Known-Exploited-Vulnerabilities

CISA เร่งให้องค์กรอัปเดต Ivanti Connect Secure ทันที หลัง CVE-2026-104935 ช่องโหว่ข้ามการยืนยันตัวตน CVSS 8.6 ถูกใช้เป็น zero-day เพื่อรันคำสั่งโดยไม่ต้องล็อกอิน แล้วขโมยข้อมูลรับรองและข้อมูลออก CISA ใส่ช่องโหว่นี้ใน KEV และให้หน่วยงานรัฐบาลกลางแพตช์ภายใน 16 ต.ค. 2569 Previdian พบความพยายามโจมตี honeypot 105 ครั้งจาก 50 IP Volexity พบกลุ่ม UTA0576 ใช้ช่องโหว่นี้ร่วมกับบั๊กยกระดับสิทธิ์ได้ root ตั้งแต่ 3 ต.ค. แล้วขโมยรหัส Kerberoast และค้น BitLocker recovery key

Microsoft ออกแพตช์ประจำเดือนตุลาคม 2569 แก้ 1,413 ช่องโหว่ มากที่สุดเป็นประวัติการณ์ ในจำนวนนี้มี CVE-2026-96951 ใน Windows Shell ที่ใช้ข้ามการป้องกัน Mark of the Web และถูกโจมตีจริงแล้ว CISA เพิ่มเข้า KEV และสั่งหน่วยงานรัฐบาลกลางแพตช์ภายใน 16 ตุลาคม อีกตัวที่ต้องเร่งคือ CVE-2026-108398 ใน .NET Framework ซึ่งเปิดเผยต่อสาธารณะแล้ว ใช้ข้าม WDAC ได้ Microsoft ยังเปิดตัวการจัดกลุ่ม risk cohort เพื่อช่วยจัดลำดับแพตช์

บริษัท Binary Defense พบผู้โจมตีใช้ช่องโหว่ zero-day รหัส CVE-2026-88771 และ CVE-2026-88772 ใน Citrix NetScaler ADC และ Gateway ฝัง Platypus เครื่องมือควบคุมระยะไกลโอเพนซอร์สที่ถูกดัดแปลงและคอมไพล์สำหรับ FreeBSD โดยปลอมเป็นไฟล์ .pl ช่องโหว่ command injection ทำงานผ่านล็อก จึงอาจรันคำสั่งช้าได้ถึง 24 ชั่วโมง การติดตั้งแพตช์ไม่ลบ implant ที่ฝังไว้แล้ว อุปกรณ์ที่เปิดสู่อินเทอร์เน็ตก่อนแพตช์ควรถือว่าอาจถูกบุกรุก ยังไม่มีการระบุกลุ่มผู้โจมตี

FBI และหน่วยงานจาก 6 ประเทศออกคำเตือนร่วมว่าแฮ็กเกอร์ที่โยงกับบริษัทจีน Integrity Technology Group ขโมยอีเมลจากหน่วยงานรัฐ บังคับใช้กฎหมาย สาธารณสุข และองค์กรศาสนาในเอเชียตะวันออกเฉียงใต้ตั้งแต่อย่างน้อยปี 2564 กลุ่มนี้ใช้สแกนเนอร์ MicroScan ที่มีสคริปต์กว่า 1,300 ตัว เจาะช่องโหว่ที่รู้จัก 8 รายการ และเดารหัสผ่าน Microsoft 365/Exchange แล้วดูดอีเมลด้วยเครื่องมือเฉพาะ คำเตือนระบุว่ากลุ่มเปิดเว็บแอปให้บุคคลที่สามเข้าอ่านอีเมลที่ขโมยมา บริษัทนี้ถูกสหรัฐและสหราชอาณาจักรคว่ำบาตรแล้ว

JPCERT/CC ออกประกาศเตือนว่าเหตุข้อมูลส่วนบุคคลรั่วต่อเนื่องในญี่ปุ่นช่วงกันยายน 2569 เกิดจากการใช้ API ของแอปมือถือในทางมิชอบและการเจาะช่องโหว่ที่รู้จัก รวมถึง CVE-2026-72898 ใน Metabase ที่มี CVSS 10.0 Macnica นับได้ 119 เหตุในปีนี้ เทียบกับ 84 เหตุทั้งปี 2568 และพบเคสคล้ายกันอีก 99 เคสใน 13 ประเทศ Park24 ผู้ให้บริการ Times Car แจ้งข้อมูลราว 6.6 ล้านบัญชีถูกดึงไป ยังไม่มีการระบุผู้อยู่เบื้องหลัง

