นักวิจัยพบแพ็กเกจ npm ที่ถูกฝังโทรจัน 14 รายการ ปลอมตัวเป็นเครื่องมือคำนวณปฏิทินและสถิติต่อเนื่องที่ใช้งานได้จริง แต่แอบวางไบนารีที่อ้างว่าเป็นตัวเร่งการคำนวณ ซึ่งแท้จริงคือบีคอน RedShell ของเฟรมเวิร์ก RedC2 4.0 การรันเกิดขึ้นทันทีที่โมดูลถูก import โดยไม่ต้องอาศัย install hook และแม้จะเป็น dependency ทางอ้อมก็ทำงานได้ RedC2 ขายบนเว็บบอร์ดอาชญากรรมไซเบอร์ในราคา 99.99 ดอลลาร์ และมาพร้อมผู้ช่วย AI ที่แปลงคำสั่งภาษาคนเป็นคำสั่งบีคอน

นักวิจัยจากบริษัท Check Point เปิดเผยเทคนิคที่ใช้ไดรเวอร์ BTR.sys ของ Microsoft Defender เอง ซึ่งมีลายเซ็นถูกต้องและเป็นคอมโพเนนต์บังคับของวินโดวส์ มาสั่งลบไฟล์และคีย์รีจิสทรีระดับเคอร์เนลได้ตามอำเภอใจ ตั้งแต่ Windows 7 ถึง Windows 11 25H2 โดยไม่ต้องอาศัยช่องโหว่ใด การสาธิตบนเวที Black Hat ลบชุด Defender ออกจากเครื่องที่เปิด Tamper Protection ได้ทั้งหมด เงื่อนไขคือผู้โจมตีต้องมีสิทธิ์ผู้ดูแลระบบพร้อม SeLoadDriverPrivilege อยู่ก่อน ไมโครซอฟท์ระบุว่ายังไม่เข้าเกณฑ์ต้องแก้ไขทันที

โรงพยาบาลเด็ก SickKids ในนครโทรอนโตเปิดเผยว่าข้อมูลส่วนบุคคลของพนักงานปัจจุบันและอดีตพนักงาน รวมถึงผู้สมัครงาน ถูกเข้าถึงโดยไม่ได้รับอนุญาตจากเหตุด้านความมั่นคงไซเบอร์ โรงพยาบาลระบุว่าต้นเหตุคือช่องโหว่ในซอฟต์แวร์ของบุคคลที่สามที่องค์กรอื่นก็ใช้เช่นกัน แต่ไม่ยอมเปิดเผยชื่อผู้จำหน่าย ชื่อแอปพลิเคชัน หรือหมายเลข CVE ระบบรักษาพยาบาลและเวชระเบียนผู้ป่วยไม่ได้รับผลกระทบ ส่วนเว็บไซต์รับสมัครงานถูกปิดชั่วคราวและกลับมาให้บริการแล้ว

ไมโครซอฟท์ประกาศชุดอัปเดตความปลอดภัย 22 รายการในวันพฤหัสบดี ครอบคลุมผลิตภัณฑ์ Azure, Entra ID, Exchange, Fabric และ Partner Center ในจำนวนนี้มีห้ารายการที่ได้คะแนน CVSS เต็ม 10 ทั้งการยกระดับสิทธิ์ใน Azure SQL Database, Azure Arc และ Exchange Online และการรันโค้ดระยะไกลใน Azure Managed Instance for Apache Cassandra เกือบทั้งหมดเป็นช่องโหว่ของบริการคลาวด์ที่บริษัทแก้ที่ฝั่งเซิร์ฟเวอร์ไปแล้ว ลูกค้าไม่มีอะไรต้องติดตั้ง แต่ก็ไม่มีทางตรวจสอบเองได้เช่นกัน

หน่วยงานรับมือเหตุฉุกเฉินทางไซเบอร์ของโปแลนด์ CERT Polska เตือนว่าช่องโหว่ inject คำสั่งใน Zimbra Collaboration หมายเลข CVE-2026-73570 คะแนน CVSS 8.9 กำลังถูกใช้โจมตีจริง ช่องโหว่เกิดเฉพาะระบบที่ติดตั้งแพ็กเกจเสริม zimbra-snmp และเปิดการแจ้งเตือน SNMP เอาไว้ ผู้โจมตีที่ไม่ต้องยืนยันตัวตนสามารถส่งคำขอที่สร้างขึ้นพิเศษแล้วรันคำสั่งระบบปฏิบัติการในสิทธิ์ผู้ใช้ zimbra ได้ บริษัท Zimbra ปิดช่องโหว่นี้ไปแล้วในเวอร์ชัน 10.1.20 เมื่อเดือนกรกฎาคม และ CISA เพิ่มเข้าบัญชี KEV เมื่อวันที่ 21 สิงหาคม 2569

