Ntlm-Relay

Sophos รายงานว่า GOLD OGRE กลุ่มเบื้องหลังแรนซัมแวร์ Aur0ra ใช้เอเจนต์ AI ใน Cursor ทำงานเจาะเครือข่ายส่วนใหญ่ จนได้สิทธิ์ Domain Admin ผู้โจมตีหลบกฎความปลอดภัยของโมเดลด้วยการอ้างว่าเป็นงาน red team และใช้ Composer ของ Cursor ร่วมกับโมเดลของ Anthropic, xAI และ Moonshot ในบางเครือข่ายเอเจนต์ไปถึงสิทธิ์จัดการโดเมน และเหยื่อ 3 รายโผล่บนเว็บประจาน ร่องรอยแป้นพิมพ์ชี้ว่าผู้ปฏิบัติการพูดรัสเซีย องค์กรควรเร่งตอบสนองแจ้งเตือน EDR แบ่งโซนเซิร์ฟเวอร์สำคัญ และแยกแบ็กอัป

PHP2Shell ช่องโหว่ RCE วิกฤตใน PHP มีเหยื่อที่ถูกเจาะสำเร็จรายแรกแล้ว คือ หน่วยงานรัฐแห่งหนึ่งในยุโรป ตามรายงานของ Unit 42 ผู้โจมตีใช้เอเจนต์ AI สั่งงานแทนคน ได้ hash รหัสผ่านและ secret ของ MFA ใน 2 ชั่วโมง แล้วเจาะต่อเข้า Active Directory ขณะเดียวกัน CYFIRMA พบกลุ่มที่สงสัยว่าเป็น Lazarus ของเกาหลีเหนือทำรายชื่อเซิร์ฟเวอร์ PHP ที่ยังไม่แพตช์ไว้ 216 เครื่อง รวมถึงในไทย การสแกนทำแบบช้าและเปลี่ยนต้นทางตลอด จึงหลบการแจ้งเตือนทั่วไปได้ ผู้ดูแลระบบควรอัปเกรด PHP ทันทีและตรวจล็อกหาร่องรอยการเจาะ

Symantec รายงานว่ากลุ่ม APT28 ที่รัสเซียหนุนหลัง เจาะองค์กรในประเทศสมาชิก NATO สองประเทศภายใต้แคมเปญ Swallowtail เป้าหมายคือหน่วยงานบังคับใช้กฎหมาย อู่ต่อเรือรบ และผู้ผลิตเครื่องยนต์อากาศยานทหาร ในอู่ต่อเรือ ผู้โจมตีกลับมาที่เครื่องเดิมซ้ำตลอดหนึ่งสัปดาห์ ขโมยข้อมูลรับรองสองวิธี เปิดอุโมงค์ SSH ถาวร และวาง reflective loader ตัวใหม่ HOOKEDGE รุ่นใหม่เลิกใช้ webhook.site หันไปใช้ IP เฉพาะ ส่วน CERT-UA รายงานว่ารัสเซียเล็งสมาร์ตโฟนทหารยูเครนและใช้ CVE-2026-21509 กับ CVE-2026-8496

บริษัท Veeam เปิดเผยช่องโหว่ร้ายแรงใน Veeam ONE 13 ที่เปิดทางให้ผู้โจมตีจากระยะไกลซึ่งไม่ต้องยืนยันตัวตน บังคับให้บัญชีบริการของผลิตภัณฑ์ส่งการยืนยันตัวตนผ่าน SMB ออกไปได้ ช่องโหว่นี้ได้คะแนน CVSS v4.0 ที่ 9.3 กระทบเวอร์ชัน 13.1.0.7034 และบิลด์ก่อนหน้าทั้งหมดของสาย 13 ส่วนสาย 12.x ไม่ได้รับผลกระทบ ความเสี่ยงจริงขึ้นอยู่กับว่าบัญชีบริการนั้นถือสิทธิ์อะไรไว้บ้าง

บริษัท CloudSEK พบเซิร์ฟเวอร์ของแอฟฟิลิเอตแรนซัมแวร์ Aurora ที่ถูกเปิดทิ้งไว้โดยผิดพลาด ทำให้เห็นกิจกรรมตั้งแต่การบุกรุกจนถึงการรับเงินค่าไถ่ระหว่างเดือนเมษายนถึงกรกฎาคม 2569 ครอบคลุมกว่า 20 องค์กรใน 9 ประเทศ ในไดเรกทอรีมีทั้งเครื่องมือ ประวัติคำสั่ง ข้อมูลรับรอง ตัวเข้ารหัส และบันทึกแชทกับ Cursor ที่ผู้โจมตีใช้ร่างและขัดเกลาลำดับการโจมตี Active Directory Certificate Services เป็นภาษารัสเซีย