Patch-Management

Intel471 พบว่าองค์กรในอิตาลีคิดเป็นราว 7% ของสิทธิ์เข้าถึงเครือข่ายที่ขายในฟอรัมอาชญากรรม เป็นอันดับ 2 รองจากสหรัฐฯ และอิตาลียังเป็นเป้าแรนซัมแวร์อันดับ 4 ของโลก ที่แปลกกว่า คือ 57% ของสิทธิ์เหล่านี้ได้มาจากช่องโหว่ เทียบกับแค่ 6.5% ในข้อมูลระดับโลก ขณะที่โครงสร้างเว็บถูกขายถึง 49% นักวิจัยมีสมมติฐาน 3 ข้อ คือ แพตช์ช้า ผลของขนาดที่ทำให้ยิงซ้ำได้คุ้ม และสัดส่วน SME ที่สูง แต่ยังไม่มีข้อสรุปชัด องค์กรที่ใช้ระบบเว็บเก่าควรเร่งไล่แพตช์ช่องโหว่ที่รู้จักแล้ว

Drupal ออกแพตช์ CVE-2026-108097 ช่องโหว่ระดับ critical ในโมดูล Field UI ของ core ที่อาจทำให้ผู้โจมตีรันโค้ดบนเซิร์ฟเวอร์ได้ แก้แล้วในเวอร์ชัน 11.4.10, 11.3.19 และ 10.6.19 ช่องโหว่นี้เข้าถึงผ่าน core อย่างเดียวไม่ได้ ต้องอาศัยโมดูลเสริม และมีอย่างน้อยหนึ่งเส้นทางที่ไม่ต้องล็อกอิน เว็บไซต์ราว 151,000 แห่งหรือ 28.5% ยังอยู่บนเวอร์ชันที่หมดอายุและไม่มีแพตช์ เว็บไซต์ที่ยังอัปเดตไม่ได้ให้ถอนโมดูล field_ui ออกชั่วคราว

บริษัท Ivanti เปิดเผยประกาศความปลอดภัยชุดใหญ่เมื่อวันที่ 8 กันยายน 2569 ครอบคลุมผลิตภัณฑ์หลักสามตัวและช่องโหว่รวม 10 รายการ โดยกลุ่มที่รุนแรงที่สุดอยู่ใน Neurons for ITSM ซึ่งมีถึงแปดรายการ รวมสามตัวที่ได้คะแนน 9.9 และสองตัวที่เปิดให้รันโค้ดได้โดยไม่ต้องยืนยันตัวตน ฝั่งคลาวด์ได้รับแพตช์ไปแล้วตั้งแต่เดือนสิงหาคม ส่วนลูกค้าที่ติดตั้งเองต้องลงแพตช์ประจำเดือนกันยายน บริษัทระบุว่ายังไม่พบหลักฐานการถูกใช้โจมตีก่อนการเปิดเผย

บริษัท SAP ปล่อยประกาศความปลอดภัย 20 ฉบับในรอบเดือนกันยายน 2569 โดยฉบับสำคัญที่สุดปิดช่องโหว่ CVE-2026-44756 คะแนน CVSS เต็ม 10.0 ซึ่งเป็นปัญหาหน่วยความจำเสียหายในการประมวลผล Extended Passport ที่บริษัท Onapsis ตั้งชื่อว่า OVERPASS ผู้โจมตีที่ไม่ต้องยืนยันตัวตนสามารถรันคำสั่งระบบ ดึงข้อมูลยืนยันตัวตนของฐานข้อมูล อ่านเซสชันของผู้ใช้ที่ล็อกอินอยู่ และแก้ไขข้อมูลได้ ช่องโหว่อยู่ในโค้ดเคอร์เนลจึงกระทบผลิตภัณฑ์จำนวนมากตั้งแต่ S/4HANA ถึง NetWeaver ปัจจุบันยังไม่มีสัญญาณว่าถูกใช้โจมตีจริง

แพลตฟอร์มเรียนคณิตศาสตร์ออนไลน์ Mathspace ยืนยันเหตุข้อมูลรั่วที่กระทบนักเรียน ผู้ปกครอง ครู และพนักงานรวม 1,079,819 รายในออสเตรเลียและนิวซีแลนด์ ต้นเหตุคือช่องโหว่ CVE-2026-72898 ใน Metabase ที่บริษัทติดตั้งเอง ซึ่งเป็น SQL injection แบบไม่ต้องยืนยันตัวตน คะแนน CVSS เต็ม 10.0 ผู้โจมตีเข้าถึงระบบตั้งแต่ 10 สิงหาคม หลังแพตช์ออกเพียงสี่วัน และดึงข้อมูลออกเมื่อ 27 สิงหาคม ขณะที่บริษัทเพิ่งอัปเดตระบบเมื่อ 29 สิงหาคม

