Denial-of-Service

Next.js ออกแพตช์นอกรอบเมื่อ 14 ต.ค. 2569 แก้ 2 ช่องโหว่รันโค้ดโดยไม่ต้องยืนยันตัวตนระดับ critical คะแนน 9.5 และช่องโหว่ DoS ระดับสูงอีก 1 รายการ ตัวแรกอยู่ใน React Server Components กระทบแอป Next.js 16 ที่เปิด Cache Components ตัวที่สองคือ CVE-2026-96889 ใน librsvg ที่ Next.js ใช้ผ่านแพ็กเกจ sharp เพื่อจัดการภาพ SVG บน Linux แบบ glibc แก้ไขแล้วในเวอร์ชัน 16.4.1 และ 15.5.28 แต่สาย 15 อาจยังค้าง sharp เวอร์ชันเก่าที่มีช่องโหว่ และสองช่องโหว่ยังไม่มี CVE ทำให้ npm audit ไม่เตือน

บริการออนไลน์ของเกม Gears of War: E-Day ถูกโจมตีแบบ DDoS ทำให้ผู้เล่นล็อกอินไม่ได้และหลุดการเชื่อมต่อเป็นระยะ บัญชี Gears Community ยืนยันสาเหตุผ่าน X และแจ้งภายหลังว่าแก้ปัญหาล็อกอินแล้วแต่ยังเฝ้าระวังต่อ ทีมไม่ระบุผู้โจมตี ปริมาณทราฟฟิก หรือบริการที่ได้รับผลกระทบ คำแถลงเป็นการโจมตีด้านความพร้อมใช้งาน ไม่มีหลักฐานว่าบัญชีหรือข้อมูลผู้เล่นรั่วไหล การแก้ปัญหาล็อกอินได้ยังไม่ได้แปลว่าปัญหาทุกอย่างจบแล้ว

Corelight เปิดเผย CVE-2026-70111 ช่องโหว่ใน mup.sys ไดรเวอร์เคอร์เนลที่จัดการเส้นทาง DFS ของ Windows Server 2019, 2022 และ 2025 ผู้โจมตีใช้เทคนิค coercion บังคับให้เซิร์ฟเวอร์เชื่อมต่อ SMB server ปลอม แล้วตอบ DFS referral ที่สร้างขึ้นเพื่อให้เคอร์เนลล่มเป็นจอฟ้าภายในไม่กี่วินาที ผู้โจมตีไม่ต้องมีสิทธิ์แอดมินหรือ domain controller จริง Microsoft แก้แล้วในรอบอัปเดต ต.ค. 2569 และยังไม่พบการโจมตีจริง Windows 10 ไม่ได้รับผลกระทบเพราะยังมีการตรวจที่ถูกตัดออกในเวอร์ชันเซิร์ฟเวอร์

ช่องโหว่ CVE-2026-23870 (CVSS 7.5) ใน React Server Components ทำให้ผู้โจมตีส่งคำขอ multipart POST ที่มีการอ้างอิง $K จำนวนมาก บังคับเซิร์ฟเวอร์เปรียบเทียบสตริงแบบกำลังสองจนเธรด event loop ของ Node.js ค้าง คำขอขนาดราว 900 KB สร้างการตรวจราว 100 ล้านครั้ง การแยกข้อมูลเกิดก่อนการตรวจสิทธิ์ของ Server Action จึงอาจไม่ต้องล็อกอิน กระทบ React 19.0 ถึง 19.2 ที่ใช้ใน Next.js แก้แล้วในเวอร์ชัน 19.0.6, 19.1.7 และ 19.2.6

มูลนิธิ Apache ออกประกาศแก้ช่องโหว่ 4 รายการใน Apache Struts ครอบคลุม RCE, DoS และข้อมูลรั่วข้ามผู้ใช้ CVE-2026-104711 เป็น OGNL injection ใน RESTful action mapper รุ่นเก่าที่อาจนำไปสู่การรันโค้ดระยะไกล ส่วน CVE-2026-104713 ระดับ Important ทำให้ REST plugin อ่าน request body ไม่จำกัดขนาดจนหน่วยความจำ heap หมด อีกสองรายการคือ BigDecimal ที่ทำให้คำขอเล็กได้คำตอบใหญ่ และ formatter ที่แชร์กันจนข้อมูลผู้ใช้ปนกัน แนะนำอัปเดตเป็น Struts 7.4.0 หรือ 6.12.0 ขึ้นไป

