Aws

GitGuardian รายงานว่าระหว่าง 13-21 ตุลาคม ผู้อยู่เบื้องหลัง GhostAction push 72,000 commit เข้า 23,000 repo สาธารณะผ่านบัญชีนักพัฒนาที่ยึดไว้ โดยมี 8,000 repo เป็นเป้าใหม่ ผู้โจมตีส่ง payload 5 แบบตามชนิด runner รวมถึงตัวขอโทเคน OIDC เพื่อสวมบทบาท AWS และ stealer ในไฟล์ฟอนต์ปลอมที่ลอกจาก PolinRider GitHub ตรวจพบและสกัดเวิร์กโฟลว์อันตรายไว้ได้ แต่ผู้โจมตียังเข้าถึงบัญชีที่ยึดไว้ได้ 1,792 บัญชี เจ้าของ repo ควรลบไฟล์ตาม IoC ทุก branch เพิกถอนโทเคน และหมุนเวียน secret ทั้งหมด

LiteLLM เวอร์ชัน 1.107.0 บน PyPI และอิมเมจ Docker ถูกวางยา ฝังมัลแวร์ขโมยข้อมูลรับรอง privcollect และแบ็กดอร์ที่ดึงโค้ดมารันทุกชั่วโมง ผู้โจมตีใช้บัญชี GitHub ของวิศวกร 3 คนผ่านโทเคน OAuth ของ GitHub CLI ที่น่าจะถูกขโมย สั่งรันและอนุมัติการปล่อยรุ่นเอง มัลแวร์ทำงานทันทีที่ Python เริ่มผ่านไฟล์ cook.pth และส่งคีย์คลาวด์ กุญแจส่วนตัว และคีย์ใน proxy ไปที่ litellm[.]dev ผู้ติดตั้งรุ่นนี้ควรเปลี่ยนข้อมูลรับรองจากเครื่องที่สะอาดและยึดเวอร์ชัน 1.106.2 ด้วย digest

แคมเปญ GhostAction ใช้บัญชี GitHub ของผู้ดูแลโอเพนซอร์ส 2 ราย คือผู้สร้าง pyxel และผู้สร้าง athenadriver ของ Uber ฝังเวิร์กโฟลว์ security-audit.yml ปลอมลงใน 346 repo เมื่อ 8 ต.ค. เวิร์กโฟลว์ส่ง secret ของ GitHub Actions และกุญแจคลาวด์/AI ที่ค้นได้จากไฟล์ปัจจุบันและประวัติ git ทั้งหมดไปยัง 193.32.204[.]199 Socket พบบัญชีกว่า 500 บัญชีที่ commit เวิร์กโฟลว์นี้ไปยัง repo หลายหมื่นแห่งตั้งแต่ 7 ต.ค. แต่ยังไม่พบแพ็กเกจอันตรายที่ถูกเผยแพร่

นักวิจัย Zenity Labs เผยที่งาน SecTor 2026 ว่าเอเจนต์บน AWS Bedrock AgentCore เข้าถึง IMDS ได้ ทำให้ prompt เดียวถึงแชตบอตสาธารณะดึง credential ชั่วคราวของ execution role ออกมาได้ role เริ่มต้นมีสิทธิ์กว้างทั้ง region จึงเรียกเอเจนต์ตัวอื่น อ่านบทสนทนา ฝังความจำ และอ่าน Secrets Manager ได้ AWS เปลี่ยนเป็น IMDSv2 เมื่อ ก.พ. และตัดสิทธิ์ role เริ่มต้นราวปลาย ก.ย. AWS แย้งว่าเป็นพฤติกรรมตามเอกสาร ไม่ใช่ช่องโหว่ ยังไม่พบการโจมตีจริงและไม่มี CVE

บริษัท JetBrains เร่งให้ผู้ใช้บริการ Cadence เพิกถอนและหมุนข้อมูลรับรองทั้งหมด หลังผู้โจมตีใช้ช่องโหว่ CVE-2026-63077 คะแนน 9.8 ใน TeamCity เจาะเข้าสภาพแวดล้อมของบริษัทเอง ผู้โจมตีเข้าถึงข้อมูลส่วนบุคคล ไฟล์สำรองของเซิร์ฟเวอร์ Cadence จากปี 2567 และกุญแจ AWS IAM หลายชุด รวมถึงซอร์สโค้ดที่ผู้ใช้ซิงก์ขึ้นไปจาก PyCharm การบุกรุกเกิดระหว่างวันที่ 8-24 สิงหาคม 2569 และเซิร์ฟเวอร์ที่ถูกเจาะถูกปิดไปแล้ว

