Cve-2026-15409

SOCRadar พบเซิร์ฟเวอร์ 7 เครื่องของพันธมิตรแรนซัมแวร์ INC และ The Gentlemen ที่เปิดเข้าถึงได้สาธารณะ ภายในมีบทสนทนากับ AI 8,257 ข้อความใน 133 เซสชัน ซอร์สโค้ด ข้อมูลรับรองที่ขโมยมา และตัวเข้ารหัส INC ที่ปรับแต่งเฉพาะเหยื่อ 46 ตัว ผู้โจมตีใช้ OpenCode กับโมเดลผ่าน OpenRouter วางแผนสอดแนม สร้างคำสั่ง และร่างข้อความขู่กรรโชก โดยมนุษย์ยังอนุมัติทุกขั้น บันทึกระบุการเจาะ FortiClient EMS, SimpleHelp และ cPanel พบองค์กรเกี่ยวข้อง 62 แห่ง

Hunt.io เผยแพร่การวิเคราะห์ที่เชื่อมโยงเหตุโจมตีสภาเทศบาล King’s Lynn เมื่อ 17 กรกฎาคม 2569 เข้ากับแคมเปญกวาดเจาะอุปกรณ์ SonicWall SMA1000 ผ่าน CVE-2026-15409 ที่ได้คะแนน CVSS เต็ม 10 นักวิจัยเก็บไดเรกทอรีเปิดของผู้โจมตีได้ทั้งชุดเครื่องมือและผลลัพธ์ของแคมเปญที่ครอบคลุมอุปกรณ์เป้าหมาย 250 เครื่อง จุดสำคัญคือผู้โจมตีติดตั้ง Impacket secretsdump ลงบนตัวอุปกรณ์ SonicWall โดยตรงแล้วใช้ดูดข้อมูลยืนยันตัวตนจากระบบวินโดวส์ภายใน ซึ่งไม่ปรากฏใน EDR หรือ SIEM ของเครื่องวินโดวส์

บริษัท Resecurity รายงานว่ากลุ่มแรนซัมแวร์ INC เป็นผู้ใช้ช่องโหว่คู่ CVE-2026-15409 และ CVE-2026-15410 ในอุปกรณ์ SonicWall SMA1000 มากที่สุดในเวลานี้ ช่องโหว่ทั้งคู่ถูกแพตช์เมื่อ 14 ก.ค. และเข้าบัญชี KEV วันเดียวกัน แต่ถูกใช้โจมตีแบบ zero-day มาตั้งแต่ 22 มิ.ย. ต้นเดือนสิงหาคมกลุ่มนี้เร่งเผยแพร่เหยื่อรายใหม่บนเว็บไซต์ปล่อยข้อมูลทั้งเอกชนและหน่วยงานรัฐหลายประเทศ ที่แปลกคือเหยื่อหลายรายถูกอีเมลและโทรศัพท์จากคนแปลกหน้าที่อ้างว่าจะช่วยจัดการปัญหาแรนซัมแวร์

บริษัท Volexity เปิดเผยว่ากลุ่มภัยลึกลับ UTA0533 ใช้ zero-day คู่ในอุปกรณ์ SonicWall SMA 1000 คือ CVE-2026-15409 (CVSS 10.0) และ CVE-2026-15410 (CVSS 7.2) เจาะถึงสิทธิ์ root ตั้งแต่ 22 มิ.ย. 2569 ก่อนแพตช์ออก ผู้โจมตีวางมัลแวร์เฉพาะทาง ROOTRUN, KNUCKLEBALL และเว็บเชลล์ ORANGETAIL พร้อมดักรหัสผ่านจากทราฟฟิก LDAP ล่าสุด Rapid7 ระบุว่าแรนซัมแวร์ INC กลายเป็นผู้ใช้ช่องโหว่ชุดนี้รายใหญ่ที่สุด เป็นการต่อยอดเชิงลึกจากประกาศเตือนของ SonicWall ก่อนหน้า