉพาะเซิร์ฟเวอร์ซึ่งใช้ระบบไฟล์ของวินโดวส์ ตัวที่สองเป็น heap buffer overflow ในไลบรารี libheif ที่ Next.js เรียกใช้ผ่าน sharp เมื่อประมวลผลไฟล์ AVIF ที่ผู้โจมตีสร้างขึ้น แก้แล้วในเวอร์ชัน 15.5.24 และ 16.3.3 ที่ออกเมื่อ 25 สิงหาคม 2569 ยังไม่มีรายงานการโจมตีจริงจนถึงวันที่ 27 สิงหาคม

CISA เตือนว่าช่องโหว่ CVE-2026-60004 (CVSS 9.8) ใน Gitea กำลังถูกใช้โจมตีจริงและเพิ่มเข้าแคตตาล็อก KEV เมื่อ 25 สิงหาคม 2569 ช่องโหว่นี้เปิดให้ผู้ที่มีสิทธิ์เขียน repo ส่ง patch ไปยัง endpoint diffpatch เพื่อฝัง Git hook แล้วรันคำสั่งเชลล์ด้วยสิทธิ์บัญชีระบบของ Gitea กระทบทุกเวอร์ชันตั้งแต่ 1.17 และแก้แล้วใน 1.27.1 นักพัฒนารายหนึ่งเปิดเผยว่าเซิร์ฟเวอร์ของตนถูกวางสคริปต์ปล่อยเพย์โหลดลักษณะตัวขุดเหรียญจนผู้ให้บริการโฮสต์จำกัดซีพียู หน่วยงานรัฐบาลกลางสหรัฐฯ ต้องแพตช์ภายใน 28 สิงหาคม 2569

CISA เผยแพร่คำแนะนำ AA26-237A สรุปผลการประเมินด้วยเรดทีม 2 ครั้งที่ทำพร้อมกันกับองค์กรโครงสร้างพื้นฐานสำคัญ 2 แห่งด้วยเทคนิคคล้ายกัน ทั้งสองแห่งถูกยึดถึงระดับโดเมนและเข้าถึงระบบธุรกิจสำคัญกับทรัพยากรคลาวด์ได้ องค์กร A ไม่ตรวจพบกิจกรรมใดเลยเพราะจมอยู่ในสัญญาณเตือนผิดพลาดนับพันรายการและมีศูนย์เฝ้าระวังหลายศูนย์ที่ไม่แชร์ข้อมูลกัน ส่วนองค์กร B ตรวจพบเพย์โหลดฟิชชิงทุกครั้งที่ถูกรันและตัดเครื่องออกจากเครือข่ายภายใน 2-20 นาที CISA สรุปว่าความต่างอยู่ที่คนและกระบวนการ ไม่ใช่ตัวเครื่องมือ

CISA เร่งให้หน่วยงานรัฐจัดการช่องโหว่ CVE-2026-8452 ใน Citrix NetScaler ที่กำลังถูกใช้โจมตีจริง โดยเป็นหนึ่งในช่องโหว่ที่ Citrix ออกแพตช์ไปตั้งแต่วันที่ 30 มิถุนายน 2569 และถูกอธิบายไว้ว่าเป็นแค่ memory overflow ระดับสูงที่นำไปสู่ DoS แต่บริษัท watchTowr วิเคราะห์แล้วสาธิตว่าใช้รันโค้ดจากระยะไกลได้โดยไม่ต้องยืนยันตัวตน และเปิดโค้ด PoC เมื่อวันที่ 14 สิงหาคม หลังจากนั้นไม่นานก็เริ่มพบการโจมตีจริงที่วางเว็บเชลล์

กลุ่มแฮ็กติวิสต์หนุนรัสเซียชื่อ Server Killers อ้างความรับผิดชอบต่อการโจมตีที่กระทบบริการดิจิทัลของรัฐบาลนอร์เวย์หลายรายการต่อเนื่องสามวัน โฆษกสำนักงานดิจิทัลไลเซชันแห่งนอร์เวย์ระบุว่าเป็นการโจมตีที่หนักที่สุดเท่าที่เคยเจอ แต่ยืนยันว่าประคองบริการให้ทำงานได้แทบตลอดเวลา รูปแบบคือ DoS อัดทราฟฟิกมหาศาลใส่ระบบ รวมถึงระบบล็อกอินเดียวที่ใช้เข้าบริการสาธารณะหลายตัว กลุ่มอ้างว่าประกาศสงครามไซเบอร์กับนอร์เวย์หลังต่ออายุความร่วมมือด้านความมั่นคงกับยูเครน