Command-Injection

Okta ออกประกาศเมื่อ 22 ตุลาคม 2569 แก้ช่องโหว่ CVE-2026-115547 ใน Okta Access Gateway ทุกเวอร์ชันก่อน 2026.10.2 คะแนน CVSS 9.1 ช่องโหว่เกิดจากการตรวจสอบค่าคอนฟิกที่ป้อนผ่าน Admin Console ไม่รัดกุม ทำให้ผู้มีสิทธิ์แอดมินรันคำสั่งระบบด้วยสิทธิ์บัญชีบริการของ OAG ได้ การโจมตีต้องได้สิทธิ์แอดมินก่อน และยังไม่มีรายงานการใช้โจมตีจริง Okta ไม่มีวิธีแก้ชั่วคราว จึงต้องอัปเดตเป็นเวอร์ชัน 2026.10.2 ขึ้นไป

Pillar Security เปิดเผยช่องโหว่ใน OpenCode เอเจนต์เขียนโค้ด AI ที่ให้เซิร์ฟเวอร์ MCP อันตรายรันคำสั่งบนเครื่องนักพัฒนา Windows และ WSL ได้ ช่องโหว่เกิดเมื่อ OpenCode ส่งที่อยู่ OAuth ที่เซิร์ฟเวอร์กำหนดเข้าคำสั่ง PowerShell โดยไม่ escape ระหว่างขั้นตอนล็อกอิน Pillar ให้คะแนนเสนอ 9.8 แต่ Anomaly แก้เงียบในเวอร์ชัน 1.18.33 โดยไม่ขอ CVE หรือออก advisory เวอร์ชัน 1.0.137 ถึง 1.18.32 จึงเสี่ยงโดยสแกนเนอร์ไม่แจ้งเตือน ยังไม่พบการโจมตีจริง

EG Secure Solutions ออกประกาศด่วนเรื่อง CVE-2026-106931 ช่องโหว่ OS command injection ใน SiteGuard Server Edition WAF ของญี่ปุ่นที่ถูกใช้โจมตีจริงแล้ว ช่องโหว่อยู่ในฟีเจอร์สถิติที่เปิดไว้เป็นค่าเริ่มต้น และให้รันคำสั่งด้วยสิทธิ์ root หรือ SYSTEM ต้องเข้าถึงเครื่องและมีสิทธิ์ต่ำก่อน จึงน่าจะใช้หลังผู้โจมตีเข้าระบบได้แล้ว แก้แล้วใน 8.00 Update 5 และ 7.00 Update 6 สำหรับ FreeBSD ผู้ผลิตเตือนให้ดาวน์โหลดข้อมูลวินิจฉัยก่อนอัปเดตเพราะอาจลบร่องรอยการโจมตี

Langflow แพลตฟอร์มโอเพนซอร์สสร้างแอป AI มีช่องโหว่ CVE-2026-105740 คะแนน CVSS 9.9 ในเวอร์ชันก่อน 1.9.0 ที่ถูกโจมตีจริงแล้ว ผู้ใช้ที่ล็อกอินได้ แม้ไม่ใช่แอดมิน เพิ่ม MCP server แบบ stdio ที่ใส่คำสั่งอะไรก็ได้ แล้วคำสั่งจะรันทันทีเมื่อเรียกดูรายการเซิร์ฟเวอร์ honeypot ของ Previdian บันทึกความพยายามโจมตี 1,706 ครั้งจาก 28 IP ตั้งแต่ 19 ก.ย. 2569 ผู้โจมตีล็อกอินด้วยรหัสผ่านที่เดาง่ายแล้วพยายามดึง secret key และรหัสผ่าน superuser ผู้ดูแลควรอัปเดต ปิด auto-login และไม่เปิด Langflow สู่อินเทอร์เน็ต

แฮ็กเกอร์ใช้ช่องโหว่ CVE-2026-110447 ในแอป Collabora Online Built-in CODE Server บน Nextcloud ฝัง web shell บนเซิร์ฟเวอร์ตั้งแต่ 10 ก.ย. 2569 ช่องโหว่อยู่ใน proxy.php ที่นำ path ของคำขอไปใส่ในคำสั่ง bash ทำให้รันคำสั่งได้โดยไม่ต้องยืนยันตัวตน แต่เฉพาะช่วงที่เซิร์ฟเวอร์ CODE ในเครื่องไม่ได้ทำงาน ผู้โจมตีค้นหาไฟล์รหัสผ่านและกระเป๋าคริปโตบนเซิร์ฟเวอร์ Collabora แก้ไขในเวอร์ชัน 26.4.303 ตั้งแต่ 11 ก.ย. แต่ออก CVE เมื่อ 14 ต.ค. และย้ำว่าปิดแอปไม่พอ ต้องอัปเดตหรือถอนออก

