Metabase

JPCERT/CC ออกประกาศเตือนว่าเหตุข้อมูลส่วนบุคคลรั่วต่อเนื่องในญี่ปุ่นช่วงกันยายน 2569 เกิดจากการใช้ API ของแอปมือถือในทางมิชอบและการเจาะช่องโหว่ที่รู้จัก รวมถึง CVE-2026-72898 ใน Metabase ที่มี CVSS 10.0 Macnica นับได้ 119 เหตุในปีนี้ เทียบกับ 84 เหตุทั้งปี 2568 และพบเคสคล้ายกันอีก 99 เคสใน 13 ประเทศ Park24 ผู้ให้บริการ Times Car แจ้งข้อมูลราว 6.6 ล้านบัญชีถูกดึงไป ยังไม่มีการระบุผู้อยู่เบื้องหลัง

แพลตฟอร์มเรียนคณิตศาสตร์ออนไลน์ Mathspace ยืนยันเหตุข้อมูลรั่วที่กระทบนักเรียน ผู้ปกครอง ครู และพนักงานรวม 1,079,819 รายในออสเตรเลียและนิวซีแลนด์ ต้นเหตุคือช่องโหว่ CVE-2026-72898 ใน Metabase ที่บริษัทติดตั้งเอง ซึ่งเป็น SQL injection แบบไม่ต้องยืนยันตัวตน คะแนน CVSS เต็ม 10.0 ผู้โจมตีเข้าถึงระบบตั้งแต่ 10 สิงหาคม หลังแพตช์ออกเพียงสี่วัน และดึงข้อมูลออกเมื่อ 27 สิงหาคม ขณะที่บริษัทเพิ่งอัปเดตระบบเมื่อ 29 สิงหาคม

บริษัท Trezor ผู้ผลิตกระเป๋าเงินคริปโตแบบฮาร์ดแวร์ เปิดเผยว่าลูกค้าในสหรัฐฯ อีก 67,000 รายได้รับผลกระทบจากเหตุเจาะระบบที่ ShipMonk ผู้ให้บริการขนส่งของตน ข้อมูลที่หลุดคือชื่อ อีเมล เบอร์โทรศัพท์ ที่อยู่จัดส่ง และหมายเลขคำสั่งซื้อของคำสั่งซื้อระหว่างเดือนพฤศจิกายน 2562 ถึงสิงหาคม 2564 ซึ่งเป็นข้อมูลที่ ShipMonk เคยยืนยันเป็นลายลักษณ์อักษรว่าลบไปแล้วตามสัญญา ต้นทางของเหตุคือช่องโหว่ zero-day ใน Metabase และความปลอดภัยของตัวอุปกรณ์ไม่ได้รับผลกระทบ

ผู้ผลิตกระเป๋าเงินคริปโตแบบฮาร์ดแวร์ Trezor แจ้งเหตุข้อมูลลูกค้าเกือบ 14,000 รายรั่ว หลังผู้ให้บริการขนส่งและโลจิสติกส์ ShipMonk ถูกเจาะ ข้อมูลที่หลุดคือชื่อเต็ม ที่อยู่จัดส่ง อีเมล และเบอร์โทรศัพท์ของผู้ที่ได้รับพัสดุระหว่าง 10 พฤษภาคมถึง 8 สิงหาคม 2569 Trezor ยืนยันว่าระบบของตนไม่ถูกเจาะและอุปกรณ์ยังปลอดภัย ส่วน ShipMonk แจ้งลูกค้าว่าผู้โจมตีใช้ช่องโหว่ในแพลตฟอร์มวิเคราะห์ข้อมูล Metabase เป็นทางเข้า และยังได้รับอีเมลข่มขู่เรียกค่าไถ่จากกลุ่ม ShinyHunters

Metabase ออกประกาศเตือนว่าช่องโหว่ระดับรุนแรงสูงสุด CVSS 10.0 ในซอฟต์แวร์ business intelligence ของตนถูกใช้โจมตีจริงในฐานะซีโรเดย์ ช่องโหว่นี้ยังไม่มีหมายเลข CVE และเปิดทางให้ผู้โจมตีระยะไกลที่ไม่ต้องยืนยันตัวตนแทรกคำสั่ง SQL ลงฐานข้อมูลของแอปพลิเคชันจนได้สิทธิ์ผู้ดูแลระบบ ผู้โจมตีสามารถแก้ไขค่ากำหนด ขโมย credential ของฐานข้อมูลที่เชื่อมต่ออยู่ และดึงข้อมูลออกได้ บริษัทผู้ผลิตคอมพิวเตอร์ Framework เป็นหนึ่งในผู้ได้รับผลกระทบ