หน่วยงาน CISA เพิ่มช่องโหว่วิกฤตใน Fortinet FortiMail (CVE-2026-104286, CVSS 9.8) เข้าบัญชี KEV หลังพบการโจมตีจริง ช่องโหว่เป็นแบบ path traversal ร่วมกับ NULL byte ที่เปิดให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนเขียนไฟล์ใด ๆ บนระบบผ่านคำขอ HTTP/HTTPS ที่ปรุงแต่งไว้ กระทบ FortiMail หลายเวอร์ชันตั้งแต่ 7.2 ถึง 8.0 บริษัท Fortinet ยอมรับว่าถูกโจมตีในวงจริงและออกวิธีแก้ชั่วคราว ขณะ CISA สั่งหน่วยงานรัฐบาลกลางแพตช์ภายใน 4 ตุลาคม 2026

CISA เพิ่ม 2 ช่องโหว่วิกฤตใน Citrix NetScaler ADC และ Gateway เข้า KEV หลังพบถูกใช้โจมตีทั่วโลก คือ CVE-2026-88771 (CVSS 9.5) improper input validation ให้รันคำสั่งได้โดยไม่ต้องยืนยันตัวตน และ CVE-2026-88772 (CVSS 9.5) buffer error ที่นำไปสู่ RCE หรือ DoS โดย 88772 ต้องเปิด DTLS ซึ่งเปิดเป็นค่าเริ่มต้นบน VPN vserver บริษัท watchTowr สาธิตว่า 88771 รันโค้ดเป็น root ผ่าน endpoint pre-auth ได้ ขณะ Unit 42 พบเครื่องเปิดสู่สาธารณะกว่า 50,277 เครื่อง

ช่องโหว่ CVE-2026-48842 (CVSS 8.1) ใน Roundcube Webmail ที่แพตช์ไปตั้งแต่พฤษภาคม 2026 ถูกใช้โจมตีจริงแล้ว โดย Canadian Centre for Cyber Security ออกเตือนเมื่อ 21 กันยายน จุดบกพร่องอยู่ในปลั๊กอิน virtuser_query เป็น pre-authentication SQL injection ที่ผู้โจมตีไม่ต้องมีบัญชีหรืออาศัยการโต้ตอบจากผู้ใช้ก็เข้าถึงฐานข้อมูลได้ กระทบ Roundcube 1.6.x ก่อน 1.6.16 และ 1.7.x ก่อน 1.7.1 เสี่ยงเปิดเผย credential และข้อความในกล่องเมล

บริษัท F5 เตือนว่ามีการใช้ช่องโหว่ร้ายแรง CVE-2026-94127 ใน BIG-IP Access Policy Manager โจมตีจริง เปิดให้รันโค้ดบนระบบ BIG-IP โดยไม่ต้องล็อกอิน ช่องโหว่กระทบเฉพาะระบบที่ตั้ง APM เป็นเซิร์ฟเวอร์อนุมัติสิทธิ์ OAuth เป็น heap-based buffer overflow คะแนน CVSS 9.8 CISA เพิ่มเข้าแคตตาล็อก KEV เมื่อ 22 กันยายนและสั่งหน่วยงานรัฐบาลกลางแก้ภายใน 25 กันยายน F5 ออก engineering hotfix แล้วพร้อมมาตรการบรรเทาแบบ iRule

CERT Polska เผยการวิเคราะห์เชิงลึกของเชนช่องโหว่ชื่อ MikroTrick ที่ผสาน CVE-2026-67279 กับ CVE-2026-86060 เพื่อยึดเราเตอร์ MikroTik RouterOS ที่เปิด SSH สู่อินเทอร์เน็ตได้เต็มสิทธิ์โดยไม่ต้องรหัสผ่านหรือคีย์. ช่องแรกข้ามขั้นตอนยืนยันตัวตน ช่องที่สองใช้ argument injection ส่งชื่อผู้ใช้ -2 เพื่อขึ้นเป็นผู้ดูแล. พบร่องรอยโจมตีตั้งแต่ 2 กันยายน ก่อนแพตช์ออกหนึ่งวัน. CISA เพิ่ม CVE-2026-86060 เข้า KEV เมื่อ 10 กันยายน.