Cisa

CISA เพิ่ม 2 ช่องโหว่ที่ถูกใช้โจมตีจริงเข้าแคตตาล็อก KEV ได้แก่ CVE-2026-97229 ใน GitLab CE/EE คะแนน CVSS 10.0 และ CVE-2026-76418 ใน Cisco Secure Firewall ASA และ FTD คะแนน 8.6 ช่องโหว่ GitLab เปิดให้ผู้ไม่ล็อกอินรันโค้ดผ่าน regex ในคอนฟิก CI/CD ส่วนช่องโหว่ Cisco ทำให้ไฟร์วอลล์รีบูตจากระยะไกล Alpine Linux เผยว่าถูกยิง exploit GitLab ช่วง 20-21 ตุลาคมจนโปรเซสแครช 8 ครั้ง ไม่พบว่าสำเร็จแต่สร้างเซิร์ฟเวอร์ใหม่ทั้งหมด หน่วยงานรัฐบาลกลางสหรัฐฯ ต้องแพตช์ภายใน 1 พฤศจิกายน 2569

CISA, FBI, หน่วย Secret Service และหน่วยงานเยอรมนีกับสหราชอาณาจักรออกคำเตือนร่วม AA26-293A เมื่อ 20 ตุลาคม 2569 ระบุว่าแรนซัมแวร์ SafePay มีเหยื่ออย่างน้อย 600 รายตั้งแต่สิงหาคม 2567 ผู้โจมตีเข้าผ่านข้อมูลรับรองที่หลุด การเดารหัสผ่าน ฟิชชิง และช่องโหว่ใน Cisco ASA, SonicWall และ Veeam Backup & Replication จากนั้นใช้ PsExec, WinRM และ RDP เคลื่อนย้าย ขโมยข้อมูลด้วย RClone และ WinSCP ก่อนเข้ารหัส กลุ่มหยุด VSS และรีเซ็ต NAS ที่เก็บแบ็กอัปเป็นค่าโรงงาน

กระทรวงความมั่นคงแห่งมาตุภูมิสหรัฐฯ (DHS) สั่งหน่วยงานพลเรือนของรัฐบาลกลางถอดผลิตภัณฑ์ AI ของ DeepSeek ออกจากระบบไอทีและหยุดจัดซื้อ คำสั่งออกภายใต้กฎหมาย FASCSA ปี 2561 ตามข้อเสนอของสภาความมั่นคงการจัดซื้อจัดจ้างของรัฐบาลกลาง ข้อกำหนดการถอดครอบคลุมผลิตภัณฑ์และบริการของบุคคลที่สามที่สร้างบน DeepSeek ด้วย หน่วยงานจึงต้องตรวจเทคโนโลยีเบื้องหลัง ไม่ใช่ดูแค่ชื่อผู้ขาย คำสั่งนี้ไม่ได้ห้ามบุคคลทั่วไปใช้ DeepSeek

NSA, CISA และ NIST ออกแนวปฏิบัติร่วมแบบสมัครใจ 10 ข้อ สำหรับรับมือเหตุที่เอเจนต์ AI ทำเกินขอบเขตงานที่ได้รับอนุญาต แนวปฏิบัติเรียกเหตุแบบนี้ว่า SI control incident และแยกออกจากการโจมตีที่ผู้ไม่หวังดีสั่งผ่าน prompt injection หรือโมเดลที่ถูกฝังแบ็กดอร์ ข้อเสนอหลักคือจำกัดสิทธิ์และเครือข่ายของเอเจนต์ ตรวจจับหลายชั้นโดยห้ามเอเจนต์แก้เครื่องมือเฝ้าระวังหรือล็อก และหยุดการรันอัตโนมัติเมื่อตรวจพบการควบคุมล้มเหลว เอกสารต่อยอดจาก NIST SP 800-61r3 ครอบคลุมตั้งแต่การเตรียมพร้อมจนถึงการรายงาน

CISA เร่งให้องค์กรอัปเดต Ivanti Connect Secure ทันที หลัง CVE-2026-104935 ช่องโหว่ข้ามการยืนยันตัวตน CVSS 8.6 ถูกใช้เป็น zero-day เพื่อรันคำสั่งโดยไม่ต้องล็อกอิน แล้วขโมยข้อมูลรับรองและข้อมูลออก CISA ใส่ช่องโหว่นี้ใน KEV และให้หน่วยงานรัฐบาลกลางแพตช์ภายใน 16 ต.ค. 2569 Previdian พบความพยายามโจมตี honeypot 105 ครั้งจาก 50 IP Volexity พบกลุ่ม UTA0576 ใช้ช่องโหว่นี้ร่วมกับบั๊กยกระดับสิทธิ์ได้ root ตั้งแต่ 3 ต.ค. แล้วขโมยรหัส Kerberoast และค้น BitLocker recovery key

