Java

Oracle ออก Security Alert ฉุกเฉินเมื่อ 21 ตุลาคม 2569 แก้ CVE-2026-91403 คะแนน CVSS 9.1 ใน JSSE ของ Java SE และ GraalVM ต้นเหตุคือใบรับรอง CA ตัวกลางของ eMudhra ที่ใช้กุญแจส่วนตัวอ่อน ผู้โจมตีที่อยู่กลางทางจึงปลอมใบรับรองให้โดเมนใดก็ได้และทำให้ Java เชื่อถือ อัปเดตนี้สั่งให้ Java เลิกเชื่อถือใบรับรองตัวกลางชุดนั้น ยังไม่มีรายงานการโจมตีจริง แต่โจมตีได้ง่ายโดยไม่ต้องยืนยันตัวตน

Apache Tomcat ประกาศแก้ 8 ช่องโหว่เมื่อ 20 ตุลาคม 2569 ในเวอร์ชัน 11.0.27, 10.1.61 และ 9.0.123 ร้ายแรงสุดคือ CVE-2026-101296 ที่ให้ยืนยันตัวตนผ่าน JNDIRealm ได้โดยไม่ต้องรู้รหัสผ่านเมื่อตั้งค่า SASL แบบที่ไม่ใช่ GSSAPI CVE-2026-101356 และ CVE-2026-103119 ทำให้คำขอหรือคำตอบของผู้ใช้คนหนึ่งไปปนกับอีกคนผ่าน HTTP/2 และ AJP อีก 5 ช่องโหว่ระดับ Low มีทั้งปัญหา TLS 1.3, Jasper, FIPS และ APR connector ยังไม่มีรายงานการโจมตีจริง แต่ควรอัปเดตเร็ว

Oracle ออก Critical Patch Update ประจำเดือนตุลาคม 2569 เมื่อ 20 ตุลาคม รวม 1,295 แพตช์ใหม่ ในจำนวนนี้ 690 รายการโจมตีจากระยะไกลได้โดยไม่ต้องยืนยันตัวตน ช่องโหว่เด่นคือ CVE-2026-75803 ในส่วน OpenSSL ของ Database Server และ CVE-2026-101521 ใน APEX ซึ่งได้ CVSS 9.8 ทั้งคู่ Essbase มี 4 ช่องโหว่คะแนน 9.9 และอีก 1 รายการคะแนน 9.8 Fusion Middleware ได้แพตช์มากที่สุด 206 รายการ Oracle เตือนว่ายังมีการโจมตีช่องโหว่ที่มีแพตช์แล้วแต่ลูกค้าไม่ได้ติดตั้ง

มูลนิธิ Apache ออกประกาศแก้ช่องโหว่ 4 รายการใน Apache Struts ครอบคลุม RCE, DoS และข้อมูลรั่วข้ามผู้ใช้ CVE-2026-104711 เป็น OGNL injection ใน RESTful action mapper รุ่นเก่าที่อาจนำไปสู่การรันโค้ดระยะไกล ส่วน CVE-2026-104713 ระดับ Important ทำให้ REST plugin อ่าน request body ไม่จำกัดขนาดจนหน่วยความจำ heap หมด อีกสองรายการคือ BigDecimal ที่ทำให้คำขอเล็กได้คำตอบใหญ่ และ formatter ที่แชร์กันจนข้อมูลผู้ใช้ปนกัน แนะนำอัปเดตเป็น Struts 7.4.0 หรือ 6.12.0 ขึ้นไป

นักวิจัยแสดงว่าไฟล์สเปรดชีตอันตรายทำให้ LibreOffice และ Apache OpenOffice รันโค้ดของผู้โจมตีทันทีที่เปิดไฟล์ โดยไม่มีคำเตือนแบบที่แสดงก่อนรันแมโคร การโจมตีร้อยฟีเจอร์ database range ไฟล์ฐานข้อมูล ODB และไดรเวอร์ JDBC ที่ดาวน์โหลดจากระยะไกล และทำงานได้เมื่อเปิดใช้ Java เท่านั้น LibreOffice แก้ CVE-2026-63277 แล้วในเวอร์ชัน 26.2.5 และ 26.8.0 ขณะที่ Apache OpenOffice ยังไม่มีแพตช์ CVE-2026-59265 ซึ่งกระทบถึงเวอร์ชัน 4.1.16 ยังไม่มีรายงานการโจมตีจริง แต่มี PoC เผยแพร่แล้ว

บริษัทความปลอดภัย ThreatBook และ Imperva เตือนว่าผู้โจมตีกำลังเล็งช่องโหว่วิกฤตใน Fastjson ไลบรารี JSON ของ Alibaba สำหรับ Java บนแอป Spring Boot คำร้อง JSON อันตรายรันโค้ดได้โดยไม่ต้องยืนยันตัวตนในสิทธิ์โปรเซส Java ช่องโหว่ CVE-2026-16723 คะแนน 9.0 กระทบ Fastjson 1.2.68-1.2.83 ที่ปิด SafeMode จนถึง 25 ก.ค. Alibaba ยังไม่ออกแพตช์ 1.x แนะเปิด SafeMode หรือย้ายไป Fastjson2 ThreatBook พบการโจมตีจริงแล้ว