Cloud-Security

Railway แพลตฟอร์มคลาวด์สำหรับดีพลอยแอปเปิดเผยว่าบุคคลที่สามอาจเข้าถึงตัวแปรสภาพแวดล้อมของลูกค้า รวมถึงค่าที่ถอดรหัสแล้วบางส่วน ซึ่งอาจมีคีย์ API รหัสผ่านฐานข้อมูล และข้อมูลรับรอง registry ส่วนตัว บริษัทเชื่อว่าเหตุนี้เป็นส่วนหนึ่งของการโจมตีแพลตฟอร์มหลายรายเพื่อยึดการเข้าถึงผู้ให้บริการ AI inference Railway หยุดการดีพลอย หมุนเวียนข้อมูลรับรอง storage bucket ทั้งหมด และแนะนำลูกค้าทุกรายให้เปลี่ยน secret ทันที บริษัทยังไม่เปิดเผยจำนวนบัญชีที่ได้รับผลกระทบหรือช่องทางเจาะ

GMO Internet ผู้ให้บริการ Onamae.com ยืนยันว่ามีผู้บุกรุกติดตั้งโปรแกรมอันตรายในสภาพแวดล้อมเซิร์ฟเวอร์ของลูกค้า Desktop Cloud เมื่อ 20 ตุลาคม 2569 บริษัททยอยปิดเซิร์ฟเวอร์ทุกแพ็กเกจและระบุว่า 26,739 เครื่องอาจได้รับผลกระทบ ข้อมูลในเครื่องอาจถูกเปิดดู บริการนี้นิยมใช้รันโปรแกรมเทรดฟอเร็กซ์อัตโนมัติ OANDA Japan จึงเตือนว่ารหัสเข้าใช้ MT4/MT5 อาจรั่ว ประกาศยังไม่ระบุชนิดมัลแวร์ ช่องทางเจาะ หรือ IoC และยังไม่มีกำหนดเปิดบริการ

Varonis Threat Labs ร้อยฟีเจอร์ในตัวของ PostgreSQL ยกระดับบัญชี snowflake_admin ที่ไม่ใช่ superuser บน Snowflake Postgres จนรันคำสั่งระดับระบบปฏิบัติการได้ เส้นทางเริ่มจากสิทธิ์ CREATEROLE ผ่าน pg_cron และฟังก์ชัน SECURITY DEFINER สู่สิทธิ์ superuser แล้วผูกฟังก์ชัน C ในตัวกลับมาเพื่อแก้ archive_command ทั้งที่ Snowflake บล็อกช่องทางเหล่านั้นไว้แล้ว Snowflake แก้ฝั่งเซิร์ฟเวอร์ก่อนเผยแพร่ ลูกค้าไม่ต้องทำอะไรเพิ่ม การทดสอบอยู่ในสภาพแวดล้อม single-tenant ของนักวิจัยเอง

ConnectWise ปิด application identity 7 ตัวและระงับบริการ Cloud Backup หลังผู้โจมตีที่ยังไม่ทราบตัวตนได้ข้อมูลรับรองของแอปและใช้เข้า Microsoft 365 tenant ของลูกค้า บริษัทพบเหตุเมื่อ 14 ต.ค. 2569 และยังไม่ทราบว่าข้อมูลรับรองหลุดอย่างไร Huntress พบเกือบ 1,000 tenant มีการล็อกอินจาก IP ของผู้โจมตี สำเร็จ 300 แห่ง และพบการใช้แอป Teams ในทางมิชอบจริง รอบที่สองเล็ง 16 tenant ในภาคนโยบาย ความมั่นคง การค้า และแร่ธาตุสำคัญแต่ไม่สำเร็จ การปิดแอปไม่ได้ย้อนการเปลี่ยนแปลงที่ผู้โจมตีทำไว้ใน tenant

นักวิจัยบริษัท pwn.ai พบช่องโหว่ PwnEscape (CVE-2026-99999) ในโค้ดเครือข่ายของ Linux kernel ที่ทำให้โค้ดใน VM อ่านหน่วยความจำของ host ได้ เคอร์เนลให้คะแนน 9.3 ระดับ Critical แต่ผู้โจมตีต้องรันโค้ดใน guest อยู่แล้ว การรั่วหน่วยความจำพิสูจน์บน sandbox จริงของ Vercel ส่วนการทำ host ล่มและรันโค้ดเกิดในแล็บเท่านั้น ช่องโหว่พบในการแข่งขันมูลค่า 1 ล้านดอลลาร์ของ Vercel ด้วยระบบวิจัยที่ใช้ AI ช่วย ใช้เวลา 3 วัน แพตช์ backport ไปทุกสาย stable แล้ว

