Mobile-Security

Google เปิดให้ร้านแอป Android ภายนอกสมัครเข้าโปรแกรม Registered App Stores เพื่อติดตั้งแอปได้แตะเดียวโดยไม่ต้องผ่านหน้ายืนยันของระบบ และอัปเดตแอปเบื้องหลังได้ เริ่ม 1 ธันวาคม 2569 บนอุปกรณ์ Android 17 QPR2 ขึ้นไปในประเทศที่รองรับ ซึ่งไม่รวมสหรัฐฯ ร้านต้องยืนยันตัวตน ส่งแอปทุกตัวให้ Google สแกนมัลแวร์ และจ่ายค่าธรรมเนียม 10,000 ดอลลาร์ต่อปี Google ไม่เปิดเผยว่าสแกนอย่างไรและเร็วแค่ไหน ผู้ดูแลระบบควรตรวจนโยบาย MDM ว่าจะอนุญาตร้านกลุ่มนี้บนเครื่ององค์กรหรือไม่

NebuSec เปิดเผยช่องโหว่ใน Telegram สำหรับแอนดรอยด์เวอร์ชัน 8.6.2 ถึง 12.10.3 ที่ผู้โจมตีใช้บัญชีธรรมดาโทรหาเหยื่อแล้วรันโค้ดได้ทันทีที่เหยื่อรับสาย บั๊กอยู่ในโค้ดอ่านข้อความ MediaState ระหว่างสาย และเมื่อร้อยกับบั๊กรั่วข้อมูลและ exploit root ของแอนดรอยด์จะยึดเครื่องได้ทั้งหมด Telegram แก้ในเวอร์ชัน 12.10.4 แต่ไม่ออก CVE และไม่จ่ายค่าหาบั๊กเพราะไม่เชื่อว่ารันโค้ดได้ ยังไม่พบการโจมตีจริงและยังไม่มีรายงานเทคนิคเต็ม ผู้ใช้ควรอัปเดตแอปและตั้งค่าการโทรเป็น Nobody

บริษัท Microsoft แก้ช่องโหว่ CVE-2026-80097 ใน Microsoft Authenticator บน Android ที่ทำให้แอปอันตรายซึ่งไม่ขอสิทธิ์ใดเลยสวมเป็นแอปที่เชื่อถือได้อย่าง Teams แล้วขอโทเค็นบัญชีงานของเหยื่อได้ ต้นเหตุ คือ การตรวจลายเซ็นดูลายเซ็นของแอปที่ถูกอ้างชื่อ ไม่ใช่แอปที่ส่งคำขอจริง ในการทดสอบของ Enclave โทเค็นที่ได้อ่านและส่งอีเมล อ่านเขียนไฟล์และปฏิทินได้ Microsoft ให้ CVSS 8.6 และระบุว่ายังไม่ถูกใช้โจมตี ผู้ใช้ควรอัปเดต Authenticator เป็น 6.2606.4246 ขึ้นไป

นักวิจัยจากบริษัท Calif สาธิต untethered jailbreak บน iOS 27.0.1 ใน iPhone 18 Pro บนเวที Hexacon 2026 ที่ปารีสเมื่อ 16 ต.ค. 2569 เครื่องรีบูตแล้ว jailbreak กลับมาเองโดยไม่ต้องต่อคอมพิวเตอร์ และล็อกอิน SSH เป็น root ได้ นับเป็นสัญญาณแรก ๆ ว่ามือถือและ iOS รุ่นล่าสุดถูกเจาะได้เต็มรูปแบบไม่กี่สัปดาห์หลังวางจำหน่าย ทีมวิจัยยังไม่เปิดเผยช่องโหว่ที่ใช้และไม่มีเครื่องมือสาธารณะ

การแข่งขัน Pwn2Own Ireland 2026 ที่เมืองคอร์ก มี 3 ทีมเจาะ Google Pixel 10 ที่แพตช์ครบจากระยะไกลได้สำเร็จเมื่อ 8 ตุลาคม 2569 รวมเงินรางวัล 562,500 ดอลลาร์ Ikotas Labs ได้รางวัลสูงสุด 300,000 ดอลลาร์และตำแหน่ง Master of Pwn อย่างน้อย 2 ใน 3 ผลงานใช้บั๊กที่เคยมีผู้รายงานมาก่อน ZDI ยังไม่เปิดเผยวิธีเจาะ และ Google ยังไม่มีแพตช์ Galaxy S26 ถูกเจาะครบ 7 ครั้ง ส่วนทั้งงานสำเร็จ 51 จาก 63 ครั้ง รางวัลรวมกว่า 1.2 ล้านดอลลาร์

