Open-Source

Rust 1.100 ที่กำหนดออกวันที่ 12 พฤศจิกายน 2569 จะรองรับ dependency cooldown ใน Cargo แบบ stable ให้ปฏิเสธเวอร์ชันแพ็กเกจที่อายุยังไม่ถึงเกณฑ์ที่ตั้งไว้ ฟีเจอร์นี้เป็นแบบ opt-in ค่าเริ่มต้นยังเป็นศูนย์ ต้องตั้ง global-min-publish-age เอง เหตุผลมาจากกรณี arrayref, internment และ append-only-vec ที่ถูกยึดเมื่อสิงหาคม และอยู่บน crates.io 86-107 นาทีก่อนถูกถอด รายการใน Cargo.lock เดิมไม่ถูกตรวจย้อนหลัง และ cooldown ไม่ได้พิสูจน์ว่าแพ็กเกจปลอดภัย

โครงการ curl ออก 8.23.0 เมื่อ 14 ต.ค. 2569 แก้ CVE-2026-92392 ช่องโหว่ use-after-free ระดับ High ในการอัปโหลดผ่าน HTTP/2 กระทบ curl และ libcurl 8.12.0 ถึง 8.22.0 เซิร์ฟเวอร์ที่ผู้โจมตีควบคุมทำให้หน่วยความจำไคลเอนต์เสียหายได้ และผู้รายงานมี PoC รันโค้ดบนเครื่องที่อัปโหลด แต่ต้องรู้รายละเอียดบิลด์และหน่วยความจำของเป้าหมายแบบเจาะจง curl ประเมินว่าผลที่น่าจะเกิดมากกว่าคือโปรแกรมแครช ยังไม่มีรายงานการโจมตีจริง

บริษัท Anthropic เปิดบริการ OSS Scanner ให้โครงการโอเพนซอร์สสมัครเข้าร่วมเพื่อรับการสแกนช่องโหว่เป็นระยะด้วยโมเดลที่แรงที่สุดรวมถึง Claude Mythos โดยไม่เสียค่าใช้จ่าย รายงานสร้างโดยโมเดลทั้งหมดโดยไม่มีคนตรวจคัดกรอง จึงไม่กำหนดระยะเปิดเผย 90 วันเพราะอาจมีผลบวกลวง ผู้ดูแลสมัครผ่าน pull request พร้อมไฟล์ YAML และ Dockerfile ที่ build ได้แบบออฟไลน์ Anthropic ระบุว่าพบช่องโหว่ที่เป็นไปได้แล้วกว่า 29,000 รายการ

แคมเปญ GhostAction ใช้บัญชี GitHub ของผู้ดูแลโอเพนซอร์ส 2 ราย คือผู้สร้าง pyxel และผู้สร้าง athenadriver ของ Uber ฝังเวิร์กโฟลว์ security-audit.yml ปลอมลงใน 346 repo เมื่อ 8 ต.ค. เวิร์กโฟลว์ส่ง secret ของ GitHub Actions และกุญแจคลาวด์/AI ที่ค้นได้จากไฟล์ปัจจุบันและประวัติ git ทั้งหมดไปยัง 193.32.204[.]199 Socket พบบัญชีกว่า 500 บัญชีที่ commit เวิร์กโฟลว์นี้ไปยัง repo หลายหมื่นแห่งตั้งแต่ 7 ต.ค. แต่ยังไม่พบแพ็กเกจอันตรายที่ถูกเผยแพร่

บริษัท Google หยุดรับรายงานช่องโหว่ผลิตภัณฑ์ผ่านโครงการ OSS VRP ตั้งแต่ 1 ตุลาคม ครอบคลุมโครงการอย่าง Go, Angular และ Protocol Buffers โดยให้เหตุผลว่ามีรายงานอัตโนมัติเพิ่มขึ้นมาก และส่วนใหญ่ไม่ถูกต้อง Google เรียกว่าเป็นการหยุดชั่วคราวและจะอัปเดตในไตรมาสแรกของปี 2570 แต่ไม่ได้กำหนดวันกลับมารับรายงาน รางวัลสำหรับช่องโหว่ห่วงโซ่อุปทานและปัญหาความปลอดภัยอื่นยังคงอยู่ ผู้วิจัยถูกแนะนำให้ไปใช้ Cloud VRP, Patch Rewards หรือโครงการรางวัลอื่นแทน

