Denial-of-Service

บริษัท Citrix ออกแพตช์แก้ช่องโหว่ 2 รายการใน NetScaler ADC และ NetScaler Gateway เมื่อวันพุธที่ 19 สิงหาคม 2569 ตัวที่ร้ายแรงที่สุดคือ CVE-2026-19490 คะแนน CVSS 9.3 ช่องโหว่ข้ามการยืนยันตัวตนผ่านเส้นทางทางเลือก ซึ่งผู้โจมตีจากระยะไกลใช้ได้โดยไม่ต้องล็อกอินและไม่ต้องอาศัยปฏิสัมพันธ์จากผู้ใช้ กระทบเครื่องที่ตั้งค่าเป็นเกตเวย์หรือ AAA virtual server อีกรายการคือ CVE-2026-19489 ระดับสูงที่ทำให้เกิด DoS เมื่อเปิด SIP ALG โดย Rapid7 คาดว่าจะถูกโจมตีในไม่ช้า

บริษัท F5 ออกแพตช์แก้ช่องโหว่วิกฤต CVE-2026-42533 ใน NGINX ซึ่งเปิดทางให้ผู้โจมตีจากระยะไกลที่ไม่ต้องล็อกอินส่งคำขอ HTTP ที่สร้างพิเศษจนเกิด heap buffer overflow ในโปรเซส worker ผลคือเซิร์ฟเวอร์ล่มหรือรีสตาร์ต และหากปิด ASLR หรือข้ามได้ก็อาจนำไปสู่การรันโค้ดระยะไกล ช่องโหว่กระทบทุกเวอร์ชันตั้งแต่ 0.9.6 ถึง 1.31.2 ย้อนไปถึงปี 2554 แต่เกิดเฉพาะกับการตั้งค่าบางรูปแบบเท่านั้น แก้ไขแล้วใน 1.30.4 และ 1.31.3

ทีม Red Team ของบริษัท Okta เปิดเผยช่องโหว่ DoS ใน OpenSSL ที่ตั้งชื่อว่า HollowByte ซึ่งผู้โจมตีส่งเพียงส่วนหัวข้อความ TLS 11 ไบต์ก็ทำให้เซิร์ฟเวอร์จองหน่วยความจำสูงสุด 131 KB รอเนื้อหาที่ไม่มีวันมาถึง เมื่อสุ่มขนาดที่แจ้งในทุกการเชื่อมต่อบนระบบ glibc หน่วยความจำจะแตกกระจายและไม่ถูกคืนจนกว่าจะรีสตาร์ตโปรเซส OpenSSL แก้ไขเงียบๆ ในรุ่นวันที่ 9 มิถุนายน โดยไม่ออก CVE ไม่มีประกาศเตือน และไม่มีบันทึกใน changelog

มีการเปิดเผยช่องโหว่ zero-day ใน AnyDesk รหัส CVE-2026-15682 ที่เปิดทางให้ผู้โจมตีในเครื่อง (local) ทำให้โปรแกรมหรือระบบเข้าสู่สภาวะปฏิเสธการให้บริการ (DoS) ได้ ช่องโหว่อยู่ในฟีเจอร์ Send Support Information โดยผู้โจมตีสร้าง junction (reparse point) หลอกให้บริการ AnyDesk เขียนไฟล์ออกนอกตำแหน่งที่ควรจะเป็น การโจมตีต้องอาศัยการรันโค้ดสิทธิ์ต่ำในเครื่องก่อน จึงลดความเสี่ยงลง แต่ยังอันตรายในสภาพแวดล้อมที่ใช้ร่วมกันหรือถูกเจาะบางส่วนแล้ว ยังไม่มีแพตช์

นักวิจัยจากบริษัท FoxIO เปิดเผยช่องโหว่ชื่อ XRING ในไลบรารี XQUIC ของ Alibaba ซึ่งเป็นไลบรารี QUIC และ HTTP/3 แบบโอเพนซอร์ส ผู้โจมตีระยะไกลส่งทราฟฟิก QPACK ปกติเพียงราว 260 ไบต์ก็ทำให้เซิร์ฟเวอร์ล่มได้ โดยไม่ต้องล็อกอินและไม่ต้องใช้แพ็กเก็ตผิดรูป ต้นตอคือการคำนวณขนาดบัฟเฟอร์ผิดจนเกิด integer underflow กระทบทุกเวอร์ชันถึง v1.9.4 รวมถึงเว็บเซิร์ฟเวอร์ Tengine ที่รองรับ Taobao และ Alipay ปัจจุบันยังไม่มีแพตช์และยังไม่มี CVE

Citrix ออกแพตช์แก้ช่องโหว่ 6 รายการใน NetScaler ADC และ NetScaler Gateway ที่เปิดให้ผู้โจมตีอ่านไฟล์ในเครื่องได้โดยไม่ต้องยืนยันตัวตน หรือทำระบบล่มด้วย DoS คะแนน CVSS สูงสุดถึง 8.8 บริษัท watchTowr พบว่าปัญหาเกิดจากการจัดการหน่วยความจำที่เปราะบางในการ parse SAML ผู้ดูแลระบบควรอัปเดตทันที