Credential

Legal Aid Agency หน่วยงานในสังกัดกระทรวงยุติธรรมอังกฤษ เผยผลนิติวิทยาศาสตร์ล่าสุดของเหตุถูกเจาะเมื่อเมษายน 2568 ว่าข้อมูลที่ถูกขโมยย้อนไปถึงปี 2521 นอกจากข้อมูลคำขอช่วยเหลือทางกฎหมายปี 2550-2568 แล้วยังมีบันทึกเก่ากว่าปี 2550 อีกราว 250,000 รายการ ข้อมูลที่หลุดรวมชื่อ ที่อยู่ วันเกิด เลข National Insurance และข้อมูลผู้ต้องโทษที่อยู่ในความดูแลของงานคุมประพฤติ ทนายความยังถูกขโมยข้อมูลสัญญา การจ่ายเงิน และข้อมูลล็อกอิน หน่วยงานระบุว่ายังไม่พบการเผยแพร่หรือขายข้อมูล

ทีมผู้ดูแล MCP Python SDK ออกประกาศเตือนช่องโหว่ที่ยอมให้เซิร์ฟเวอร์ MCP อันตรายหลอกแอปพลิเคชันฝั่งไคลเอนต์ส่ง client secret, authorization code และ PKCE ไปยัง token endpoint ของผู้โจมตี ผู้โจมตีจึงนำไปขอ access token ที่ใช้งานได้จริงจากบริการล็อกอินตัวจริง ช่องโหว่ได้คะแนนสูงสุด 7.5 และยังไม่มี CVE ณ วันที่ 29 กันยายน บริษัท Cycode เป็นผู้รายงานและสาธิตการขโมยได้สำเร็จ แก้ไขแล้วในเวอร์ชัน 1.30.0 และ 2.2.0

นักวิจัยจาก Aikido Security เผยว่าอีเมลส่วนตัวที่ GitLab ให้ไว้สำหรับเปิด issue ทางอีเมลนั้นแท้จริงคือ credential. ใครก็ตามที่ได้อีเมลนี้ไปสามารถส่งแพตช์ให้ GitLab commit ในชื่อเจ้าของ ไปยัง branch ใดก็ได้รวมถึง main และสั่งรันงาน CI/CD ในชื่อเจ้าของได้. โทเคนในอีเมลไม่หมดอายุ ใช้ได้กับทุกโปรเจกต์ที่บัญชีเข้าถึงได้ และข้ามทั้ง IP allowlist และ 2FA. วิธีแก้คือรีเซ็ตโทเคน incoming email ในหน้าโปรไฟล์.

นักวิจัยจาก Doctor Web เปิดเผยแบ็กดอร์ตัวใหม่ชื่อ Siggen (BackDoor.Siggen2.5906) ที่เจาะจงเป้าหมายไปที่นักพัฒนาซอฟต์แวร์ โดยแก้ไขโปรเจกต์ C++ และ C# เพื่อแพร่โค้ดอันตรายผ่านซอร์สโค้ดและแอปที่คอมไพล์แล้ว มัลแวร์ขโมยรหัสผ่าน คุกกี้เบราว์เซอร์ โทเคน Discord/Telegram และข้อมูลกระเป๋าคริปโต พร้อมติดตั้งโปรแกรมขุดเหรียญและเปิดรีโมตให้แฮ็กเกอร์ ซ่อนที่อยู่ C2 ไว้ในโปรไฟล์ Steam และไฟล์ GitHub สาธารณะ

นักวิจัยจาก Internet Storm Center พบการสแกนทั่วอินเทอร์เน็ตที่มุ่งค้นหาเซิร์ฟเวอร์ Model Context Protocol (MCP) ไฟล์ตั้งค่าผู้ช่วย AI และบริการโมเดลภาษาที่เปิดสู่สาธารณะ พบคำขอราว 200 รายการจาก 49 IP ที่ส่ง MCP handshake ที่ถูกต้องเพื่อตรวจว่าเป้าหมายเป็น MCP server จริงหรือไม่ พร้อมค้นหาไฟล์ข้อมูลรับรอง Claude/Cursor และทดลอง SSRF ขโมยโทเคน metadata ของคลาวด์ สะท้อนปัญหาความปลอดภัยที่โตขึ้นรอบการติดตั้งระบบ AI

มีรายละเอียดออกมาเกี่ยวกับ 3 ช่องโหว่ร้ายแรงในผู้ช่วย AI ส่วนตัว OpenClaw ที่หากถูกใช้ประโยชน์จะเปิดทางขโมย credential ยกระดับสิทธิ์ และรันโค้ดบนเครื่องโฮสต์ได้ นาย Chinmohan Nayak สาธิตว่าช่องโหว่เหล่านี้ต่อกันเป็นห่วงโซ่ให้รันโค้ดบนโฮสต์จากข้อความ WhatsApp ภายนอกได้โดยไม่ต้องมีจุดยืนก่อน หนึ่งในช่องโหว่คือ path traversal ที่ยอมให้ mount โฟลเดอร์แม่ /home หรือ /var ทะลุ denylist จนอ่าน SSH key, AWS credential และ Docker socket ได้ แก้ไขแล้วในเวอร์ชัน 2026.6.6

นักวิจัยด้านความปลอดภัยค้นพบเซิร์ฟเวอร์ที่เก็บ credential ของอุปกรณ์ Fortinet VPN กว่า 73,000 URL จาก 194 ประเทศ รวมถึงชื่อผู้ใช้ อีเมล และรหัสผ่านแบบ plaintext ของบริษัทชั้นนำอย่าง Samsung, Foxconn และ Comcast โดยไทยติดอันดับ 10 ประเทศที่ได้รับผลกระทบมากที่สุด