Microsoft ออกแพตช์ประจำเดือนตุลาคม 2569 แก้ 1,413 ช่องโหว่ มากที่สุดเป็นประวัติการณ์ ในจำนวนนี้มี CVE-2026-96951 ใน Windows Shell ที่ใช้ข้ามการป้องกัน Mark of the Web และถูกโจมตีจริงแล้ว CISA เพิ่มเข้า KEV และสั่งหน่วยงานรัฐบาลกลางแพตช์ภายใน 16 ตุลาคม อีกตัวที่ต้องเร่งคือ CVE-2026-108398 ใน .NET Framework ซึ่งเปิดเผยต่อสาธารณะแล้ว ใช้ข้าม WDAC ได้ Microsoft ยังเปิดตัวการจัดกลุ่ม risk cohort เพื่อช่วยจัดลำดับแพตช์

หน่วยงาน CISA เพิ่มช่องโหว่วิกฤตใน Fortinet FortiMail (CVE-2026-104286, CVSS 9.8) เข้าบัญชี KEV หลังพบการโจมตีจริง ช่องโหว่เป็นแบบ path traversal ร่วมกับ NULL byte ที่เปิดให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนเขียนไฟล์ใด ๆ บนระบบผ่านคำขอ HTTP/HTTPS ที่ปรุงแต่งไว้ กระทบ FortiMail หลายเวอร์ชันตั้งแต่ 7.2 ถึง 8.0 บริษัท Fortinet ยอมรับว่าถูกโจมตีในวงจริงและออกวิธีแก้ชั่วคราว ขณะ CISA สั่งหน่วยงานรัฐบาลกลางแพตช์ภายใน 4 ตุลาคม 2026

CISA เพิ่ม 2 ช่องโหว่วิกฤตใน Citrix NetScaler ADC และ Gateway เข้า KEV หลังพบถูกใช้โจมตีทั่วโลก คือ CVE-2026-88771 (CVSS 9.5) improper input validation ให้รันคำสั่งได้โดยไม่ต้องยืนยันตัวตน และ CVE-2026-88772 (CVSS 9.5) buffer error ที่นำไปสู่ RCE หรือ DoS โดย 88772 ต้องเปิด DTLS ซึ่งเปิดเป็นค่าเริ่มต้นบน VPN vserver บริษัท watchTowr สาธิตว่า 88771 รันโค้ดเป็น root ผ่าน endpoint pre-auth ได้ ขณะ Unit 42 พบเครื่องเปิดสู่สาธารณะกว่า 50,277 เครื่อง

แฮ็กเกอร์ต่างชาติเจาะระบบ OT ของการประปาเอกชนขนาดเล็ก 2 แห่งในรัฐโคโลราโดช่วงปลายเดือนสิงหาคม โดยเปลี่ยนค่าอุปกรณ์ ปิดการเข้าถึงระยะไกลและสัญญาณเตือน และปรับรอบการสูบน้ำ เหตุเกิดสั้น ๆ ไม่กระทบคุณภาพน้ำหรือความปลอดภัยประชาชน ทางการยังไม่ระบุตัวผู้โจมตี แต่ CISA เตือนว่ามีกลุ่มหนุนหลังโดยอิหร่านพยายามเข้าถึงระบบน้ำทั่วสหรัฐฯ ต่อเนื่องจากคลื่นโจมตีระบบ PLC ที่เปิดสู่อินเทอร์เน็ตเมื่อเดือนกรกฎาคม

CISA เพิ่มช่องโหว่เคอร์เนล Linux สามรายการเข้าบัญชี KEV เมื่อวันศุกร์ โดยอ้างหลักฐานว่าถูกใช้โจมตีจริง ได้แก่ CVE-2025-39682 (CVSS 9.8) ในเส้นทางรับข้อมูล TLS, CVE-2026-53266 (CVSS 8.8) เขียนนอกขอบเขตใน ebtables และ CVE-2025-39964 (CVSS 7.8) race condition บนซ็อกเก็ต AF_ALG ยังไม่มีรายละเอียดว่าถูกใช้โจมตีอย่างไร แต่ Red Hat อัปเดตประกาศยอมรับการโจมตีจริงแล้ว หน่วยงาน FCEB ต้องแก้ไขภายใน 21 กันยายน