Esxi

Unit 42 ของ Palo Alto Networks ยังพบกลุ่มแรนซัมแวร์ใช้ช่องโหว่ CVE-2026-0257 (CVSS 7.8) ใน PAN-OS และ Prisma Access ที่แพตช์ไปตั้งแต่พฤษภาคม กลุ่มที่ระบุชื่อคือ Qilin และ INC ซึ่งใช้ช่องโหว่ข้าม MFA ตั้งเซสชัน VPN เข้าเครือข่ายเหยื่อ จุดที่เปลี่ยนไปคือการกระโดดตรงเข้าระบบเสมือน ทั้ง vCenter และ ESXi แล้วดึง credential จากดิสก์เสมือนของ DC แบบออฟไลน์เพื่อหลบ EDR ผู้โจมตียังเล็ง Veeam ผ่าน CVE-2023-27532

บริษัท Sygnia เปิดเผยว่ากลุ่มจารกรรมสายจีน Fire Ant ขยายแคมเปญจากไฮเปอร์ไวเซอร์ VMware ไปยึดเราเตอร์ Cisco IOS XR เซิร์ฟเวอร์ TACACS และโฮสต์บริหาร Linux ที่ใช้จัดเส้นทางและยืนยันตัวตนของเครือข่ายมูลค่าสูง ผู้โจมตีเปลี่ยนเราเตอร์ที่ยึดได้ให้เป็นจุดดักจับทราฟฟิกและเก็บข้อมูลรับรอง พร้อมปิดการบันทึกและเทเลเมทรีที่ผู้ป้องกันใช้สืบสวน กิจกรรมนี้ทับซ้อนอย่างมากกับกลุ่ม UNC3886 ที่รู้จักกันว่าเจาะแพลตฟอร์มเวอร์ชวลไลเซชันและอุปกรณ์ขอบเครือข่าย

บริษัท CloudSEK และ Gambit Security วิเคราะห์แยกกันจากโครงสร้างพื้นฐานที่เปิดทิ้งของกลุ่มแรนซัมแวร์ Aurora พบว่าผู้โจมตีใช้ Cursor ผู้ช่วยเขียนโค้ดแบบ agentic วางแผนและลงมือโจมตี โดย Gambit เห็นการใช้ Cursor Agent ที่รัน Claude Sonnet ลงมือเจาะจริงกับ 10 องค์กรระหว่างเดือนเมษายนถึงพฤษภาคม 2569 ตัวเข้ารหัสทั้งฝั่ง Windows และ Linux/ESXi สร้างจากซอร์สโค้ด Zig ชุดเดียว นอกจากนี้ยังพบชุดเครื่องมือใหม่ชื่อ Gryxa ที่สร้างด้วย AI ทั้งกระบวนการ ใช้โจมตีเข้าถึงเบื้องต้นกับ 324 โฮสต์

บริษัท CloudSEK พบเซิร์ฟเวอร์ของแอฟฟิลิเอตแรนซัมแวร์ Aurora ที่ถูกเปิดทิ้งไว้โดยผิดพลาด ทำให้เห็นกิจกรรมตั้งแต่การบุกรุกจนถึงการรับเงินค่าไถ่ระหว่างเดือนเมษายนถึงกรกฎาคม 2569 ครอบคลุมกว่า 20 องค์กรใน 9 ประเทศ ในไดเรกทอรีมีทั้งเครื่องมือ ประวัติคำสั่ง ข้อมูลรับรอง ตัวเข้ารหัส และบันทึกแชทกับ Cursor ที่ผู้โจมตีใช้ร่างและขัดเกลาลำดับการโจมตี Active Directory Certificate Services เป็นภาษารัสเซีย

บริษัท QUIRSO เผยว่าช่องโหว่ directory traversal CVE-2026-59310 ใน VMware vCenter คะแนน CVSS 9.8 ถูกนำไปโจมตีจริงหลังแพตช์ออกได้เพียงห้าวัน กระทบเหยื่ออย่างน้อย 361 ไอพีใน 47 ประเทศ นักวิจัยประเมินด้วยความมั่นใจปานกลางว่าผู้โจมตีเป็นกลุ่มที่ใช้ภาษาจีนและทำงานในโซนเวลา UTC+08:00 โดยฝังแบ็กดอร์ linuxFile สร้างบัญชีผู้ดูแลปลอม และวางเว็บเชลล์ที่ปลอมเป็นบริการของ VMware ปลายทางคือแรนซัมแวร์สาย Babuk บนโฮสต์ ESXi ที่อาจถูกใช้เป็นฉากบังตามากกว่าเป้าหมายจริง

บริษัท Broadcom ออกอัปเดตความปลอดภัยแก้ช่องโหว่หลายรายการใน VMware ESX, vCenter, Workstation และ Fusion โดย 3 รายการอยู่ในระดับวิกฤต ได้แก่ CVE-2026-59309 บายพาสการยืนยันตัวตนของ vCenter และ CVE-2026-59310 directory traversal ที่นำไปสู่การรันโค้ด ทั้งคู่คะแนน CVSS 9.8 ส่วน CVE-2026-47876 (9.3) เป็นการหนีออกจากเครื่องเสมือนผ่านการ์ดเครือข่าย VMXNET3 บริษัทระบุว่ายังไม่พบการโจมตีจริง แต่ไม่มีวิธีบรรเทาชั่วคราวและจัดเป็นการเปลี่ยนแปลงฉุกเฉิน