Authentication-Bypass

บริษัท VulnCheck พบความพยายามโจมตีช่องโหว่ CVE-2026-61500 (CVSS 9.3) ใน Rejetto HTTP File Server เวอร์ชัน 3.0.0 ถึง 3.2.0 แล้ว ช่องโหว่เกิดจากการสร้างคีย์ลงนามคุกกี้เซสชันด้วย Math.random() ซึ่งไม่ปลอดภัยเชิงการเข้ารหัส ผู้โจมตีกู้คีย์จากการตอบกลับตอนล็อกอินเพียงไม่กี่ครั้ง แล้วปลอมเซสชันผู้ดูแลระบบเพื่อรัน JavaScript ฝั่งเซิร์ฟเวอร์ได้ แพตช์ออกในเวอร์ชัน 3.2.1 ตั้งแต่กรกฎาคม แต่ PoC สาธารณะเพิ่งปรากฏปลายกันยายน กิจกรรมที่พบยังเป็นการสอดแนมขนาดเล็กจาก IP เดียวในจีน

บริษัท Dell ออกแพตช์ DSA-2026-448 แก้ 6 ช่องโหว่วิกฤตใน Dell Container Storage Modules (CSM) คะแนน CVSS ระหว่าง 9.6 ถึง 10.0 ช่องโหว่ร้ายแรงสุดเปิดให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนดึงรหัสผ่านแอดมินของสตอเรจทุกตัวที่ลงทะเบียนไว้ บางรายการเกิดจากกุญแจ JWT ที่ฝังตายตัวและเปิดเผยต่อสาธารณะ ทำให้ปลอมโทเคนแอดมินได้ อีกรายการเปิดให้ผู้มีสิทธิ์ต่ำได้ root บนทุกโหนดของคลัสเตอร์ด้วย custom resource เดียว แก้ไขในเวอร์ชัน 1.18.0 โดยไม่มีวิธีแก้ชั่วคราว

บริษัท Cisco ออกแพตช์เร่งด่วนแก้ช่องโหว่เลี่ยงการยืนยันตัวตนระดับวิกฤตใน Identity Services Engine (ISE) ที่ถูกใช้โจมตีจริงในรูปแบบ zero-day ช่องโหว่ CVE-2026-76460 คะแนน CVSS เต็ม 10 เกิดที่เอนด์พอยต์ API ที่ตรวจสอบการยืนยันตัวตนไม่เพียงพอ เปิดให้ผู้โจมตีส่งคำขอที่สร้างพิเศษเข้าถึงอุปกรณ์โดยไม่ต้องล็อกอินและรันคำสั่งด้วยสิทธิ์ root ได้ กระทบทั้ง ISE และ ISE-PIC ทุกการตั้งค่า โดย CISA เพิ่มเข้าบัญชี KEV และสั่งหน่วยงานรัฐบาลกลางแพตช์ภายใน 3 วัน

บริษัท watchTowr พบว่าช่องโหว่ร้ายแรงใน WSO2 API Manager (CVE-2026-5430 คะแนน CVSS 9.8) กำลังถูกใช้โจมตีจริง ช่องโหว่เกิดจากการตรวจสอบลายเซ็นเข้ารหัสไม่ถูกต้อง ทำให้ข้ามการยืนยันตัวตน JWT ด้วยโทเคนที่ลงนามด้วยอัลกอริทึมที่ไม่รองรับได้ honeypot ของ watchTowr จับโทเคนปลอมที่ฝังสิทธิ์แอดมินได้เมื่อ 13 กันยายน กระทบ API Manager 4.1.0–4.6.0 และผลิตภัณฑ์ WSO2 อื่น แนะนำให้แพตช์โดยด่วน

DeepSeek Harness เครื่องมือโอเพนซอร์สสำหรับรันเอเจนต์เขียนโค้ดบนเครื่องนักพัฒนา มีช่องโหว่ที่ทำให้เอเจนต์ซึ่งถูกกักอยู่ในแซนด์บ็อกซ์สั่งปิดแซนด์บ็อกซ์ของตัวเองได้ด้วยคำสั่งเดียวโดยไม่มีหน้าต่างขออนุมัติ ช่องโหว่ใช้รหัส CVE-2026-82533 และได้คะแนน 9.4 เต็ม 10 จาก VulnCheck ต้นเหตุคือหน้าเว็บควบคุมบนเครื่องเดียวกันไม่มีการยืนยันตัวตน และตรวจสิทธิ์ด้วยค่า Host header ที่ฝั่งผู้เรียกกำหนดเองได้ เวอร์ชัน 0.1.1-rc.2 และเก่ากว่าได้รับผลกระทบ

