Ci-Cd

CISA เพิ่ม 2 ช่องโหว่ที่ถูกใช้โจมตีจริงเข้าแคตตาล็อก KEV ได้แก่ CVE-2026-97229 ใน GitLab CE/EE คะแนน CVSS 10.0 และ CVE-2026-76418 ใน Cisco Secure Firewall ASA และ FTD คะแนน 8.6 ช่องโหว่ GitLab เปิดให้ผู้ไม่ล็อกอินรันโค้ดผ่าน regex ในคอนฟิก CI/CD ส่วนช่องโหว่ Cisco ทำให้ไฟร์วอลล์รีบูตจากระยะไกล Alpine Linux เผยว่าถูกยิง exploit GitLab ช่วง 20-21 ตุลาคมจนโปรเซสแครช 8 ครั้ง ไม่พบว่าสำเร็จแต่สร้างเซิร์ฟเวอร์ใหม่ทั้งหมด หน่วยงานรัฐบาลกลางสหรัฐฯ ต้องแพตช์ภายใน 1 พฤศจิกายน 2569

GitGuardian รายงานว่าระหว่าง 13-21 ตุลาคม ผู้อยู่เบื้องหลัง GhostAction push 72,000 commit เข้า 23,000 repo สาธารณะผ่านบัญชีนักพัฒนาที่ยึดไว้ โดยมี 8,000 repo เป็นเป้าใหม่ ผู้โจมตีส่ง payload 5 แบบตามชนิด runner รวมถึงตัวขอโทเคน OIDC เพื่อสวมบทบาท AWS และ stealer ในไฟล์ฟอนต์ปลอมที่ลอกจาก PolinRider GitHub ตรวจพบและสกัดเวิร์กโฟลว์อันตรายไว้ได้ แต่ผู้โจมตียังเข้าถึงบัญชีที่ยึดไว้ได้ 1,792 บัญชี เจ้าของ repo ควรลบไฟล์ตาม IoC ทุก branch เพิกถอนโทเคน และหมุนเวียน secret ทั้งหมด

Rust 1.100 ที่กำหนดออกวันที่ 12 พฤศจิกายน 2569 จะรองรับ dependency cooldown ใน Cargo แบบ stable ให้ปฏิเสธเวอร์ชันแพ็กเกจที่อายุยังไม่ถึงเกณฑ์ที่ตั้งไว้ ฟีเจอร์นี้เป็นแบบ opt-in ค่าเริ่มต้นยังเป็นศูนย์ ต้องตั้ง global-min-publish-age เอง เหตุผลมาจากกรณี arrayref, internment และ append-only-vec ที่ถูกยึดเมื่อสิงหาคม และอยู่บน crates.io 86-107 นาทีก่อนถูกถอด รายการใน Cargo.lock เดิมไม่ถูกตรวจย้อนหลัง และ cooldown ไม่ได้พิสูจน์ว่าแพ็กเกจปลอดภัย

GitLab ออกแพตช์ความปลอดภัยเมื่อ 12 ตุลาคม 2569 แก้ CVE-2026-97229 คะแนน CVSS 10.0 ใน GitLab CE และ EE ช่องโหว่เป็น integer overflow ในตัวคอมไพล์ regex ของ CI/CD ที่เปิดให้ผู้โจมตีไม่ต้องล็อกอินรันโค้ดบนเซิร์ฟเวอร์ผ่าน regex ที่สร้างขึ้นเฉพาะในค่าตั้ง CI/CD กระทบเวอร์ชัน 19.2 ถึง 19.4 ต้องอัปเดตเป็น 19.2.8, 19.3.4 หรือ 19.4.2 GitLab.com และ GitLab Dedicated แพตช์แล้ว ยังไม่มีรายงานการโจมตีจริง แต่ GitLab เพิ่งแพตช์ช่องโหว่ regex ของ CI/CD ระดับวิกฤตไปเมื่อเดือนกันยายน

แคมเปญ GhostAction ใช้บัญชี GitHub ของผู้ดูแลโอเพนซอร์ส 2 ราย คือผู้สร้าง pyxel และผู้สร้าง athenadriver ของ Uber ฝังเวิร์กโฟลว์ security-audit.yml ปลอมลงใน 346 repo เมื่อ 8 ต.ค. เวิร์กโฟลว์ส่ง secret ของ GitHub Actions และกุญแจคลาวด์/AI ที่ค้นได้จากไฟล์ปัจจุบันและประวัติ git ทั้งหมดไปยัง 193.32.204[.]199 Socket พบบัญชีกว่า 500 บัญชีที่ commit เวิร์กโฟลว์นี้ไปยัง repo หลายหมื่นแห่งตั้งแต่ 7 ต.ค. แต่ยังไม่พบแพ็กเกจอันตรายที่ถูกเผยแพร่