นักวิจัย Zenity Labs เผยที่งาน SecTor 2026 ว่าเอเจนต์บน AWS Bedrock AgentCore เข้าถึง IMDS ได้ ทำให้ prompt เดียวถึงแชตบอตสาธารณะดึง credential ชั่วคราวของ execution role ออกมาได้ role เริ่มต้นมีสิทธิ์กว้างทั้ง region จึงเรียกเอเจนต์ตัวอื่น อ่านบทสนทนา ฝังความจำ และอ่าน Secrets Manager ได้ AWS เปลี่ยนเป็น IMDSv2 เมื่อ ก.พ. และตัดสิทธิ์ role เริ่มต้นราวปลาย ก.ย. AWS แย้งว่าเป็นพฤติกรรมตามเอกสาร ไม่ใช่ช่องโหว่ ยังไม่พบการโจมตีจริงและไม่มี CVE

Microsoft เผยรายงานเชิงลึกครั้งแรกของกลุ่ม JADEPUFFER (ติดตามในชื่อ Storm-3168) ที่ใช้ service principal ที่ถูกยึด 2 ตัวโจมตี Azure นานราว 18 ชั่วโมงในเดือนมิถุนายน 2569 ตัวหนึ่งใช้ลาดตระเวน อีกตัวลงมือทำลายกว่า 150 ปฏิบัติการใน 35 นาที ลบ Storage Account กว่า 100 บัญชี พร้อม Key Vault, Function App และฐานข้อมูล SQL แต่ resource lock และ deletion protection ช่วยกันบางส่วนไว้ได้ ต้นเหตุคือ credential ที่พนักงานเผยใน GitHub issue สาธารณะ ประเมินว่าเป็นการโจมตีอัตโนมัติที่มุ่งขัดขวางการกู้คืน

Cloudflare แก้ช่องโหว่ใน Cloudflare Containers และ Sandboxes ที่เปิดให้คอนเทนเนอร์ของลูกค้ารายหนึ่งอ่านข้อมูลตกค้างบนดิสก์ที่คอนเทนเนอร์ของลูกค้ารายอื่นทิ้งไว้บนเซิร์ฟเวอร์เดียวกัน ต้นเหตุคือระบบ thin provisioning ที่ส่งบล็อกดิสก์กลับเข้าพูลโดยไม่ล้างข้อมูลก่อนแจกใหม่ นักวิจัยจาก Accomplish พบข้อมูลตกค้างใน 18 จาก 24 ครั้งที่ทดสอบ รวมถึงฐานข้อมูล SQLite ไฟล์ .env และไฟล์ข้อมูลรับรอง Cloudflare ล้างดิสก์ทั้งหมดเสร็จเมื่อ 19 กันยายน โดยลูกค้าไม่ต้องทำอะไร

เมื่อองค์กรย้ายการประมวลผลไปที่ edge การรักษาความปลอดภัยแบบตั้งไฟร์วอลล์เพียงอย่างเดียวไม่เพียงพออีกต่อไป Secure access service edge (SASE) แก้ปัญหาความกระจัดกระจายด้วยการรวม SD-WAN การป้องกันภัย การควบคุมการเข้าถึง และความปลอดภัยแอปพลิเคชันเข้าเป็นแพลตฟอร์มคลาวด์เดียว SASE รวมสี่ฟังก์ชันหลักคือ FWaaS, SWG, CASB และ ZTNA ภายใต้ policy engine เดียว ช่วยลดความซับซ้อนและเพิ่มการมองเห็นแบบ end-to-end แต่การเปลี่ยนผ่านจากโครงสร้างเดิมยังเป็นงานใหญ่ที่ใช้เวลาหลายเดือน

บริษัท Sysdig เปิดเผยว่าผู้โจมตีที่เป็นมนุษย์ฝีมือดีสามารถไต่จาก Marimo notebook ที่มีช่องโหว่ไปถึง SSH bastion ได้ภายใน 8 วินาที ด้วยชุดเครื่องมือ Python ที่เขียนและดีบักด้วยมือเองโดยไม่ใช้ AI agent เลย การโจมตีอาศัย CVE-2026-39987 (CVSS 9.3) ช่องโหว่รันโค้ดทางไกลแบบไม่ต้องยืนยันตัวตนที่กระทบ Marimo ทุกเวอร์ชัน และถูกใช้โจมตีจริงภายในไม่กี่ชั่วโมงหลังเปิดเผย ขณะเดียวกันบริษัท Hunt.io ก็เปิดเผยแคมเปญขุดคริปโตที่เจาะเซิร์ฟเวอร์ Redis ไปแล้ว 3,562 เครื่องผ่านการตั้งค่าที่ไม่มีการยืนยันตัวตน โดยผู้โจมตีรายเดียวยังถูกโยงกับ Operation CameraSwarm ที่ยึดกล้อง Dahua กว่า 14,000 ตัว