Dos

นักวิจัยเปิดเผยการโจมตีปฏิเสธการให้บริการสองรูปแบบที่ใช้ประโยชน์จากการที่ CDN รายใหญ่รับ HTTP/3 จากผู้ใช้แต่ส่งต่อไปยังเว็บไซต์ต้นทางด้วย HTTP/1.1 ทำให้คำขอที่ใช้แบนด์วิดท์ต่ำถูกขยายได้สูงสุด 350 เท่าเมื่อไปถึงเซิร์ฟเวอร์ต้นทาง การทดสอบครอบคลุม Alibaba, Baidu, Cloudflare, Amazon CloudFront, Fastly และ Tencent โดยทั้งหกรายเปราะบางต่อรูปแบบแบนด์วิดท์ และห้ารายเปราะบางต่อรูปแบบจำนวนการเชื่อมต่อ ยังไม่มีการออกหมายเลข CVE และยังไม่พบการโจมตีจริง

Cisco เตือนว่าช่องโหว่ CVE-2026-20349 คะแนน CVSS 8.6 ใน Secure Firewall ASA และ FTD ถูกใช้โจมตีจริงแล้ว ต้นเหตุคือการตรวจสอบข้อผิดพลาดไม่รัดกุมขณะประมวลผลคำขอ HTTP ทำให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนส่งคำขอไปยังบริการ Remote Access SSL VPN แล้วสั่งให้อุปกรณ์รีโหลดจนเกิดสภาวะปฏิเสธการให้บริการ ช่องโหว่กระทบเฉพาะอุปกรณ์ที่เปิด SSL-VPN, IKEv2 client services หรือ Zero Trust Network Access และยังไม่มีวิธีแก้ชั่วคราว CISA เพิ่มเข้า KEV พร้อมบังคับหน่วยงานกลางสหรัฐฯ แพตช์ภายในวันที่ 14 สิงหาคม 2569

Intel และ AMD ออกแพตช์ในวันเดียวกันรวมกันมากกว่า 80 ช่องโหว่ โดย Intel เผยแพร่ประกาศความปลอดภัย 42 ฉบับครอบคลุมช่องโหว่ 72 รายการ ส่วนใหญ่ระดับสูงอยู่ในซอฟต์แวร์ PROSet/Wireless WiFi หน่วยประมวลผล Xeon เทคโนโลยี TDX และเฟิร์มแวร์ CSME กับ SPS ขณะที่ AMD ออกประกาศ 5 ฉบับครอบคลุมราวหนึ่งโหล โดยห้ารายการระดับสูงอยู่ในสภาพแวดล้อมพัฒนา Vitis ที่อาจทำให้กุญแจส่วนตัวรั่วและรันโค้ดตามใจได้ นอกจากนี้ AMD ยังแจ้งเรื่องช่องโหว่ Safe RET และเทคนิคโจมตี SEV ชื่อ PowerHooK ก่อนหน้านี้ในเดือนเดียวกัน

บริษัท Cisco เตือนว่าผลิตภัณฑ์ Secure Endpoint Connector บน Windows, macOS และ Linux ได้รับผลกระทบจากช่องโหว่ของเอนจินสแกนมัลแวร์โอเพนซอร์ส ClamAV รวม 7 รายการที่นำไปสู่ภาวะปฏิเสธการให้บริการ สองรายการมีโค้ดพิสูจน์แนวคิดเผยแพร่สู่สาธารณะแล้ว ช่องโหว่ทั้งหมดอยู่ในตัวแยกวิเคราะห์ไฟล์หลายรูปแบบ แก้ไขแล้วใน ClamAV เวอร์ชัน 1.5.4 ความเสี่ยงบน Windows อยู่ระดับสูงเพราะกระบวนการสแกนทำงานด้วยสิทธิ์พิเศษ Cisco ระบุว่าไม่มีวิธีแก้ชั่วคราวและจะทยอยปล่อยอัปเดตภายในเดือนสิงหาคม

