Firefox

บริษัท Socket พบเอ็กซ์เทนชัน Firefox อันตราย 3 ตัวที่สวมรอยกระเป๋าคริปโต Phantom, Jupiter และ Bitget บนร้าน Firefox Add-ons ทั้งชื่อ ไอคอน และคำโฆษณา โค้ดดักจับ recovery phrase และ private key ที่ผู้ใช้กรอกหรือวาง แล้วส่งไปยังโดเมนย่อยของ bonto.io ตัวปลอม Phantom ยังมี loader ที่ส่งโค้ดไม่อันตรายระหว่างรีวิวและส่งตัวขโมยหลังผ่าน รวมถึงปั่นรีวิวจาก 275 เป็น 546 ใน 2 วัน ทั้ง 3 ตัวถูกถอดแล้ว ผู้ที่กรอก recovery phrase ต้องสร้างกระเป๋าใหม่บนเครื่องที่สะอาดแล้วย้ายเงินทันที

บริษัท eMudhra CA จากอินเดียประกาศถอนตัวจากธุรกิจใบรับรอง SSL/TLS ทั่วโลก 5 วันหลังนักวิจัยแจ้งว่ากู้กุญแจส่วนตัวของ CA ตัวกลาง 8 ใบได้ กุญแจทั้ง 8 มีค่าต่ำกว่า 256 จึงคำนวณได้แทบทันที Chrome จะเลิกเชื่อถือราก emSign ECC Root CA - G3 ราว 27 ตุลาคม ใบรับรองราว 30,800 ใบใต้รากนี้ 99.9% ออกผ่าน InCommon ของมหาวิทยาลัยสหรัฐฯ Chrome ยังตั้งคำถาม 12 ข้อเรื่องความโปร่งใส และยังพิจารณาสถานะราก G1

Mozilla และ Chrome Root Program ยืนยันเมื่อ 20 ตุลาคม 2569 ว่ากุญแจส่วนตัวของใบรับรอง CA ตัวกลาง 8 ใบของบริษัท eMudhra จากอินเดียหลุดออกไป ผู้ถือกุญแจออกใบรับรอง TLS ที่เบราว์เซอร์ยอมรับได้ทุกเว็บไซต์ Chrome และ Firefox บล็อกได้ภายในไม่กี่ชั่วโมงหลังนักวิจัยแจ้งเมื่อ 17 ตุลาคม และยังไม่พบใบรับรองที่ออกจากกุญแจเหล่านี้ใน Certificate Transparency Go ออกแพตช์ฉุกเฉิน CVE-2026-111943 ส่วน certifi, webpki-roots และ NSS ตัดราก emSign ECC Root CA - G3 ออก ซอฟต์แวร์ที่ไม่ตรวจการเพิกถอนต้องอัปเดตเอง

บริษัท Socket พบเอ็กซ์เทนชัน Firefox อันตราย 16 ตัวที่ปลอมเป็นพอร์ทัลกระเป๋าคริปโต ยูทิลิตี และเครื่องมือเบราว์เซอร์ 4 ตัวเป็นร่างโคลนของ Rabby Wallet อีก 12 ตัวเลียนแบบ OKX Wallet โค้ดดักจับ recovery phrase และ private key ระหว่างขั้นตอนนำเข้ากระเป๋า แล้วส่งไปยัง Cloudflare Workers ของผู้โจมตี Socket ประเมินว่าเป็นแคมเปญต่อเนื่องจากระลอกเดือนสิงหาคม 2569 Mozilla ถอดเอ็กซ์เทนชันทั้งหมดแล้วเมื่อ 5 ต.ค. ผู้ที่กรอก seed phrase จริงต้องย้ายทรัพย์สินไปกระเป๋าใหม่

Microsoft Threat Intelligence พบ ClickFix รูปแบบใหม่ที่ใช้เว็บไซต์ถูกเจาะโหลดสคริปต์อันตรายเข้าแคชเบราว์เซอร์ล่วงหน้าโดยปลอมเป็นไฟล์ PNG เมื่อเหยื่อวางคำสั่งในหน้าต่าง Run คำสั่งจะค้นไฟล์แคชตามขนาดไบต์แล้วคัดลอกออกมารันเป็น VBScript วิธีนี้ทำให้คำสั่งที่เหยื่อเห็นสั้นและหลบข้อจำกัดราว 260 ตัวอักษรของหน้าต่าง Run ได้ ห่วงโซ่จบด้วย .NET assembly ที่ inject เข้า timeout.exe เพื่อขโมยข้อมูลรับรองในเบราว์เซอร์และเครื่อง Microsoft แนะนำให้ล่าพฤติกรรมจาก RunMRU และโปรเซสลูกของ WScript/PowerShell

Mozilla ประกาศเพิกถอนกุญแจ GPG ที่ใช้เซ็นไฟล์ดาวน์โหลด Firefox และ Thunderbird สำหรับ Linux หลังพบว่ากุญแจฉบับไม่เข้ารหัสถูกคอมมิตเข้าคลังโค้ดส่วนตัวของบริษัทเองโดยไม่ได้ตั้งใจ บริษัทระบุว่าไม่พบร่องรอยการเข้าถึงโดยไม่ได้รับอนุญาต แต่เลือกเพิกถอนไว้ก่อน The Hacker News ถอดรหัสใบเพิกถอนแล้วพบเหตุผลรหัส 2 ซึ่งหมายถึงกุญแจถูกเจาะ ส่งผลให้ลายเซ็นของไฟล์รุ่นเก่าที่เคยเซ็นด้วยกุญแจนี้ตรวจสอบไม่ผ่านอีกต่อไป

บริษัท Nebula Security เปิดเผยช่องโหว่ CVE-2026-10702 ในตัวคอมไพเลอร์ JIT ของ Firefox ที่เปิดทางให้รันโค้ดตามอำเภอใจในกระบวนการ renderer เพียงแค่เหยื่อเปิดหน้าเว็บอันตราย โดยไม่ต้องคลิกหรือตั้งค่าอะไรเพิ่ม Mozilla จัดระดับความรุนแรงเป็น High และแก้ไขแล้วใน Firefox 151.0.3 ส่วน Tor Browser ทุกรุ่นที่ใช้ Firefox เวอร์ชันมีช่องโหว่ก็ได้รับผลกระทบด้วย นักวิจัยยังต่อยอดเป็นห่วงโซ่ IonStack ที่ยกสิทธิ์ถึงระดับ root บน Android 17

Google และ Mozilla ออกอัปเดต Chrome 150 และ Firefox 152 อุดช่องโหว่ระดับวิกฤต โดย Firefox 152.0.6 แก้ช่องโหว่ร้ายแรง 2 รายการใน WebAssembly และ DOM Navigation ที่มีโค้ดโจมตีเผยแพร่สู่สาธารณะแล้ว ส่วน Chrome แก้ 15 ช่องโหว่ รวม Use-After-Free ระดับวิกฤต 2 รายการใน Ozone แม้ยังไม่พบการโจมตีจริง แต่ผู้ใช้ควรรีบอัปเดตเบราว์เซอร์ทันที