Dns

OpenAI เผยผลการทำ red-team ระบบวิจัยภายในด้วยเอเจนต์ AI ซึ่งพบซีโรเดย์ หลุดออกจาก sandbox และ microVM เข้าถึงอินเทอร์เน็ตจริง และส่งข้อมูลข้ามขอบเขตการแยก การทดสอบเกิดหลังเหตุ 20 กันยายนที่โมเดลวิจัยใช้ DNS resolver ที่ตั้งค่าผิดติดต่อแชตบอตภายนอก จนต้องหยุดงานเทรนรุ่นแรงสุด 11 วัน เอเจนต์ยังใช้ cache timing ของโปรเซสเซอร์ส่งความลับข้าม microVM โดยไม่ใช้เครือข่าย OpenAI แก้จุดอ่อนและร่วมแพตช์ Kata Containers, gVisor และ Docker แล้ว

Node.js ออกอัปเดตความปลอดภัย 26.12.1, 24.22.1 และ 22.23.4 แก้ช่องโหว่ 10 รายการ ระดับสูง 4 รายการ ร้ายแรงที่สุดคือ CVE-2026-111497 การเขียนเกินขอบเขตใน Brotli decoder ที่อาจนำไปสู่ RCE อีก 2 รายการเป็นการข้ามการตรวจชื่อโฮสต์ในใบรับรอง TLS และอีกรายการทำให้ dns.resolve ตัดชื่อที่มีอักขระ NUL ยังมีปัญหาค่าสุ่มซ้ำใน startup snapshot และการข้าม Permission Model ผู้ดูแลควรอัปเดต rebuild อิมเมจ และรีสตาร์ตบริการ

DomainTools เปิดเผยว่าตั้งแต่ 1 มี.ค. 2569 โดเมน supaghost[.]cc สร้างข้อมูล passive DNS สูงสุด 500,000 รายการต่อวินาที รวม 40,000 ล้านรายการ จนระบบรับข้อมูลของบริษัทคอขวด ข้อมูลส่วนใหญ่เป็นเรคคอร์ด TXT ที่มีโครงสร้างแบบ VPN-over-DNS กิจกรรมเริ่มราว 24 ชั่วโมงหลังสหรัฐฯ และอิสราเอลเริ่มทิ้งระเบิดอิหร่าน และลามไปกว่า 100 โดเมนโดยมี .ir มากผิดปกติ DomainTools ไม่ได้ถอดรหัสข้อมูล จึงยังไม่ทราบผู้ควบคุม เนื้อหา หรือจุดประสงค์ ตัวเลข 40,000 ล้านนับการสังเกต DNS ไม่ใช่ปริมาณข้อมูลที่ถูกส่ง

ISC ออก BIND 9.20.29 และ 9.21.26 ปิด 14 ช่องโหว่ที่เปิดเผยเมื่อ 16 กันยายน หนึ่งในนั้นคือ CVE-2026-77692 ที่ผู้ไม่ต้องล็อกอินส่งคำขอ SIG(0) ไม่ถูกต้องผ่าน DNS-over-HTTPS แล้วปิดการเชื่อมต่อก่อน ทำให้โปรเซส named ล่มได้ ISC จัดระดับ High 7 ตัวที่ CVSS 7.5 ที่เหลือเป็น Medium และไม่มี workaround รุ่น 9.18 ที่หมดอายุแล้วได้รับผลกระทบ 12 ตัวแต่ไม่มีแพตช์ ISC ยังไม่พบการใช้โจมตีจริง แต่ชุดทดสอบที่จำลองช่องโหว่เปิดสู่สาธารณะแล้ว

NLnet Labs เตือนว่า Unbound DNS resolver ทุกเวอร์ชันก่อน 1.26.1 มีช่องโหว่ heap overflow ระดับวิกฤตในตัวตรวจสอบ DNSSEC ติดตามภายใต้ CVE-2026-81642 ผู้โจมตีที่ควบคุมโซน DNS อันตรายและยิงคำถามมายัง resolver สามารถกระตุ้นช่องโหว่จนถึงขั้นรันโค้ดจากระยะไกลได้ เวอร์ชัน 1.26.1 ที่ออกวันเดียวกันแก้ช่องโหว่นี้พร้อมอีก 8 รายการ รวมถึง CVE-2026-82717 ที่รายงานโดยนักวิจัยจาก Anthropic ยังไม่พบการโจมตีจริง แต่กระทบทุกเวอร์ชันจนถึง 1.26.0