บริษัท Apache Software Foundation ปล่อย Apache HTTP Server เวอร์ชัน 2.4.68 เมื่อ 8 มิถุนายน 2569 แก้ 13 ช่องโหว่ครอบคลุมหลายโมดูล ทั้ง use-after-free 2 ตัวใน mod_ldap และ mod_http2, XSS ใน mod_proxy_ftp, heap overflow 4 ตัว และ DoS ที่หมดหน่วยความจำผ่าน HTTP/2 กระทบทุกเวอร์ชันตั้งแต่ 2.4.0 ถึง 2.4.67 ผู้ดูแลควรอัปเกรดทันทีเพราะส่วนใหญ่ไม่มี workaround

CISA เพิ่ม CVE-2026-28318 ช่องโหว่ denial-of-service ระดับสูงใน SolarWinds Serv-U เข้าแคตตาล็อก Known Exploited Vulnerabilities หลังพบหลักฐานการโจมตีจริง ช่องโหว่ CVSS 7.5 เกิดจาก POST request ที่สร้างขึ้นพิเศษพร้อม Content-Encoding: deflate ทำให้บริการล่มโดยไม่ต้องยืนยันตัวตน SolarWinds แก้แล้วในเวอร์ชัน 15.5.4 HF1 หน่วยงานรัฐสหรัฐฯ ต้องแก้ไขภายใน 19 มิถุนายน 2026 ที่ผ่านมา Serv-U เคยถูกกลุ่ม Cl0p โจมตีมาแล้ว

นาย Marcus Hutchins เปิดเผยช่องโหว่ 0-day ที่ยังไม่มีแพตช์ในไดรเวอร์ firewall ของ Comodo Internet Security ชื่อ Inspect.sys ตั้งชื่อว่า ComoDoS เปิดให้ผู้โจมตีระยะไกลทำให้ Windows เป้าหมายจอฟ้า (BSOD) ได้ด้วย IPv6 แพ็กเก็ตผิดรูปเพียงแพ็กเก็ตเดียว ข้ามกฎ firewall ทั้งหมด ต้นเหตุคือ integer underflow ในการแยก IPv6 extension header ที่ไม่ตรวจสอบ payload length ทำให้ค่า unsigned 64-bit วนกลับเป็น ~18.4 ล้านล้านล้าน Comodo ไม่ตอบกลับหลายครั้ง PoC เผยแพร่บน GitHub แล้ว

นักวิจัยจากบริษัท Calif (ค้นพบโดย Codex software agent ของ OpenAI) เปิดเผยเทคนิค DoS ใหม่ชื่อ HTTP/2 Bomb ที่ล่มเว็บเซิร์ฟเวอร์ได้จากเครื่องเดียวในไม่กี่วินาที กระทบค่าตั้งเริ่มต้น HTTP/2 ของ NGINX, Apache, Microsoft IIS, Envoy และ Cloudflare Pingora เทคนิคผสาน HPACK compression amplification กับ Slowloris-style ผ่าน flow-control ทำให้ 1 byte ขยายเป็นหลายพัน byte เครื่องบ้าน 100Mbps ดูด RAM 32GB ใน 10–20 วินาที แก้แล้วใน nginx 1.29.8 และ Apache (CVE-2026-49975)

GitLab ออกแพตช์ความปลอดภัยฉุกเฉินทั้ง Community และ Enterprise Edition แก้หลายช่องโหว่ใน Duo AI, DoS และ authorization โดยปล่อยเวอร์ชัน 19.0.1, 18.11.4 และ 18.10.7 เมื่อ 27 พฤษภาคม 2569 ช่องโหว่ร้ายแรงสุดคือ CVE-2026-4868 (CVSS 8.2) ใน Duo AI workflow runner ที่เปิดให้ผู้ใช้ที่ล็อกอินสั่ง workflow ทำงานในชื่อผู้ใช้คนอื่น นำสู่การเคลื่อนตัวด้านข้างและใช้สิทธิ์ในทางที่ผิด GitLab เร่งให้แอดมินอัปเกรดทันที