บริษัท CloudSEK พบแอฟฟิลิเอตแรนซัมแวร์ชื่อ Azazel ที่ทำงานร่วมกับกลุ่ม The Gentlemen ลงทะเบียน reverse shell เป็นเครื่องมือในผู้ช่วยเขียนโค้ด AI ผ่าน MCP แล้วใช้สั่งงานในเครือข่ายเหยื่อจริง แคมเปญกระทบกว่า 20 องค์กรใน 6 ประเทศ ส่วนใหญ่เริ่มจากความลับที่ขโมยจาก GitLab pipeline และประวัติ repository เหยื่อรายหนึ่งเสียข้อมูลทะเบียนการเงินกว่า 120,000 รายการ ส่วนแพลตฟอร์ม AI การแพทย์ถูกเจาะผ่าน SSRF และถูกดูดข้อมูลเกิน 6 TB

GitHub Actions ของ actions-cool สองตัวถูกปิดเป็นครั้งที่สอง หลังเปิดให้เข้าถึงได้อีกเมื่อ 16 กันยายน 2569 ทั้งที่ยังฝังโค้ดมุ่งร้ายจากแคมเปญ Mini Shai-Hulud เดือนพฤษภาคม release tag ยังชี้ไปที่โค้ดอันตรายเดิม ทำให้ workflow ที่อ้างด้วย version tag กลับมาดาวน์โหลดและรัน payload ทันที นักวิจัย Socket ชี้ว่าเหตุนี้ไม่มีโค้ดใหม่เลย ตอกย้ำความสำคัญของการ pin ด้วย commit SHA

นักวิจัยจาก Aikido Security เผยว่าอีเมลส่วนตัวที่ GitLab ให้ไว้สำหรับเปิด issue ทางอีเมลนั้นแท้จริงคือ credential. ใครก็ตามที่ได้อีเมลนี้ไปสามารถส่งแพตช์ให้ GitLab commit ในชื่อเจ้าของ ไปยัง branch ใดก็ได้รวมถึง main และสั่งรันงาน CI/CD ในชื่อเจ้าของได้. โทเคนในอีเมลไม่หมดอายุ ใช้ได้กับทุกโปรเจกต์ที่บัญชีเข้าถึงได้ และข้ามทั้ง IP allowlist และ 2FA. วิธีแก้คือรีเซ็ตโทเคน incoming email ในหน้าโปรไฟล์.

นักวิจัยของบริษัท GitGuardian พบเมื่อต้นเดือนสิงหาคมว่าเวิร์มขโมยข้อมูลตระกูล Shai-Hulud รุ่นล่าสุดขยายการค้นหาข้อมูลยืนยันตัวตนเป็น 469 ตำแหน่ง จากรุ่นก่อนที่ค้นเพียง 189 ตำแหน่ง ครอบคลุมสภาพแวดล้อมนักพัฒนา เครื่องมือ CI/CD คอนฟิกคลาวด์ และคอนฟิกของเครื่องมือ AI ทิศทางนี้สะท้อนว่าผู้โจมตีเลิกพยายามทำลายความไว้วางใจในห่วงโซ่อุปทาน แล้วหันมาใช้ข้อมูลยืนยันตัวตนที่ทำให้ความไว้วางใจนั้นทำงานได้แทน โดยกุญแจสำหรับเผยแพร่แพ็กเกจคือเป้าหมายที่อันตรายที่สุด

ทีม Unit 42 ของบริษัท Palo Alto Networks เข้าตอบสนองเหตุการณ์ที่ผู้โจมตีใช้เอเจนต์ AI ระดับแนวหน้าเจาะเครือข่ายองค์กรจนสำเร็จภายในไม่ถึง 10 ชั่วโมง จากที่ปกติต้องใช้เวลาราวสองสัปดาห์ ในการโจมตีนั้นผู้โจมตีเก็บข้อมูลยืนยันตัวตน ยึดสิทธิ์ root เข้าควบคุมไปป์ไลน์ CI/CD และเปลี่ยนโครงสร้างพื้นฐาน AI ของเหยื่อให้กลายเป็นฐานปฏิบัติการ นักวิจัยย้ำว่าไม่มีการใช้ช่องโหว่ zero-day เลย จุดอ่อนที่ถูกใช้ล้วนเป็นเรื่องธรรมดาอย่าง API ที่เปิดสู่ภายนอกและข้อมูลยืนยันตัวตนที่ฝังอยู่ในโค้ด