AWS Certificate Manager ประกาศยกเลิกการยืนยันการควบคุมโดเมนผ่านอีเมลสำหรับใบรับรองสาธารณะอย่างถาวรภายในวันที่ 30 กันยายน 2570 เพื่อให้สอดคล้องกับมติของ CA/Browser Forum เมื่อเดือนพฤศจิกายน 2568 ที่กำหนดให้เบราว์เซอร์หลักเลิกเชื่อถือใบรับรองที่ยืนยันด้วยอีเมลตั้งแต่ 15 มีนาคม 2571 การยืนยันทางอีเมลถูกมองว่าเปราะบางมานาน ทั้งจากการเปลี่ยนเส้นทาง MX ที่ถูกยึด ลิงก์ยืนยันที่ถูกดักจับ และข้อมูลผู้ดูแลใน WHOIS ที่ล้าสมัย AWS เปิดให้เปลี่ยนวิธียืนยันในที่เดิมได้โดยไม่ต้องออกใบรับรองใหม่

บริษัท Beacon ผู้ให้บริการ CRM สำหรับองค์กรการกุศลในสหราชอาณาจักร เปิดเผยสาเหตุที่น่าจะเป็นของเหตุข้อมูลรั่วที่กระทบลูกค้าจำนวนมาก การสอบสวนพบว่าผู้โจมตีดึงข้อมูลออกจากสภาพแวดล้อม AWS ด้วยคีย์เข้าถึงที่อาจหลุดอยู่ในไฟล์ JavaScript ที่เผยแพร่สู่สาธารณะ กิจกรรมแรกสุดเกิดขึ้นวันที่ 27 กรกฎาคม และบริษัทประเมินว่าผู้โจมตีส่งออกข้อมูลทั้งฐานข้อมูล องค์กรที่ได้รับผลกระทบระบุว่าครอบคลุมลูกค้าทั้งหมดกว่า 1,000 ราย

บริษัทเทคโนโลยีสารสนเทศด้านสุขภาพ CareCloud แจ้งเตือนผู้ได้รับผลกระทบอย่างน้อย 350,000 รายว่าข้อมูลของพวกเขาถูกขโมยไป เหตุเกิดในสภาพแวดล้อมเวชระเบียนอิเล็กทรอนิกส์ของแผนก CareCloud Health ที่หยุดชะงักเมื่อ 16 มีนาคม 2569 การสอบสวนพบว่าผู้บุกรุกเข้าถึงสภาพแวดล้อม AWS หนึ่งชุดระหว่างวันที่ 10 ถึง 16 มีนาคม และน่าจะดึงข้อมูลออกไป ข้อมูลที่รั่วครอบคลุมทั้งหมายเลขประกันสังคม ใบขับขี่ เลขบัญชีการเงิน และข้อมูลทางการแพทย์ โดยบางรายหลุดข้อมูลบัตรเครดิตเต็มรูปแบบรวมถึง CVV

บริษัท Intezer ร่วมกับ Kodem Security พบช่องโหว่ใน AWS Kiro IDE ที่ทำให้หน้าเว็บซ่อนข้อความอันตรายสั่ง agent เขียนทับไฟล์ตั้งค่า MCP แล้วรันโค้ดบนเครื่องนักพัฒนาได้ทันที โดยขั้นตอนอนุมัติที่เป็นกลไกความปลอดภัยหลักของ Kiro ถูกข้ามไปอย่างสมบูรณ์ AWS ออกแพตช์แก้ไขแล้วในเวอร์ชัน 0.11.130 แต่ไม่มีการกำหนดหมายเลข CVE นี่เป็นครั้งที่ 3 ในรอบ 1 ปีที่นักวิจัยพบบั๊กรูปแบบเดียวกันใน Kiro

ลูกค้า AWS ทั่วโลกตกใจเมื่อคอนโซล Billing และ Cost Explorer แสดงยอดค่าใช้จ่ายคลาวด์ที่สูงผิดปกติ บางองค์กรเห็นยอดประเมินรายเดือนแตะระดับล้านล้านดอลลาร์จนระบบแจ้งเตือนงบประมาณทำงาน AWS ยืนยันว่าเป็นเพียงข้อมูลประเมินที่คลาดเคลื่อน ค่าใช้จ่ายจริงและบันทึกการใช้งานไม่ได้รับผลกระทบ ต้นเหตุคือปัญหาราคาต่อหน่วยในระบบคำนวณบิลประเมิน AWS แนะให้ตรวจสอบบัญชีผ่านแดชบอร์ดระดับบริการอย่างต่อเนื่อง