Huntress

บริษัท Huntress เปิดเผยแคมเปญ token spraying ที่ขโมยโทเคนล็อกอิน Microsoft 365 ผ่านหน้า AitM แล้วใช้ซ้ำ ยึดได้ 97 บัญชีใน 79 องค์กร ช่วง ก.ค.-ก.ย. 2569 โทเคนออกหลังผ่าน MFA แล้ว ผู้ถือจึงเข้าบัญชีได้โดยไม่ต้องรู้รหัสผ่านหรือยืนยันซ้ำ หลังเข้าได้ ผู้โจมตีลงแอปยืนยันตัวตนของตน ลงทะเบียนอุปกรณ์ Entra ปลอม 48 เครื่อง และตั้ง inbox rule ซ่อนอีเมลเรื่องเงินเดือน ของเหล่านี้ไม่หายเมื่อรีเซ็ตรหัสผ่าน ควรเพิกถอนเซสชัน ลบอุปกรณ์และ MFA แปลกปลอม และตั้ง Conditional Access ครอบคลุมผู้ใช้และแอปทั้งหมด

PHP ประกาศออกแพตช์ความปลอดภัยนอกรอบในวันที่ 21 ตุลาคม 2569 เวลา 21:00 น. ตามเวลาไทย สำหรับช่องโหว่วิกฤต 2 รายการคะแนน CVSS v4.0 9.2 ที่นักวิจัยเรียกว่า PHP2Shell การประกาศเกิดหลังมีโพสต์บน Hacker News ปล่อยข้อมูลก่อนกำหนด และ watchTowr ยืนยันว่าเป็นช่องโหว่ RCE แพตช์จะออกเฉพาะ PHP 8.2–8.5 ส่วน 8.1 ลงไปที่หมดอายุแล้วจะไม่ได้รับแพตช์ Mallory นับโฮสต์ที่แสดงเวอร์ชัน 8.1 หรือเก่ากว่าได้ราว 884,000 เครื่อง ยังไม่มีรายงานการโจมตีจริงหรือโค้ดโจมตีสาธารณะ

Siemens ยืนยันว่าช่องโหว่ CVE-2026-110936 ใน Siemens Software Center ถูกใช้โจมตีจริงแล้ว ช่องโหว่เป็น DLL sideloading ที่โปรแกรมโหลดไฟล์ DLL จากโฟลเดอร์ของตัวเองโดยไม่ตรวจสอบ ผู้โจมตีพ่วงโปรแกรมแท้ที่มีลายเซ็นถูกต้องกับ DLL อันตรายในไฟล์ MSI แล้วแจกผ่านแคมเปญ ClickFix ของ ROMULUS Siemens ยืนยันว่าระบบและช่องทางอัปเดตของบริษัทไม่ถูกเจาะ แก้แล้วในเวอร์ชัน 4.0.9.8 ซึ่งอัปเดตอัตโนมัติเมื่อเปิดโปรแกรม

ConnectWise ปิด application identity 7 ตัวและระงับบริการ Cloud Backup หลังผู้โจมตีที่ยังไม่ทราบตัวตนได้ข้อมูลรับรองของแอปและใช้เข้า Microsoft 365 tenant ของลูกค้า บริษัทพบเหตุเมื่อ 14 ต.ค. 2569 และยังไม่ทราบว่าข้อมูลรับรองหลุดอย่างไร Huntress พบเกือบ 1,000 tenant มีการล็อกอินจาก IP ของผู้โจมตี สำเร็จ 300 แห่ง และพบการใช้แอป Teams ในทางมิชอบจริง รอบที่สองเล็ง 16 tenant ในภาคนโยบาย ความมั่นคง การค้า และแร่ธาตุสำคัญแต่ไม่สำเร็จ การปิดแอปไม่ได้ย้อนการเปลี่ยนแปลงที่ผู้โจมตีทำไว้ใน tenant

Huntress พบเว็บปลอม watchguard-vpn[.]net เลียนแบบหน้าดาวน์โหลด WatchGuard Mobile VPN with SSL ที่ขึ้นในผลค้นหา Bing เว็บขอที่อยู่เซิร์ฟเวอร์ VPN ชื่อผู้ใช้ และรหัสผ่าน แล้วส่งไปเซิร์ฟเวอร์ผู้โจมตี โดยแจ้งว่ากรอกผิดรอบแรกเพื่อให้เหยื่อกรอกซ้ำ จากนั้นจึงดาวน์โหลดตัวติดตั้งของแท้จาก CDN ของ WatchGuard ให้ เหยื่อจึงได้ซอฟต์แวร์ของจริงขณะที่ผู้โจมตีได้ข้อมูลพอจะลองเข้า VPN ลายเซ็นที่ถูกต้องบนตัวติดตั้งจึงไม่ได้พิสูจน์ว่าเส้นทางดาวน์โหลดปลอดภัย