บริษัท N-able ออกฮอตฟิกซ์ที่สี่ในรอบห้าสัปดาห์ให้แพลตฟอร์ม RMM ชื่อ N-central เพื่อปิด CVE-2026-86218 ช่องโหว่ static code injection ที่ได้คะแนน CVSS 4.0 เต็ม 10.0 และเปิดให้รันโค้ดบนเซิร์ฟเวอร์โดยไม่ต้องยืนยันตัวตน ทุกบิลด์ต่ำกว่า 2026.3.1.14 ได้รับผลกระทบ รวมถึงเครื่องที่เพิ่งอัปเป็น Hotfix 3 ก่อนหน้าเพียงแปดชั่วโมง จุดที่ต้องจับตาคือช่องทางสื่อสารของบริษัทเองขัดกันว่าช่องโหว่นี้ถูกใช้โจมตีจริงแล้วหรือยัง และประกาศทั้งหมดไม่มี IoC ไม่มีมาตรการชั่วคราว

หน่วยงาน CERT Polska ออกประกาศเตือนเมื่อวันที่ 5 กันยายน 2569 ว่าผู้โจมตีกำลังยึดเราเตอร์ MikroTik ที่เปิดบริการ SSH ออกสู่อินเทอร์เน็ต โดยได้สิทธิ์ผู้ดูแลระบบเต็มรูปแบบโดยไม่ต้องยืนยันตัวตน การโจมตีที่สำเร็จย้อนไปถึงอย่างน้อยวันที่ 2 กันยายน CERT เรียกการนำช่องโหว่ 2 รายการมาต่อกันนี้ว่า MikroTrick แต่ไม่ได้ระบุว่าเป็นช่องโหว่คู่ใด รุ่นที่แก้แล้วคือ RouterOS 6.49.21, 7.23.4 (แนะนำ 7.23.5) และ 7.24.2

บริษัท Broadcom ออกแพตช์ปิดช่องโหว่ 2 รายการใน VMware Workstation และ Fusion นำโดย CVE-2026-59346 คะแนน 9.3 ซึ่งเป็น integer overflow ในการ์ดเครือข่ายเสมือน VMXNET3 อีกรายการคือ CVE-2026-59347 คะแนน 8.1 บัฟเฟอร์ล้นในฟีเจอร์แชร์ไฟล์ HGFS ทั้งคู่ต้องยึดสิทธิ์ผู้ดูแลระบบในเครื่องเสมือนได้ก่อนจึงจะรันโค้ดออกมาที่โฮสต์ได้ Broadcom ระบุว่าไม่มีวิธีแก้ชั่วคราว ต้องอัปเดตเป็นรุ่น 26H1u1 เท่านั้น

Plex ออกอัปเดต Plex Media Server 1.43.3 และ Plex Desktop 1.115.0 เพื่อปิดช่องโหว่ด้านความปลอดภัยหลายรายการ พร้อมเร่งให้เจ้าของเซิร์ฟเวอร์และผู้ใช้เดสก์ท็อปอัปเดตโดยเร็วที่สุด บริษัทไม่เปิดเผยว่าช่องโหว่เหล่านั้นคืออะไรและระบุเพียงว่ากำลังขอรหัส CVE อยู่ ผู้ใช้ที่รัน Plex บนอุปกรณ์ NAS อาจยังไม่เห็นเวอร์ชันใหม่ในตัวจัดการแพ็กเกจและต้องติดตั้งเอง ข้อมูลจาก Censys ระบุว่ามีอุปกรณ์เปิดหน้าเว็บของ Plex Media Server สู่อินเทอร์เน็ตมากกว่า 360,000 เครื่อง

บริษัท Cisco ออกแพตช์ปิดช่องโหว่ระดับวิกฤต CVE-2026-20212 คะแนน CVSS 9.8 บนสวิตช์ Nexus 9000 ที่ใช้ชิป Silicon One 10 รุ่น ซึ่งเปิดพอร์ต TCP 43210 และ 43211 ทิ้งไว้จนผู้โจมตีจากระยะไกลรันโค้ดด้วยสิทธิ์ root ได้โดยไม่ต้องยืนยันตัวตน พร้อมกันนั้นยังออกชุดแพตช์เสริมความแข็งแกร่งของ IOS XR ที่รวม 7 CVE โดย 2 รายการมีคะแนนสูงสุด 9.8 และกระทบทุกเวอร์ชันไม่ว่าตั้งค่าอย่างไรโดยไม่มีวิธีบรรเทาชั่วคราว