บริษัท SSD Secure Disclosure เปิดเผยการเชื่อม 3 ช่องโหว่ใน LG webOS ที่ให้ผู้โจมตีในเครือข่ายเดียวกันยึดสิทธิ์ root บนสมาร์ตทีวีได้โดยไม่ต้องใช้ PIN และเจ้าของไม่ต้องทำอะไร จุดเริ่มคือบริการจับคู่แอป ThinQ บนพอร์ต 3001 ที่หลงเชื่อ manifest ซึ่งเซ็นด้วยใบรับรองทดสอบ ก่อนพาแอป cmp-client ไปโหลดหน้าเว็บของผู้โจมตีและฉีดคำสั่งเข้า pmlogd ที่รันเป็น root ยืนยันผลกับทีวี 2 รุ่นบน webOS 7.5.7-25 LG ออกแพตช์แล้ว ยังไม่มี CVE และไม่พบการโจมตีจริง

บริษัท Binary Defense พบผู้โจมตีใช้ช่องโหว่ zero-day รหัส CVE-2026-88771 และ CVE-2026-88772 ใน Citrix NetScaler ADC และ Gateway ฝัง Platypus เครื่องมือควบคุมระยะไกลโอเพนซอร์สที่ถูกดัดแปลงและคอมไพล์สำหรับ FreeBSD โดยปลอมเป็นไฟล์ .pl ช่องโหว่ command injection ทำงานผ่านล็อก จึงอาจรันคำสั่งช้าได้ถึง 24 ชั่วโมง การติดตั้งแพตช์ไม่ลบ implant ที่ฝังไว้แล้ว อุปกรณ์ที่เปิดสู่อินเทอร์เน็ตก่อนแพตช์ควรถือว่าอาจถูกบุกรุก ยังไม่มีการระบุกลุ่มผู้โจมตี

บริษัท Anthropic ตัดการเข้าถึงอินเทอร์เน็ตจริงออกจากการประเมินโมเดลภายในทั้งหมด หลังพบพฤติกรรมที่ไม่ได้ตั้งใจ 4 กลุ่มระหว่างทดสอบและใช้งานภายใน รวมถึง Claude Mythos Preview ใช้ช่องโหว่ SQL หรือ command injection รันคำสั่งบนเซิร์ฟเวอร์มหาวิทยาลัย Claude Haiku 4.5 ส่งเบาะแสคดีฆาตกรรมปลอมผ่านเว็บไซต์ของตำรวจฟิลาเดลเฟียเมื่อ 18 ก.ค. แต่ Anthropic เพิ่งพบเมื่อ 28 ก.ย. และแจ้งตำรวจ 7 ต.ค. ตำรวจระบุว่าความล่าช้าสองเดือนรับไม่ได้ บริษัทระบุว่าผลกระทบจริงมีน้อยและคาดว่าจะพบกรณีใหม่อีก

บริษัท Huntress พบผู้โจมตีใช้ช่องโหว่ 2 รายการในซอฟต์แวร์สำรองข้อมูล AhsayCBS ร่วมกัน คือ CVE-2026-105133 ข้ามการยืนยันตัวตน และ CVE-2026-105134 command injection (CVSS 9.3) เพื่อรันคำสั่งระยะไกล การโจมตีเริ่ม 7 ต.ค. และกระทบแล้ว 5 องค์กร ผู้โจมตีฝังเว็บเชลล์และตัวขุด XMRig ที่ปลอมชื่อเป็น edge.exe แม้ NVD ระบุว่าแก้แล้วในเวอร์ชัน 10.3.4 แต่ Huntress ยืนยันว่าเวอร์ชันนี้ยังโดน ช่องโหว่ทั้งคู่จึงเป็นซีโรเดย์ที่ยังไม่มีแพตช์

บริษัท GreyNoise พบการสแกนและพยายามเจาะอุปกรณ์กล้องวงจรปิดในยูเครนพุ่งสูงระหว่าง 21 ก.ย.–1 ต.ค. 2569 เกือบทั้งหมดเล็ง CVE-2021-36260 ช่องโหว่ command injection ในอุปกรณ์ Hikvision ที่ไม่ได้แพตช์ คะแนน CVSS 9.8 กิจกรรมมาจาก 4 IP ซึ่ง 3 ตัวเป็นทางออกของ PureVPN และใช้เทมเพลต Nuclei สาธารณะทดสอบคำสั่งโดยไม่ส่ง payload ช่วงเวลาตรงกับการโจมตีทางอากาศของรัสเซีย แต่ยังไม่มีหลักฐานเชื่อมโยง และยังไม่มีการยืนยันว่ากล้องถูกยึดจริง