บริษัท Huntress พบผู้โจมตีใช้ช่องโหว่ 2 รายการในซอฟต์แวร์สำรองข้อมูล AhsayCBS ร่วมกัน คือ CVE-2026-105133 ข้ามการยืนยันตัวตน และ CVE-2026-105134 command injection (CVSS 9.3) เพื่อรันคำสั่งระยะไกล การโจมตีเริ่ม 7 ต.ค. และกระทบแล้ว 5 องค์กร ผู้โจมตีฝังเว็บเชลล์และตัวขุด XMRig ที่ปลอมชื่อเป็น edge.exe แม้ NVD ระบุว่าแก้แล้วในเวอร์ชัน 10.3.4 แต่ Huntress ยืนยันว่าเวอร์ชันนี้ยังโดน ช่องโหว่ทั้งคู่จึงเป็นซีโรเดย์ที่ยังไม่มีแพตช์

บริษัท N-able ออกฮอตฟิกซ์ที่สี่ในรอบห้าสัปดาห์ให้แพลตฟอร์ม RMM ชื่อ N-central เพื่อปิด CVE-2026-86218 ช่องโหว่ static code injection ที่ได้คะแนน CVSS 4.0 เต็ม 10.0 และเปิดให้รันโค้ดบนเซิร์ฟเวอร์โดยไม่ต้องยืนยันตัวตน ทุกบิลด์ต่ำกว่า 2026.3.1.14 ได้รับผลกระทบ รวมถึงเครื่องที่เพิ่งอัปเป็น Hotfix 3 ก่อนหน้าเพียงแปดชั่วโมง จุดที่ต้องจับตาคือช่องทางสื่อสารของบริษัทเองขัดกันว่าช่องโหว่นี้ถูกใช้โจมตีจริงแล้วหรือยัง และประกาศทั้งหมดไม่มี IoC ไม่มีมาตรการชั่วคราว

บริษัท Huntress เปิดเผยกิจกรรมที่มีพฤติกรรมคล้าย worm ซึ่งอาศัย ConnectWise ScreenConnect กระจายห่วงโซ่ VBScript สี่ขั้นไปยังเครื่องที่เชื่อมต่อเข้ามาใหม่ พบสามเหตุการณ์ที่ไม่เกี่ยวข้องกันในเดือนสิงหาคม 2569 ใช้ช่องทางเข้าถึงต่างกันทั้งสแกมหลอกให้เปิด Quick Assist ตัวติดตั้ง MSI จากฟิชชิง และแบบฟอร์มคืนเงิน Geek Squad ปลอม สคริปต์จะสำรวจเครื่องแล้วเลือกเพย์โหลดตามค่าสถานะสามบิต ตั้งแต่แบ็กดอร์ระดับผู้ใช้ไปจนถึงการยกสิทธิ์และโปรแกรมขุดเหรียญ

รายงานจากหลายบริษัทชี้ว่าเมื่อองค์กรยกระดับการป้องกันจนเจาะเข้ายากขึ้น กลุ่มแรนซัมแวร์จึงหันไปหาสิ่งที่ไฟร์วอลล์กันไม่ได้ คือคนที่มีสิทธิ์เข้าถึงโดยชอบอยู่แล้ว บริษัท SentinelOne ระบุว่าต้นทุนภัยคุกคามจากคนในอยู่ที่ 19.5 ล้านดอลลาร์ต่อองค์กรต่อปี ส่วนเหตุการณ์ที่เกิดจากคนในที่มีเจตนาร้ายและมีสิทธิ์สูงเสียหายเฉลี่ยราว 4.9 ล้านดอลลาร์ต่อครั้ง ด้าน Flashpoint พบว่าโพสต์บนดาร์กเว็บกว่า 75% มาจากคนในที่เสนอขายการเข้าถึงเอง

บริษัท Huntress เผยผลสอบสวน 3 ชุดในปี 2569 ที่ช่วยองค์กรยืนยันว่าพนักงานระยะไกลที่จ้างมาน่าจะเป็นคนสัญชาติเกาหลีเหนือที่สวมรอยเป็นแรงงานไอทีถูกกฎหมาย เคสแรกเป็นบริษัทสาธารณสุขในออสเตรเลียที่สงสัยพนักงาน 3 คนซึ่งใช้ Astrill VPN, IPRoyal Proxy และบริการโฮสต์กันกระสุนพร้อมกัน อีก 2 เคสในภาคการเงินพบอุปกรณ์ PiKVM ที่หายากในองค์กร รูปโปรไฟล์ที่ขโมยจาก GitHub และเอกสารระบุตัวตนที่ถูกแก้ไขรูปถ่าย