บริษัท Checkmarx รายงานแคมเปญ MALFEX ที่เผยแพร่แพ็กเกจอันตรายบน npm มาตั้งแต่สิงหาคม 2566 มียอดดาวน์โหลดรวมกว่า 40,000 ครั้ง ผู้โจมตีปล่อยแพ็กเกจ 12 ตัว เป็นอันตราย 8 ตัว และยังติดตั้งได้อยู่ 3 ตัว ได้แก่ function-flag, function-color และ cdn-img-fetch แพ็กเกจ function-flag อันตรายมาตั้งแต่กรกฎาคม 2568 มียอดดาวน์โหลดกว่า 37,000 ครั้ง แต่ยังไม่มี advisory แจ้งเตือน แคมเปญส่ง Overlord RAT และตัวขโมยข้อมูล movinlike ผ่าน 3 เส้นทาง โดย payload ทำงานได้จริงเฉพาะบน Windows

DeepSeek Harness เครื่องมือโอเพนซอร์สสำหรับรันเอเจนต์เขียนโค้ดบนเครื่องนักพัฒนา มีช่องโหว่ที่ทำให้เอเจนต์ซึ่งถูกกักอยู่ในแซนด์บ็อกซ์สั่งปิดแซนด์บ็อกซ์ของตัวเองได้ด้วยคำสั่งเดียวโดยไม่มีหน้าต่างขออนุมัติ ช่องโหว่ใช้รหัส CVE-2026-82533 และได้คะแนน 9.4 เต็ม 10 จาก VulnCheck ต้นเหตุคือหน้าเว็บควบคุมบนเครื่องเดียวกันไม่มีการยืนยันตัวตน และตรวจสิทธิ์ด้วยค่า Host header ที่ฝั่งผู้เรียกกำหนดเองได้ เวอร์ชัน 0.1.1-rc.2 และเก่ากว่าได้รับผลกระทบ

ช่องโหว่สองรายการใน GeoNetwork ซึ่งเป็นแคตาล็อกเมทาดาทาภูมิสารสนเทศแบบโอเพนซอร์ส สามารถต่อกันเป็นการรันโค้ดจากระยะไกลโดยไม่ต้องยืนยันตัวตน โดย CVE-2026-63219 (CVSS 8.6) เปิดให้อัปโหลดไฟล์ formatter ได้โดยไม่ต้องล็อกอิน ส่วน CVE-2026-58400 (CVSS 9.1) ทำให้สไตล์ชีตที่อัปโหลดสั่งรันคำสั่งระบบได้ โครงการออกแพตช์ในเวอร์ชัน 4.4.12 และ 4.2.17 ตั้งแต่ 8 กรกฎาคม 2569 แต่เพิ่งเปิดเผยรายละเอียดเมื่อ 31 สิงหาคม

นักวิจัยจากบริษัท Endor Labs เปิดเผยช่องโหว่วิกฤตใน isolated-vm ไลบรารีของ Node.js ที่ใช้รันจาวาสคริปต์ที่ไม่น่าเชื่อถือใน V8 Isolate ช่องโหว่ GHSA-864f-rcv7-6rh4 เป็น type confusion ในคลาส ExternalCopy ที่ทำให้โค้ดในแซนด์บ็อกซ์เขียนทับหน่วยความจำของโปรเซสหลักได้ ผลกระทบต่ำสุดคือทำให้โปรเซสล่ม สูงสุดคือยึดการควบคุมการทำงานของโปรเซสหลักจนอาจนำไปสู่การรันโค้ดจากระยะไกล กระทบทุกเวอร์ชันถึง 7.0.0 แก้แล้วใน 6.2.0 และ 7.0.1

crate ยอดนิยมของภาษา Rust สามตัวคือ arrayref, append-only-vec และ internment ถูกดัดแปลงให้ดึงแพ็กเกจปลอมชื่อ proc-macro1 เข้ามาเป็น dependency ซอร์สโค้ดที่มองเห็นไม่ถูกแตะต้องเลย โค้ดอันตรายซ่อนอยู่ในไฟล์ build.rs ที่ Cargo รันเองทุกครั้งที่คอมไพล์ เพย์โหลดเป็นอินโฟสตีลเลอร์ข้ามแพลตฟอร์มที่ดูดรหัสผ่านจากเบราว์เซอร์ตระกูล Chromium ทีม Rust Security Response ถอนเวอร์ชันที่ปนเปื้อนและล็อกบัญชีผู้ดูแลภายในราวสองชั่วโมง