Adobe

Adobe ออกแพตช์ 8 ช่องโหว่ระดับวิกฤตใน Campaign Classic แพลตฟอร์มทำแคมเปญการตลาดที่เก็บข้อมูลลูกค้าจำนวนมาก 3 ตัวคะแนน 9.9 เปิดทางรันโค้ดบนเซิร์ฟเวอร์ ส่วนที่เหลือเป็น SQL injection ข้ามกลไกความปลอดภัยและ XSS ยกระดับสิทธิ์ กระทบเวอร์ชัน 7.4.4 build 9402 และก่อนหน้าทั้ง Windows และ Linux Adobe ยังอุดช่องโหว่ code injection CVE-2026-48360 คะแนน 9.6 ใน Connect และระบุว่ายังไม่พบการโจมตีจริง ผู้ดูแลควรอัปเดต Campaign Classic เป็น 7.4.4 build 9403 ทันที

บริษัท Adobe ออกแพตช์อุดช่องโหว่รวม 36 จุด โดยมีจุดร้ายแรงระดับ critical ใน Adobe Connect และ Experience Manager (AEM) Forms. Connect แก้ 9 จุด รวม 6 จุด critical ที่นำไปสู่การรันโค้ดและยกระดับสิทธิ์. AEM Forms แก้ 6 จุด รวม 3 จุด critical ทั้ง incorrect authorization และ SSRF. ทั้งสองชุดได้เรตติ้ง priority 2 ควรอัปเดตภายใน 30 วัน. Adobe ระบุยังไม่พบการใช้โจมตีจริง.

มีการตรวจพบความพยายามโจมตีช่องโหว่วิกฤต CVE-2026-71362 ใน Adobe Commerce และ Magento แล้ว ช่องโหว่นี้เป็นการตรวจสอบสิทธิ์ไม่ถูกต้องที่เปิดทางให้สลับเซสชันของลูกค้ารายหนึ่งไปเป็นอีกบัญชีหนึ่ง จึงเข้าถึงบัญชีและข้อมูลส่วนตัวของเหยื่อได้ เงื่อนไขคือไม่ต้องมีบัญชี ไม่ต้องมีสิทธิ์ผู้ดูแลระบบ และไม่ต้องอาศัยการกระทำใดจากเหยื่อ Adobe ปิดช่องโหว่นี้พร้อมอีก 6 รายการในอัปเดตรอบเดือนสิงหาคม โดยระบุว่ายังไม่ทราบว่ามีการโจมตีจริง สวนทางกับ Sansec ที่ว่า WAF ของตนบล็อกความพยายามโจมตีอยู่แล้ว

Adobe ออกอัปเดตความปลอดภัยปิดช่องโหว่ระดับรุนแรงสูงสุดใน Campaign Classic แพลตฟอร์มการตลาดอัตโนมัติสำหรับองค์กร ช่องโหว่ CVE-2026-48449 ได้คะแนน CVSS เต็ม 10.0 เป็นกรณีตรวจสอบสิทธิ์ไม่ถูกต้องที่นำไปสู่การรันโค้ดโดยไม่ต้องอาศัยปฏิสัมพันธ์จากผู้ใช้ อัปเดตเดียวกันยังปิด CVE-2026-48448 คะแนน 8.6 ซึ่งเป็นช่องโหว่ SQL injection ที่เปิดทางอ่านไฟล์ในระบบ นอกจากนี้ Adobe ยังแก้ช่องโหว่ระดับ critical ใน Adobe Bridge อีก 8 รายการ

Adobe ออกอัปเดตแก้ช่องโหว่ 88 รายการ รวมถึงช่องโหว่วิกฤตหลายตัวใน ColdFusion, Commerce/Magento และ Experience Manager โดย 8 รายการใน ColdFusion เปิดให้รันโค้ดจากระยะไกลได้ ที่ร้ายแรงสุดคือ CVE-2026-48318 คะแนน CVSS 9.9 ขณะที่ Broadcom แก้ช่องโหว่ยืนยันตัวตนหลุดใน VMware Avi Load Balancer (CVE-2026-47865) คะแนน 9.8 ที่ให้ผู้โจมตีเข้าถึง Control plane ได้ ยังไม่พบการโจมตีจริงแต่ผลิตภัณฑ์เหล่านี้เป็นเป้ายอดนิยม

นักวิจัยจาก Team Cymru เปิดโปงแคมเปญฟิชชิงที่ปลอมเป็นการสัมภาษณ์งานจากแบรนด์ดังกว่า 30 ราย เช่น Adobe, Netflix, Coca-Cola และ OpenAI เพื่อขโมยบัญชี Google ของนักการตลาด ผู้โจมตีฉวยใช้แพลตฟอร์ม HR และบริการคลาวด์ของแท้ทำ redirect ซ้อนหลายชั้น ก่อนพาเหยื่อไปหน้าปลอม แล้วใช้เทคนิค Browser-in-the-Browser สร้างป๊อปอัปล็อกอิน Google ปลอมที่แยกจากของจริงแทบไม่ออก

Adobe ออกแพตช์อุดช่องโหว่ระดับร้ายแรงสูงสุดหลายรายการใน ColdFusion และ Campaign Classic รวมช่องโหว่คะแนน CVSS 10.0 ถึง 7 รายการ ส่วนใหญ่นำไปสู่การรันโค้ดจากระยะไกล (RCE) ยังไม่พบการโจมตีจริง Adobe ประกาศเพิ่มความถี่การออก bulletin เป็นเดือนละ 2 ครั้ง เพราะช่องว่างระหว่างเปิดเผยช่องโหว่กับการถูกโจมตีสั้นลงจากการใช้ AI