บริษัท Google ประกาศว่าใน Android 17 เมื่อเปิดโหมด Advanced Protection ระบบจะจำกัดสิทธิ์ AccessibilityService ให้เฉพาะแอปที่ผ่านการรับรองในหมวด Accessibility Tools เท่านั้น API นี้เป็นช่องทางหลักที่โทรจันธนาคารและสปายแวร์ใช้อ่านหน้าจอ ดักการพิมพ์ ครอบหน้าล็อกอินปลอม และสั่งโอนเงินแทนผู้ใช้ Android 17 ยังเพิ่ม Intrusion Logging สำหรับงานพิสูจน์หลักฐาน การป้องกันผ่าน USB การปิด WebGPU และการล็อกเครื่องเมื่อยืนยันตัวตนผิดซ้ำ ฟีเจอร์ทั้งหมดทำงานเฉพาะผู้ที่เปิด Advanced Protection

นักวิจัยเชื่อมช่องโหว่ 2 จุดในซอฟต์แวร์ของ OnePlus ทำให้แอปที่ผู้ใช้ติดตั้งเองยกระดับสิทธิ์เป็น root ได้โดยไม่ต้องขอ permission ใด ๆ และไม่มีการแจ้งเตือน ทดสอบสำเร็จบน OnePlus 15 ที่รัน OxygenOS รุ่นล่าสุดและ OnePlus 12 Pro โดย OnePlus ระบุว่ากระทบอุปกรณ์ของตนอีกหลายรุ่นรวมถึงเครื่อง OPPO ที่ใช้โค้ดร่วมกัน บริษัทยืนยันช่องโหว่ตั้งแต่พฤษภาคม 2569 แต่ยังไม่ออกแพตช์และไม่กำหนด CVE เป็นการโจมตีเฉพาะเครื่องที่ต้องมีแอปมุ่งร้ายทำงานอยู่ก่อน

Group-IB เปิดเผยเทคนิคใหม่ของกลุ่ม GoldFactory ที่ใช้ฟีเจอร์ Work Profile ของแอนดรอยด์โคลนแอปธนาคารของเหยื่อไปไว้ในโปรไฟล์แยกที่สัญญาณตรวจจับมัลแวร์ตามไปไม่ถึง นักวิจัยพบอุปกรณ์ที่ถูกเจาะราว 1,469 เครื่องและการล็อกอินที่อาจถูกบุกรุก 1,281 ครั้งในอินโดนีเซียระหว่างเดือนกุมภาพันธ์ถึงกรกฎาคม คิดเป็นความเสียหายประมาณ 1 ล้านดอลลาร์ เครื่องมือหลักคือโทรจันธนาคาร Gigabud ที่ติดตั้งแอปโคลนชื่อ Vwork ตามมาภายในไม่กี่นาที ตัวอย่างมัลแวร์ที่รองรับ Vwork ยังเล็งเป้าไทย ลาว และฟิลิปปินส์ด้วย

บริษัท Bitdefender พบว่าคนร้ายใช้โครงการ Early Access ของ Google Play ปล่อยแอปหลอกลวงนับพันตัว ทั้งเกมคาสิโนปลอม แอปแจกรางวัล และแอปอรรถประโยชน์ที่ละเมิดเครื่องหมายการค้า จุดสำคัญคือแอปในโครงการนี้ผู้ใช้ให้ดาวหรือเขียนรีวิวสาธารณะไม่ได้ สัญญาณเตือนแรกสุดจึงหายไปทั้งหมด ตัวอย่างที่พบคือเกมเลียนแบบ Grand Theft Auto ที่มียอดดาวน์โหลดเกิน 1 ล้านครั้งโดยไม่มีรีวิวสักรายการ และแอปเหล่านี้ถูกโปรโมตผ่าน TikTok และ Facebook ด้วยโฆษณาที่ใช้ดีปเฟกคนดัง

บริษัทด้านความปลอดภัย Calif สร้างเวิร์มที่ยึดบัญชี WeChat ได้ด้วยสายเรียกเข้าเพียงสายเดียว โดยเป้าหมายไม่ต้องกดรับหรือแตะเครื่องเลย เงื่อนไขเดียวคือผู้โทรต้องอยู่ในรายชื่อผู้ติดต่อของเหยื่อก่อน ซึ่งทำให้บัญชีที่ถูกยึดแล้วกลายเป็นฐานแพร่ต่อไปยังผู้ติดต่อรายอื่นได้เอง นักวิจัยแจ้ง Tencent เมื่อเดือนกรกฎาคมและระบุว่าบริษัทปิดกั้นการโจมตีนี้ให้ผู้ใช้ทุกคนแล้ว แต่ยังไม่มีหมายเลข CVE ไม่มีประกาศจาก Tencent และยังไม่มีการเปิดเผยว่าเวอร์ชันใดได้รับผลกระทบบ้าง