นาย Abdelhamid Naceri อดีตนักวิจัยของ Microsoft ปล่อยเครื่องมือ PoC ชื่อ BigDiskBuster บน GitHub เมื่อ 19 กันยายน ซึ่งขัดขวางไม่ให้ Microsoft Defender ติดตั้งอัปเดตแพลตฟอร์มและฐานข้อมูลไวรัส ด้วยการสร้างไฟล์ซ่อนถมพื้นที่ดิสก์จนเต็มระหว่างที่ Defender กำลังดาวน์โหลดอัปเดต เครื่องมือนี้ยังไม่มี CVE ไม่มีแพตช์ และไม่มีคำแนะนำจาก Microsoft ผลคือ Defender ยังทำงานแต่ฐานข้อมูลตรวจจับค่อย ๆ ล้าสมัย

ISC ออก BIND 9.20.29 และ 9.21.26 ปิด 14 ช่องโหว่ที่เปิดเผยเมื่อ 16 กันยายน หนึ่งในนั้นคือ CVE-2026-77692 ที่ผู้ไม่ต้องล็อกอินส่งคำขอ SIG(0) ไม่ถูกต้องผ่าน DNS-over-HTTPS แล้วปิดการเชื่อมต่อก่อน ทำให้โปรเซส named ล่มได้ ISC จัดระดับ High 7 ตัวที่ CVSS 7.5 ที่เหลือเป็น Medium และไม่มี workaround รุ่น 9.18 ที่หมดอายุแล้วได้รับผลกระทบ 12 ตัวแต่ไม่มีแพตช์ ISC ยังไม่พบการใช้โจมตีจริง แต่ชุดทดสอบที่จำลองช่องโหว่เปิดสู่สาธารณะแล้ว

บริษัท Citrix ออกแพตช์แก้ช่องโหว่ 2 รายการใน NetScaler ADC และ NetScaler Gateway เมื่อวันพุธที่ 19 สิงหาคม 2569 ตัวที่ร้ายแรงที่สุดคือ CVE-2026-19490 คะแนน CVSS 9.3 ช่องโหว่ข้ามการยืนยันตัวตนผ่านเส้นทางทางเลือก ซึ่งผู้โจมตีจากระยะไกลใช้ได้โดยไม่ต้องล็อกอินและไม่ต้องอาศัยปฏิสัมพันธ์จากผู้ใช้ กระทบเครื่องที่ตั้งค่าเป็นเกตเวย์หรือ AAA virtual server อีกรายการคือ CVE-2026-19489 ระดับสูงที่ทำให้เกิด DoS เมื่อเปิด SIP ALG โดย Rapid7 คาดว่าจะถูกโจมตีในไม่ช้า

บริษัท F5 ออกแพตช์แก้ช่องโหว่วิกฤต CVE-2026-42533 ใน NGINX ซึ่งเปิดทางให้ผู้โจมตีจากระยะไกลที่ไม่ต้องล็อกอินส่งคำขอ HTTP ที่สร้างพิเศษจนเกิด heap buffer overflow ในโปรเซส worker ผลคือเซิร์ฟเวอร์ล่มหรือรีสตาร์ต และหากปิด ASLR หรือข้ามได้ก็อาจนำไปสู่การรันโค้ดระยะไกล ช่องโหว่กระทบทุกเวอร์ชันตั้งแต่ 0.9.6 ถึง 1.31.2 ย้อนไปถึงปี 2554 แต่เกิดเฉพาะกับการตั้งค่าบางรูปแบบเท่านั้น แก้ไขแล้วใน 1.30.4 และ 1.31.3

ทีม Red Team ของบริษัท Okta เปิดเผยช่องโหว่ DoS ใน OpenSSL ที่ตั้งชื่อว่า HollowByte ซึ่งผู้โจมตีส่งเพียงส่วนหัวข้อความ TLS 11 ไบต์ก็ทำให้เซิร์ฟเวอร์จองหน่วยความจำสูงสุด 131 KB รอเนื้อหาที่ไม่มีวันมาถึง เมื่อสุ่มขนาดที่แจ้งในทุกการเชื่อมต่อบนระบบ glibc หน่วยความจำจะแตกกระจายและไม่ถูกคืนจนกว่าจะรีสตาร์ตโปรเซส OpenSSL แก้ไขเงียบๆ ในรุ่นวันที่ 9 มิถุนายน โดยไม่ออก CVE ไม่มีประกาศเตือน และไม่มีบันทึกใน changelog