Edge-Device

Zscaler ThreatLabz พบแคมเปญใช้ช่องโหว่ CVE-2026-88771 ใน Citrix NetScaler ADC และ Gateway คะแนน CVSS 9.8 รันคำสั่งจากระยะไกลโดยไม่ต้องยืนยันตัวตน ผู้โจมตีวางเนื้อหาเข้ารหัสลงล็อกเว็บก่อน แล้วส่งคำขอยืนยันตัวตนปลอมให้สคริปต์ Perl ประมวลผลจนรันคำสั่ง จากนั้นพยายามฝัง web shell และดาวน์โหลด implant FreeBSD เซิร์ฟเวอร์ดาวน์โหลดเคยปรากฏในการโจมตี Magento ด้วย StyleSmuggler แต่ยังไม่ยืนยันว่าเป็นกลุ่มเดียวกัน แพตช์อย่างเดียวไม่ลบ implant ที่ฝังไปแล้ว

Unit 42 พบกลุ่ม CL-STA-0954 (UNC5820) ใช้ช่องโหว่ FortiOS CVE-2025-61624 ติดตั้ง PEERSTITCH มัลแวร์ ARM64 ที่อยู่ในหน่วยความจำ ไม่เขียนไฟล์ ไม่เปิดพอร์ต และไม่เชื่อมต่อออกเอง แต่ฮุกโพรเซส miglogd และ iked ให้ VPN session ที่ติดแท็กข้ามการตรวจสอบของ FortiOS การบุกรุกเริ่มจาก FortiJump (CVE-2024-47575) บน FortiManager ของผู้ให้บริการ MSP ด้านโทรคมนาคมเมื่อกันยายน 2567 และขโมยคอนฟิกไฟร์วอลล์ FortiGate กว่า 500 เครื่อง

บริษัท Binary Defense พบผู้โจมตีใช้ช่องโหว่ zero-day รหัส CVE-2026-88771 และ CVE-2026-88772 ใน Citrix NetScaler ADC และ Gateway ฝัง Platypus เครื่องมือควบคุมระยะไกลโอเพนซอร์สที่ถูกดัดแปลงและคอมไพล์สำหรับ FreeBSD โดยปลอมเป็นไฟล์ .pl ช่องโหว่ command injection ทำงานผ่านล็อก จึงอาจรันคำสั่งช้าได้ถึง 24 ชั่วโมง การติดตั้งแพตช์ไม่ลบ implant ที่ฝังไว้แล้ว อุปกรณ์ที่เปิดสู่อินเทอร์เน็ตก่อนแพตช์ควรถือว่าอาจถูกบุกรุก ยังไม่มีการระบุกลุ่มผู้โจมตี

Hunt.io เผยแพร่การวิเคราะห์ที่เชื่อมโยงเหตุโจมตีสภาเทศบาล King’s Lynn เมื่อ 17 กรกฎาคม 2569 เข้ากับแคมเปญกวาดเจาะอุปกรณ์ SonicWall SMA1000 ผ่าน CVE-2026-15409 ที่ได้คะแนน CVSS เต็ม 10 นักวิจัยเก็บไดเรกทอรีเปิดของผู้โจมตีได้ทั้งชุดเครื่องมือและผลลัพธ์ของแคมเปญที่ครอบคลุมอุปกรณ์เป้าหมาย 250 เครื่อง จุดสำคัญคือผู้โจมตีติดตั้ง Impacket secretsdump ลงบนตัวอุปกรณ์ SonicWall โดยตรงแล้วใช้ดูดข้อมูลยืนยันตัวตนจากระบบวินโดวส์ภายใน ซึ่งไม่ปรากฏใน EDR หรือ SIEM ของเครื่องวินโดวส์