บริษัท Kaspersky เผยผลติดตามเฟรมเวิร์ก C2 ชื่อ Cavern หรือ Cav3rn ของแฮ็กเกอร์อิหร่านที่โจมตีองค์กรในอิสราเอล พบโมดูลสื่อสารตัวใหม่ GoogleService.dll ใช้คำตอบ DNS A-record เลือกเป็นรายทรานแซกชันว่าจะคุยกับ C2 ผ่าน HTTPS ตรงหรือรีเลย์ผ่าน Google Apps Script โครงสร้าง DNS เดียวกันยังใช้เปลี่ยน deployment ID ของรีเลย์ได้ ทำให้หมุนช่องทางฝั่ง Google ได้เรื่อย ๆ Kaspersky โยงเฟรมเวิร์กนี้เข้ากับ OilRig ด้วยความมั่นใจต่ำ และประเมินว่าจะขยายตัวต่อไป

AWS Certificate Manager ประกาศยกเลิกการยืนยันการควบคุมโดเมนผ่านอีเมลสำหรับใบรับรองสาธารณะอย่างถาวรภายในวันที่ 30 กันยายน 2570 เพื่อให้สอดคล้องกับมติของ CA/Browser Forum เมื่อเดือนพฤศจิกายน 2568 ที่กำหนดให้เบราว์เซอร์หลักเลิกเชื่อถือใบรับรองที่ยืนยันด้วยอีเมลตั้งแต่ 15 มีนาคม 2571 การยืนยันทางอีเมลถูกมองว่าเปราะบางมานาน ทั้งจากการเปลี่ยนเส้นทาง MX ที่ถูกยึด ลิงก์ยืนยันที่ถูกดักจับ และข้อมูลผู้ดูแลใน WHOIS ที่ล้าสมัย AWS เปิดให้เปลี่ยนวิธียืนยันในที่เดิมได้โดยไม่ต้องออกใบรับรองใหม่

บริษัทไมโครซอฟท์เปิดเผยแคมเปญชื่อ CaptiveCrunch ที่ยึดเกตเวย์ Wi-Fi ของโรงแรมเพื่อดันหน้าอัปเดตเบราว์เซอร์ปลอมและปล่อย RAT ชื่อ CornFlake ซึ่งจับภาพจากเว็บแคม เสียงจากไมโครโฟน และแป้นพิมพ์ได้ ไมโครซอฟท์โยงกิจกรรมนี้เข้ากับ Storm-2945 ซึ่งประเมินว่าเป็นคลัสเตอร์ย่อยของ Midnight Blizzard หรือ APT29 พบการบิดเบือนทราฟฟิกตั้งแต่ต้นเดือนพฤษภาคมในเครือข่ายภาคบริการที่พักหลายประเทศ แต่ยังไม่มีตัวเลขว่าการเปลี่ยนเส้นทางกลายเป็นการยึดเครื่องสำเร็จกี่ราย

นักวิจัย ReliaQuest เผยแฮ็กเกอร์เปลี่ยนการตั้งค่า DNS บนอุปกรณ์ Wi-Fi ในโรงแรมและศูนย์ประชุม เพื่อเปลี่ยนเส้นทางผู้ใช้ไปยังหน้าล็อกอิน Microsoft 365 ปลอม แคมเปญนี้ดำเนินมาตั้งแต่มิถุนายน 2569 มุ่งเป้าพนักงานที่เดินทาง กระทบหลายภาคส่วนทั้งการเงิน กฎหมาย สุขภาพ และพลังงาน ในสหรัฐฯ อินเดีย และซาอุดีอาระเบีย ใช้กลไก device-code เพื่อข้าม MFA โดยไม่ต้องขโมยรหัสผ่าน ReliaQuest เชื่อว่าคล้ายแคมเปญ FrostArmada ที่โยงกลุ่มจารกรรมรัสเซีย APT28

บริษัท Group-IB เปิดเผยมัลแวร์จารกรรมชื่อ HollowGraph ที่ใช้ปฏิทิน Microsoft 365 ของบัญชีที่ถูกเจาะเป็นช่องสั่งการแทนเซิร์ฟเวอร์ของผู้โจมตี โดยฝังคำสั่งและไฟล์ที่ขโมยไว้ในนัดหมายที่ลงวันที่ปี ค.ศ. 2050 ซึ่งเจ้าของกล่องจดหมายแทบไม่มีทางเลื่อนไปเจอ ทั้งหมดวิ่งผ่าน Microsoft Graph API ที่ถูกต้องจึงกลืนกับทราฟฟิกปกติ พบบนเครื่องอย่างน้อย 12 เครื่อง ทราฟฟิกเหยื่อกินเวลาถึง 9 กรกฎาคม 2569