Api-Key

กลุ่มขู่กรรโชก FulcrumSec ออกมาอ้างความรับผิดชอบต่อการเจาะระบบ Manchester Airports Group แล้วปล่อยข้อมูลราว 550 กิกะไบต์หลังบริษัทปฏิเสธจ่ายค่าไถ่ บริการ Have I Been Pwned ประมวลผลชุดข้อมูลแล้วพบอีเมลและหมายเลขโทรศัพท์ราว 8.8 ล้านรายการ พร้อมชื่อ ไอพี ข้อมูลเบราว์เซอร์ และทะเบียนรถ กลุ่มดังกล่าวอ้างว่าเข้าถึงระบบผ่านกุญแจผู้ดูแลของ Iterable ที่ฝังอยู่ในโค้ด JavaScript ฝั่งหน้าเว็บของสนามบินทั้งสามแห่ง ซึ่ง MAG ยังไม่ยืนยัน

องค์กรวิจัยไม่แสวงหากำไร METR เปิดเผยเหตุการณ์ด้านความปลอดภัยสองครั้งที่ผู้โจมตีภายนอกพยายามเข้าถึงระบบโดยไม่ได้รับอนุญาต ครั้งแรกในเดือนมีนาคม 2569 ผู้โจมตีขโมยกุญแจ API สำหรับเรียกใช้โมเดลสาธารณะแล้วเผาเครดิตไปคิดเป็นเงินราว 600,000 ดอลลาร์ในเวลาสามสัปดาห์ ต้นเหตุคืออินสแตนซ์ EC2 ส่วนตัวที่รันแอปซึ่งเขียนด้วยความช่วยเหลือของ AI แล้วมีจุดบกพร่องทำให้การยืนยันตัวตนถูกปิดเงียบ ๆ ครั้งที่สองในเดือนพฤษภาคมเป็นการสำรวจโครงสร้างพื้นฐานอย่างเป็นระบบด้วยเอเจนต์อัตโนมัติ

แฮ็กเกอร์กำลังเร่งโจมตีช่องโหว่ CVE-2026-4020 (CVSS 5.3) ในปลั๊กอิน Gravity SMTP บน WordPress ที่ติดตั้งราว 100,000 เว็บ ช่องโหว่ระดับกลางประเภท information disclosure เปิดทางให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนดึง System Report กว่า 365 KB รวมถึง API key ของ Amazon SES, Google, Mailjet, Resend, Zoho ผ่าน REST API endpoint ที่ permission_callback คืนค่า true เสมอ Wordfence บล็อกความพยายามโจมตีไปแล้วกว่า 17 ล้านครั้ง แพตช์อยู่ในเวอร์ชัน 2.1.5

พบช่องโหว่ CVE-2026-42208 (CVSS 9.3) ใน BerriAI LiteLLM ซึ่งเป็น Python proxy ยอดนิยมสำหรับเชื่อมต่อ LLM หลายตัว ช่องโหว่เป็น SQL injection ที่ผู้โจมตีส่ง Authorization header พิเศษไปยัง API route ใดก็ได้เพื่ออ่านและแก้ไขฐานข้อมูล ขโมย API key ของ OpenAI, Anthropic และ provider อื่น ๆ ถูก exploit จริงภายใน 36 ชั่วโมงหลังเปิดเผย CISA บรรจุเข้า KEV catalog