Oracle

บริษัท Estée Lauder ยักษ์ใหญ่เครื่องสำอางแจ้งเตือนผู้ได้รับผลกระทบว่าข้อมูลส่วนบุคคลรั่วไหล หลังผู้โจมตีเจาะระบบ Oracle E-Business Suite ที่บริษัทใช้บริหารงานบุคคล ข้อมูลที่หลุดครอบคลุมชื่อ ที่อยู่ วันเกิด หมายเลขประกันสังคม หมายเลขหนังสือเดินทาง เลขบัญชีธนาคาร ข้อมูลสุขภาพ และข้อมูลเงินเดือน จุดที่น่ากังวลที่สุดคือการบุกรุกเกิดขึ้นตั้งแต่ 9 สิงหาคม 2568 แต่บริษัทเพิ่งยืนยันได้เมื่อ 19 มิถุนายน 2569

CISA สั่งหน่วยงานรัฐกลางสหรัฐฯ แพตช์ช่องโหว่วิกฤต CVE-2026-46817 (CVSS 9.8) ใน Oracle E-Business Suite ที่ถูกโจมตีจริงภายในวันเสาร์ที่ 18 กรกฎาคม ช่องโหว่อยู่ในคอมโพเนนต์ File Transmission ของ Oracle Payments เปิดทางให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนเข้าถึงผ่าน HTTP ยึดระบบได้ Oracle ออกแพตช์ตั้งแต่พฤษภาคม 2026 แต่หลายองค์กรยังไม่อัปเดต Shadowserver พบเซิร์ฟเวอร์เปิดเน็ตกว่า 1,000 เครื่อง

ผู้โจมตีเริ่มใช้ช่องโหว่ร้ายแรง CVE-2026-46817 ใน Oracle E-Business Suite (EBS) แอปด้านการเงินขององค์กร ช่องโหว่อยู่ในส่วน File Transmission ของ Oracle Payments เปิดทางให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนและมีเพียงการเข้าถึง HTTP เข้ายึดระบบได้ด้วยการโจมตีที่ซับซ้อนต่ำ ได้คะแนน CVSS 9.8 Oracle ออกแพตช์ไปแล้วใน Critical Security Patch Update เดือนพฤษภาคม 2026 บริษัท Defused พบการโจมตีจริงครั้งแรกเมื่อสุดสัปดาห์ที่ผ่านมา ขณะที่ยังมี EBS กว่า 450 ระบบเปิดอยู่บนอินเทอร์เน็ต

กลุ่มแฮ็กเกอร์ ShinyHunters ใช้ช่องโหว่ zero-day CVE-2026-35273 (CVSS 9.8) ใน ระบบ Oracle PeopleSoft เจาะระบบมหาวิทยาลัยหลายแห่ง ด้าน Mandiant แจ้งเตือนกว่า 100 องค์กรที่ได้รับผลกระทบ โดย 68% เป็นสถาบันอุดมศึกษา University of Nottingham ยืนยันข้อมูลรั่วไหลรวมอีเมล 455,000 รายการพร้อมข้อมูลส่วนบุคคลของนักศึกษาและศิษย์เก่า

CISA เพิ่มช่องโหว่ CVE-2024-21182 (CVSS 7.5) ใน Oracle WebLogic Server เข้าแคตตาล็อก KEV หลังพบหลักฐานว่าถูกโจมตีจริงแล้ว ช่องโหว่นี้ถูกแพตช์ตั้งแต่กรกฎาคม 2567 แต่ยังมีเซิร์ฟเวอร์ที่ไม่ได้แพตช์ถูกเจาะ ผู้โจมตีสามารถเข้าถึงข้อมูลสำคัญได้โดยไม่ต้องยืนยันตัวตน