Linux

Frontier Red Team ของ Anthropic เผยว่าโมเดล AI ภายในที่ยังไม่เปิดตัวพบช่องโหว่ใน Chrome, Safari, Android, Windows และ Linux แล้วร้อยเป็น exploit ใช้งานได้จริง 5 ชุด ชุดที่ร้ายแรงสุดรันคำสั่งระดับ root บนเซิร์ฟเวอร์ Linux ผ่านเครือข่ายโดยไม่ต้องล็อกอิน ส่วนชุด Chrome หลุดแซนด์บ็อกซ์ได้จากการเปิดหน้าเว็บครั้งเดียว ทุกช่องโหว่แจ้งผู้ผลิตและแพตช์แล้ว แต่บทบาทของคนในแต่ละขั้นยังตรวจสอบไม่ได้ และ CVE บางตัวมีคำอธิบายไม่ตรงกับที่ Anthropic เล่า ควรอัปเดต Chrome 156 และเคอร์เนล Linux

TeamViewer ออกประกาศ TV-2026-1011 แก้ 3 ช่องโหว่ระดับสูงใน Full Client, Host และแอป Android ที่ใช้กับ TeamViewer Remote, Tensor และ ONE ช่องโหว่ 2 ตัวคะแนน 8.8 อยู่ในส่วนประมวลผลภาพหน้าจอ เครื่องปลายทางที่ประสงค์ร้ายหรือไฟล์บันทึกเซสชันที่สร้างมาเฉพาะจึงอาจทำให้แอปฝั่งผู้ควบคุมแครชหรือถูกรันโค้ด อีกตัวคะแนน 7.8 เปิดให้ผู้ใช้ในเครื่อง macOS ยกสิทธิ์เป็น root ผ่านตัวช่วยติดตั้ง TeamViewer ระบุว่ายังไม่พบการโจมตีจริง ผู้ดูแลควรอัปเดตเป็น 15.83 หรือรุ่น legacy ที่แก้แล้วทุกเครื่อง

นักวิจัยเปิดเผยเมื่อ 20 ตุลาคม 2569 ว่าผู้โจมตียึด Tor exit node 333 ตัว หรือราว 10% ของ exit relay ทั้งเครือข่าย แล้วเริ่มดักการเชื่อมต่อ SSH พร้อมกันเมื่อ 2 ตุลาคม ทราฟฟิกพอร์ต 22 ถูกส่งไปเซิร์ฟเวอร์ดักกลาง 12 เครื่อง ผู้ใช้ที่ไม่สนใจคำเตือน host key เปลี่ยนจะเสียรหัสผ่าน และถูกพยายามฝังแบ็กดอร์ Ebury 1.8.3 บนเซิร์ฟเวอร์ปลายทาง ทีม Tor ติดธง BadExit ภายใน 4 ตุลาคม และเซิร์ฟเวอร์ที่ติดเชื้อถูกปิดในวันที่ 5 ตุลาคม ยังไม่ทราบช่องทางเจาะและผู้อยู่เบื้องหลัง

Unit 42 ของ Palo Alto Networks รายงานกลุ่ม CL-UNK-1211 ที่ใช้สคริปต์ซึ่ง AI ช่วยเขียนเจาะเซิร์ฟเวอร์ Linux ของหน่วยงานรัฐระหว่างตุลาคม 2568 ถึงเมษายน 2569 ผู้โจมตีฝังเว็บเชลล์ แก้ auto_prepend_file ของ PHP เพื่อคงอยู่ ดักรหัสผ่าน sudo ผ่าน alias ใน .bashrc ติดตั้ง SysGoRAT เขียนด้วย Go และพยายามดูดอีเมลกับฐานข้อมูล สคริปต์มีคำอธิบายแบบบทสนทนาของ LLM ติดมา แต่บางตัวเขียนผิดจนรันไม่ได้ กลุ่มนี้ยังไม่ถูกระบุผู้อยู่เบื้องหลัง

บริษัท Canonical ผู้พัฒนา Ubuntu ยืนยันเมื่อ 8 ตุลาคม 2569 ว่าเว็บไซต์หลักถูกโจมตีแบบ DDoS ต่อเนื่อง ระบบที่ได้รับผลกระทบมีทั้ง ubuntu.com, canonical.com, บล็อก, เว็บไซต์นักพัฒนา และหน้าประกาศความปลอดภัยพร้อม API ของ Ubuntu รวมเวลาล่มราว 4 ชั่วโมงเศษ แต่ Launchpad และ Snap Store ไม่ได้รับผลกระทบ Canonical ยังไม่เปิดเผยขนาดหรือต้นทางของการโจมตี และยังไม่มีผู้อ้างผลงาน นี่เป็นการโจมตีครั้งที่ 2 ของปี ต่อจากเหตุปลายเมษายนที่กลุ่มแฮ็กติวิสต์ 313 Team อ้างความรับผิดชอบ