บริษัท ASUS ออกอัปเดตความปลอดภัยเร่งด่วนให้ ASUS Control Center Enterprise หลังพบช่องโหว่ CVE-2026-75754 ที่ได้คะแนน CVSS 4.0 เต็ม 10.0 ผู้โจมตีจากระยะไกลยึดสิทธิ์ผู้ดูแลระบบของแพลตฟอร์มและอุปกรณ์ทุกเครื่องที่มันจัดการได้โดยไม่ต้องใช้รหัสผ่าน ช่องโหว่เกิดจากจุดอ่อน 3 อย่างต่อกัน คือฟังก์ชันสำคัญไม่มีการยืนยันตัวตน SSRF ที่ทำให้กุญแจเข้ารหัสหลุด และรหัสผ่านที่ฝังมาในซอฟต์แวร์

บริษัท watchTowr เปิดเผยว่าผู้โจมตีเริ่มใช้ช่องโหว่ CVE-2026-82329 (CVSS 9.8) ใน JFrog Artifactory โจมตีจริงตั้งแต่วันที่ 1 กันยายน 2569 หลัง JFrog ออกแพตช์เพียงไม่กี่วัน ช่องโหว่นี้เป็นการข้ามการยืนยันตัวตนในองค์ประกอบ JFrog Access โดยอินสแตนซ์ที่ไม่ได้ตั้ง join key เพิ่มจะได้ join key แบบ phantom ที่ผู้โจมตีนำไปปลอมข้อมูลรับรองระดับผู้ดูแลระบบได้ ผู้โจมตีบางรายสร้างบัญชีแบ็กดอร์และไล่เก็บรายชื่อผู้ใช้ กลุ่ม และโทเคน องค์กรที่ติดตั้งเองควรแพตช์ทันทีและหมุนข้อมูลรับรอง

บริษัท Citrix ออกแพตช์แก้ช่องโหว่ 2 รายการใน NetScaler ADC และ NetScaler Gateway เมื่อวันพุธที่ 19 สิงหาคม 2569 ตัวที่ร้ายแรงที่สุดคือ CVE-2026-19490 คะแนน CVSS 9.3 ช่องโหว่ข้ามการยืนยันตัวตนผ่านเส้นทางทางเลือก ซึ่งผู้โจมตีจากระยะไกลใช้ได้โดยไม่ต้องล็อกอินและไม่ต้องอาศัยปฏิสัมพันธ์จากผู้ใช้ กระทบเครื่องที่ตั้งค่าเป็นเกตเวย์หรือ AAA virtual server อีกรายการคือ CVE-2026-19489 ระดับสูงที่ทำให้เกิด DoS เมื่อเปิด SIP ALG โดย Rapid7 คาดว่าจะถูกโจมตีในไม่ช้า

นักวิจัยจาก Hunt.io เปิดเผยแคมเปญชื่อ Operation CameraSwarm ที่ยึดอุปกรณ์ Dahua ได้มากกว่า 14,530 เครื่องระหว่าง 17 มิถุนายน ถึง 22 กรกฎาคม 2569 ด้วยสามเส้นทางคือการโจมตีข้อมูลรับรอง ช่องโหว่ข้ามการยืนยันตัวตนสองรายการจากปี 2564 และการใช้รีเลย์ P2P ของผู้ผลิตเอง ข้อมูลทั้งหมดถูกประกอบขึ้นจากไดเรกทอรีทำงานขนาด 407 MB ที่ผู้โจมตีเปิดทิ้งไว้ เหยื่อที่ยืนยันได้กระจุกอยู่ในยูเครนและรัสเซีย โดยยังไม่มีการระบุตัวผู้อยู่เบื้องหลัง

บริษัท Wordfence เปิดเผยช่องโหว่ CVE-2026-15748 (CVSS 9.8) ในปลั๊กอิน Forminator Forms ของ WordPress ที่มีการติดตั้งใช้งานกว่า 600,000 แห่ง เปิดทางให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนอัปโหลดไฟล์ตามอำเภอใจรวมถึงไฟล์ PHP จนรันโค้ดและยึดเว็บได้ทั้งไซต์ เงื่อนไขคือฟอร์มต้องมีทั้งฟิลด์ File Upload และฟิลด์ Select กระทบทุกเวอร์ชันถึง 1.56.1 และแก้แล้วใน 1.56.2 ที่ออกเมื่อ 31 กรกฎาคม 2569 พร้อมกันนั้น Wordfence ยังเปิดเผย CVE-2026-15826 ในปลั๊กอิน User Profile Builder ที่เปิดทางล็อกอินเป็นผู้ดูแลระบบ