Exploitation

ผู้ไม่หวังดีเริ่มโจมตีช่องโหว่ CVE-2026-9586 (CVSS 9.3) ในระบบโทรศัพท์องค์กร Sangoma Switchvox SMB Edition 8.3 ซึ่งเป็นช่องโหว่ SQL injection ที่ใช้ได้โดยไม่ต้องยืนยันตัวตนและนำไปสู่การรันโค้ดในสิทธิ์ superuser ของ PostgreSQL ผู้ผลิตออกแพตช์ในเวอร์ชัน 8.4.0.2 ตั้งแต่ 14 กรกฎาคม 2569 แต่ Horizon3.ai พบความพยายามโจมตีจริงตั้งแต่ 30 สิงหาคม และมีเครื่องเปิดสู่อินเทอร์เน็ตราว 4,000 เครื่อง ส่วนใหญ่อยู่ในสหรัฐฯ

ช่องโหว่ SQL Injection ในฟังก์ชัน jsonArrayContains ของ GeoServer ถูกเปิดเผยสู่สาธารณะโดยนักวิจัยอิสระ และถูกโจมตีจริงภายในไม่กี่ชั่วโมงทั้งที่ยังไม่มีแพตช์ บริษัท WatchTowr บันทึกความพยายามโจมตีได้หลายร้อยครั้งจากไอพีต้นทางจำนวนน้อย ช่องโหว่เกิดจากการไม่กรองค่าที่ผู้ใช้ส่งเข้ามาก่อนนำไปประกอบเป็นคำสั่งฐานข้อมูล และบางการตั้งค่านำไปสู่การรันโค้ดจากระยะไกล GeoServer เป็นแพลตฟอร์มโอเพนซอร์สที่ใช้กันแพร่หลายในหน่วยงานรัฐและโครงสร้างพื้นฐาน

มีการตรวจพบความพยายามโจมตีช่องโหว่วิกฤต CVE-2026-71362 ใน Adobe Commerce และ Magento แล้ว ช่องโหว่นี้เป็นการตรวจสอบสิทธิ์ไม่ถูกต้องที่เปิดทางให้สลับเซสชันของลูกค้ารายหนึ่งไปเป็นอีกบัญชีหนึ่ง จึงเข้าถึงบัญชีและข้อมูลส่วนตัวของเหยื่อได้ เงื่อนไขคือไม่ต้องมีบัญชี ไม่ต้องมีสิทธิ์ผู้ดูแลระบบ และไม่ต้องอาศัยการกระทำใดจากเหยื่อ Adobe ปิดช่องโหว่นี้พร้อมอีก 6 รายการในอัปเดตรอบเดือนสิงหาคม โดยระบุว่ายังไม่ทราบว่ามีการโจมตีจริง สวนทางกับ Sansec ที่ว่า WAF ของตนบล็อกความพยายามโจมตีอยู่แล้ว

SAP ออกแพตช์อุดช่องโหว่ระดับสูงสุด CVSS 10.0 ใน Commerce Cloud ส่วน Data Hub Adapter ซึ่งเกิดจากการตรวจสอบสิทธิ์และการตรวจสอบข้อมูลนำเข้าที่ไม่เพียงพอ เปิดทางให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนใช้ไคลเอนต์ยืนยันตัวตนที่เป็นค่าเริ่มต้นส่งข้อมูลที่สร้างขึ้นเป็นพิเศษจนรันโค้ดตามใจได้ รอบเดียวกันยังมีช่องโหว่ระดับวิกฤตอีกสามรายการใน Manufacturing Integration and Intelligence และ Application Server ABAP โดยบริษัท Onapsis เตือนว่าบางรายการต้องตั้งค่าเพิ่มหลังติดตั้งแพตช์จึงจะปิดช่องได้จริง