Emudhra

WordPress ออกเวอร์ชัน 7.1.4 เมื่อ 28 ตุลาคม แก้ช่องโหว่ 22 ตัวใน 17 ประกาศ ตัวร้ายแรงที่สุดเป็น race condition ในขั้นตอนอัปเดตที่เปิดให้ผู้โจมตีไม่ต้องล็อกอินรันตัวติดตั้ง WordPress ที่แตกค้างใน wp-content/upgrade/ ด้วยฐานข้อมูลของตัวเองจนรันโค้ดได้ ส่วนที่เหลือเป็น stored XSS ใน Interactivity API และ block markup และสิทธิ์เข้าถึงผิดพลาด Patchstack ประเมินว่า RCE ใช้จริงยากเพราะมีช่วงเวลาเพียงไม่กี่วินาที ผู้ดูแลควรอัปเดตทันที บล็อก wp-content/upgrade/ และทบทวนบัญชีระดับ Contributor ขึ้นไป

บริษัท Microsoft ออกอัปเดต Windows นอกรอบเมื่อ 26 ตุลาคม 2569 ถอดใบรับรองที่เกี่ยวกับ eMudhra 7 ใบออกจากรายการที่ Windows เชื่อถือ และใช้กับ Edge ตามมาเมื่อ 27 ตุลาคม มาตรการนี้ต่อจากการบล็อก CA ตัวกลาง 8 ใบที่กุญแจส่วนตัวถูกกู้ได้เพราะสร้างกุญแจแบบอ่อน ใน 8 ใบมี 6 ใบสำหรับ TLS ที่ปลอมเว็บไซต์ได้ และ 2 ใบสำหรับ code signing ที่ทำให้มัลแวร์ดูน่าเชื่อถือ Microsoft ยังไม่พบหลักฐานว่ามีการใช้กุญแจโจมตีลูกค้า ผู้ดูแลควรให้อัปเดต trust list ถึงทุกเครื่อง และย้ายใบรับรองที่ต่อสายกับ 7 ใบนี้

Oracle ออก Security Alert ฉุกเฉินเมื่อ 21 ตุลาคม 2569 แก้ CVE-2026-91403 คะแนน CVSS 9.1 ใน JSSE ของ Java SE และ GraalVM ต้นเหตุคือใบรับรอง CA ตัวกลางของ eMudhra ที่ใช้กุญแจส่วนตัวอ่อน ผู้โจมตีที่อยู่กลางทางจึงปลอมใบรับรองให้โดเมนใดก็ได้และทำให้ Java เชื่อถือ อัปเดตนี้สั่งให้ Java เลิกเชื่อถือใบรับรองตัวกลางชุดนั้น ยังไม่มีรายงานการโจมตีจริง แต่โจมตีได้ง่ายโดยไม่ต้องยืนยันตัวตน

บริษัท eMudhra CA จากอินเดียประกาศถอนตัวจากธุรกิจใบรับรอง SSL/TLS ทั่วโลก 5 วันหลังนักวิจัยแจ้งว่ากู้กุญแจส่วนตัวของ CA ตัวกลาง 8 ใบได้ กุญแจทั้ง 8 มีค่าต่ำกว่า 256 จึงคำนวณได้แทบทันที Chrome จะเลิกเชื่อถือราก emSign ECC Root CA - G3 ราว 27 ตุลาคม ใบรับรองราว 30,800 ใบใต้รากนี้ 99.9% ออกผ่าน InCommon ของมหาวิทยาลัยสหรัฐฯ Chrome ยังตั้งคำถาม 12 ข้อเรื่องความโปร่งใส และยังพิจารณาสถานะราก G1

Node.js ออกอัปเดตความปลอดภัย 26.12.1, 24.22.1 และ 22.23.4 แก้ช่องโหว่ 10 รายการ ระดับสูง 4 รายการ ร้ายแรงที่สุดคือ CVE-2026-111497 การเขียนเกินขอบเขตใน Brotli decoder ที่อาจนำไปสู่ RCE อีก 2 รายการเป็นการข้ามการตรวจชื่อโฮสต์ในใบรับรอง TLS และอีกรายการทำให้ dns.resolve ตัดชื่อที่มีอักขระ NUL ยังมีปัญหาค่าสุ่มซ้ำใน startup snapshot และการข้าม Permission Model ผู้ดูแลควรอัปเดต rebuild อิมเมจ และรีสตาร์ตบริการ

Oracle ออก Critical Patch Update ประจำเดือนตุลาคม 2569 เมื่อ 20 ตุลาคม รวม 1,295 แพตช์ใหม่ ในจำนวนนี้ 690 รายการโจมตีจากระยะไกลได้โดยไม่ต้องยืนยันตัวตน ช่องโหว่เด่นคือ CVE-2026-75803 ในส่วน OpenSSL ของ Database Server และ CVE-2026-101521 ใน APEX ซึ่งได้ CVSS 9.8 ทั้งคู่ Essbase มี 4 ช่องโหว่คะแนน 9.9 และอีก 1 รายการคะแนน 9.8 Fusion Middleware ได้แพตช์มากที่สุด 206 รายการ Oracle เตือนว่ายังมีการโจมตีช่องโหว่ที่มีแพตช์แล้วแต่ลูกค้าไม่ได้ติดตั้ง

Mozilla และ Chrome Root Program ยืนยันเมื่อ 20 ตุลาคม 2569 ว่ากุญแจส่วนตัวของใบรับรอง CA ตัวกลาง 8 ใบของบริษัท eMudhra จากอินเดียหลุดออกไป ผู้ถือกุญแจออกใบรับรอง TLS ที่เบราว์เซอร์ยอมรับได้ทุกเว็บไซต์ Chrome และ Firefox บล็อกได้ภายในไม่กี่ชั่วโมงหลังนักวิจัยแจ้งเมื่อ 17 ตุลาคม และยังไม่พบใบรับรองที่ออกจากกุญแจเหล่านี้ใน Certificate Transparency Go ออกแพตช์ฉุกเฉิน CVE-2026-111943 ส่วน certifi, webpki-roots และ NSS ตัดราก emSign ECC Root CA - G3 ออก ซอฟต์แวร์ที่ไม่ตรวจการเพิกถอนต้องอัปเดตเอง