ไมโครซอฟท์เปิดเผยช่องโหว่รันโค้ดระยะไกลระดับวิกฤตใน Entra ID หมายเลข CVE-2026-69836 โดยประกาศฉบับแรกทำเครื่องหมายว่าถูกใช้โจมตีจริง ก่อนจะแก้สถานะเป็นไม่เคยถูกใช้โจมตีในวันถัดมา ต้นเหตุคือการแปลงข้อมูลที่ไม่น่าเชื่อถือกลับเป็นออบเจกต์โดยไม่ตรวจสอบก่อน จัดอยู่ในกลุ่ม CWE-502 ผู้โจมตีส่งข้อมูลที่สร้างขึ้นพิเศษไปยังปลายทางที่มีช่องโหว่แล้วรันโค้ดได้โดยไม่ต้องยืนยันตัวตน ช่องโหว่นี้อยู่ในหมวด CVE ของบริการคลาวด์ ไมโครซอฟท์แก้ที่ฝั่งตัวเองแล้ว ลูกค้าไม่มีแพตช์ให้ติดตั้ง

Google Threat Intelligence Group เผยกลุ่มจารกรรมที่ต้องสงสัยว่ามาจากรัสเซียสามคลัสเตอร์ คือ UNC6293, UNC7005 และ UNC5976 กำลังใช้กลไกยืนยันตัวตนที่ถูกต้องตามระบบเป็นเครื่องมือยึดบัญชีเป้าหมาย ทั้งรหัสผ่านเฉพาะแอป การฟิชชิง OAuth ผ่านโครงการคลาวด์ และการหลอกให้เหยื่อเชื่อมบัญชี WhatsApp เข้ากับอุปกรณ์ของผู้โจมตี เป้าหมายคือนักวิชาการ นักการทูต และองค์กรวิจัยในยุโรปและสหรัฐฯ

นักวิจัยสาธิตว่าช่องโหว่ CRLF injection ที่มักถูกจัดเป็นปัญหาเล็กน้อย สามารถยกระดับเป็นการโจมตีแบบ HTTP desync ได้ ต้นเหตุคือการที่เซิร์ฟเวอร์หน้าบ้านถอดรหัสอักขระ %0d%0a ก่อนส่งต่อไปยังเซิร์ฟเวอร์หลังบ้าน ทำให้ผู้โจมตีแทรกส่วนหัวหรือเปลี่ยนรูปคำขอได้ ผลที่ร้ายที่สุดคือการวางยาแคชของ CDN แล้วเปลี่ยนหน้าเว็บที่ถูกแคชให้เป็นช่องทางส่ง XSS ถึงผู้ใช้จริง และอาจลามเป็นเวิร์มที่แพร่ตัวเองได้

หน่วยงานความมั่นคงของสหรัฐฯ ห้าแห่งออกประกาศเตือนร่วมถึงภัยคุกคามที่กำลังดำเนินอยู่ ซึ่งใช้สคริปต์โจมตีที่สร้างด้วย AI เล็ง PLC ตระกูล Siemens S7 ในโครงสร้างพื้นฐานสำคัญ ผู้โจมตีใช้บริการสแกนอินเทอร์เน็ตอย่าง Censys และ ZoomEye หาเครื่องที่เปิดออกสู่อินเทอร์เน็ตและใช้เฟิร์มแวร์เก่า เครื่องมือที่พบเป็นสคริปต์ Python ที่เรียกไลบรารีระบบอัตโนมัติแบบโอเพนซอร์ส ปลอมตัวเป็นโปรแกรมเฝ้าระวังทั่วไป ประกาศไม่ระบุว่าเป็นฝีมือของกลุ่มใด

crate ยอดนิยมของภาษา Rust สามตัวคือ arrayref, append-only-vec และ internment ถูกดัดแปลงให้ดึงแพ็กเกจปลอมชื่อ proc-macro1 เข้ามาเป็น dependency ซอร์สโค้ดที่มองเห็นไม่ถูกแตะต้องเลย โค้ดอันตรายซ่อนอยู่ในไฟล์ build.rs ที่ Cargo รันเองทุกครั้งที่คอมไพล์ เพย์โหลดเป็นอินโฟสตีลเลอร์ข้ามแพลตฟอร์มที่ดูดรหัสผ่านจากเบราว์เซอร์ตระกูล Chromium ทีม Rust Security Response ถอนเวอร์ชันที่ปนเปื้อนและล็อกบัญชีผู้ดูแลภายในราวสองชั่วโมง