Zscaler ThreatLabz พบ Terraform provider ปลอมชื่อ terraform-provider-awsbeta ที่แอบรันโค้ดอันตรายเมื่อ Terraform โหลดปลั๊กอิน แต่ยังทำงานแบบ provider ปกติ ตัวโหลดดึงไฟล์ฟอนต์ .woff ที่ซ่อนมัลแวร์เข้ารหัสตามระบบปฏิบัติการ ทั้ง Linux, macOS และ Windows มัลแวร์ FLATROOF ขโมยข้อมูลเบราว์เซอร์ คีย์เชน และกระเป๋าคริปโต ส่วน ROOFDECK หาที่อยู่ C2 ผ่าน Pastebin ที่มีลายเซ็น RSA และโปรไฟล์ Nostr Zscaler ชี้ว่าคล้าย TraderTraitor ของเกาหลีเหนือ แต่ยังไม่มีหลักฐานพอฟันธง

นักวิจัยจาก V12 เผยแพร่ exploit AnyPwn ที่ใช้งานได้จริงบน GitHub สำหรับช่องโหว่ RCE ก่อนยืนยันตัวตนใน AnyDesk บน Linux ผู้โจมตีได้สิทธิ์ root ก่อนที่ใครจะกดอนุญาตการเชื่อมต่อ ต้นเหตุคือ integer overflow ขนาด 32 บิตในโปรโตคอล session ซึ่งนำไปสู่ heap overflow AnyDesk แก้ไขในเวอร์ชัน 8.0.3 ตั้งแต่มิถุนายน แต่ changelog เขียนเพียงว่าแก้บั๊กที่ทำให้ crash จนถึงตอนนี้ยังไม่มี CVE และไม่มีประกาศความปลอดภัย

ทีม FortiGuard Labs ของบริษัท Fortinet พบมัลแวร์ลินุกซ์ตัวใหม่ชื่อ ClingSTUN ที่ใช้ช่องโหว่ที่รู้จักแล้วอย่างน้อย 24 รายการเจาะเราเตอร์ กล้อง และอุปกรณ์ IoT จาก D-Link, Realtek, Ivanti, TP-Link และอื่น ๆ มัลแวร์ใช้เซิร์ฟเวอร์ STUN สาธารณะที่ถูกกฎหมายหาว่าเครื่องเหยื่อมองเห็นจากอินเทอร์เน็ตอย่างไร โดยไม่พบเซิร์ฟเวอร์ C2 แบบดั้งเดิม ตัวมัลแวร์ยังฝัง exploit อีก 7 รายการไว้แพร่ต่อไปยังอุปกรณ์อื่น เครื่องที่ติดเชื้อถูกใช้เป็นทางผ่านทราฟฟิกอันตราย ทำให้ IP องค์กรเสี่ยงถูกขึ้นบัญชีดำ

บริษัท Rapid7 พบแบ็กดอร์ลินุกซ์ที่เจาะอุปกรณ์โทรคมนาคมและเครือข่ายในเกาหลีใต้และไต้หวัน โดยปลอมตัวเป็นซอฟต์แวร์ความปลอดภัยอีเมลที่ใช้แพร่หลายในสองประเทศ BPFDoor รุ่นใหม่และ Rekoobe ที่เล็งเกาหลีใต้ปลอมชื่อไฟล์และโปรเซสของ SpamSniper ส่วนไต้หวันพบ AVERAT มัลแวร์ตัวใหม่ซ่อนในไดเรกทอรีของ ShareTech และสั่งงานผ่าน SMTP พอร์ต 25 BPFDoor รุ่นใหม่ห่อ magic packet ใน HTTPS POST เพื่อหลบการตรวจแบบ DPI Rapid7 แนะนำให้ตรวจ BPF filter ที่ไม่จำเป็นและการเชื่อมต่อพอร์ต 25 จากโปรเซสที่ไม่ใช่บริการอีเมล

บริษัท Rapid7 เปิดเผยว่ากลุ่ม APT ที่น่าจะเป็นเกาหลีเหนือใช้ชุดเครื่องมือสอดแนม Linux ที่ไม่เคยมีบันทึกมาก่อนชื่อ TED เจาะโหลดบาลานเซอร์โอเพนซอร์ส HAProxy เพื่อเข้าถึงการสื่อสารที่ถอดรหัสแล้ว เล็งบริษัทสื่อและยานยนต์ในเกาหลีใต้มาตั้งแต่ต้นปี 2568 Rapid7 เชื่อมโยงด้วยความมั่นใจปานกลางกับ APT37 (ScarCruft) จากรายการเซิร์ฟเวอร์ C2 ที่ตรงกัน แบ็กดอร์นี้ตรวจจับได้ยากมากเพราะฝังในโครงสร้างพื้นฐานและลบร่องรอยในล็อก