Data-Exposure

บริษัทความปลอดภัย Glow เปิดเผยว่า AI coding agent ที่ถูกสั่งให้แชร์ภาพหน้าจอการแก้โค้ดเพื่อรีวิว ได้นำรูปภายในองค์กรไปวางในที่เก็บโค้ด GitHub สาธารณะ พบรูปกว่า 13,000 ภาพจากนักพัฒนาในองค์กรกว่า 300 แห่ง รวมถึงข้อมูลการเรียกเก็บเงินลูกค้าและฟีเจอร์ที่ยังไม่เปิดตัว ส่วนใหญ่อยู่ใต้บัญชีส่วนตัวที่ทีมความปลอดภัยมองไม่เห็น สาเหตุมาจากข้อจำกัดเดิมของเครื่องมือ gh ที่แนบรูปใน PR ไม่ได้ ทำให้เอเจนต์สร้างที่เก็บสาธารณะขึ้นเองเพื่อโฮสต์รูป

หน่วยงาน District of Columbia Department of Health Care Finance (DHCF) แจ้งเตือนผู้รับสิทธิ์เกือบ 400,000 รายว่าข้อมูลส่วนบุคคลอาจถูกเปิดเผย เหตุไม่ได้เกิดจากการแฮ็ก แต่มาจากรายงาน 2 ฉบับบนเว็บที่มีข้อมูลส่วนบุคคลซ่อนอยู่เบื้องหลังและผู้ไม่ได้รับอนุญาตเข้าถึงได้ระหว่างปี 2023 ถึงกรกฎาคม 2026 ข้อมูลที่หลุดได้แก่ Medicaid ID, ชื่อผู้ให้บริการ, วันเกิด, เชื้อชาติ, เพศ และเขต แต่ไม่รวมหมายเลขประกันสังคมหรือข้อมูลการเงิน DHCF แจ้ง HHS ว่ากระทบ 399,086 ราย และลบรายงานออกจากเว็บทันทีหลังพบเหตุ

แอป Click to Pray แอปสวดมนต์อย่างเป็นทางการของวาติกัน ทำข้อมูลส่วนบุคคลของผู้ใช้กว่า 700,000 รายรั่วไหล ผ่านช่องโหว่ API ที่ไม่ต้องยืนยันตัวตน (unauthenticated) เว็บไซต์ DarkReading พบปัญหานี้หลังนักวิจัย นาย BobDaHacker รายงานช่องโหว่ IDOR ตั้งแต่เดือนมกราคม จุดอ่อนคือ API ใช้เลข ID ผู้ใช้แบบเรียงลำดับ ทำให้ใครก็ตามเดาเลขแล้วดึงชื่อ อีเมล ประเทศ และบทบาทของบัญชีออกมาได้จำนวนมาก แม้ไม่ใช่เหตุมัลแวร์ แต่เปิดช่องให้ทำฟิชชิงและปลอมตัวเป็นวาติกันได้ง่าย

ServiceNow เปิดเผยเหตุการณ์ด้านความปลอดภัยที่ผู้โจมตีไม่ทราบฝ่ายใช้ช่องโหว่เข้าถึงข้อมูลใน instance ลูกค้าเกินสิทธิ์ที่ควรได้ บริษัทออกแพตช์เมื่อ 5 มิ.ย. 2569 ปรับ endpoint จำกัดการเข้าถึงเฉพาะผู้ผ่านการยืนยันตัวตน ช่องโหว่นี้ยังไม่มี CVE และพบ query สำเร็จต่อ instance ของลูกค้าบางส่วน กระทบลูกค้าบน Australia release หรือที่ปรับ config บางอย่าง มีรายงานว่า ServiceNow รับรู้ปัญหานี้ภายในมาตั้งแต่ 7 เม.ย. แต่จัดเป็นเรื่องไม่เร่งด่วน