Patch

บริษัท Zimbra เร่งให้ลูกค้าอัปเดตแพตช์อุดช่องโหว่ร้ายแรงใน Classic Web Client ที่เปิดทางรันโค้ดโดยพลการได้ ช่องโหว่นี้เป็นแบบ Stored XSS ที่ทำให้อีเมลซึ่งถูกดัดแปลงเป็นพิเศษสามารถรันสคริปต์อันตรายในเซสชันของผู้ใช้เมื่อเปิดอ่าน หากถูกโจมตีสำเร็จอาจเข้าถึงข้อมูลกล่องจดหมาย ข้อมูลเซสชัน หรือการตั้งค่าบัญชีได้ ช่องโหว่ยังไม่ได้รับหมายเลข CVE และแม้ Zimbra ไม่ได้ระบุว่ามีการโจมตีจริง แต่ช่องโหว่ XSS ใน Zimbra เป็นเป้าหมายยอดนิยมของผู้โจมตีมานานหลายปี แนะนำให้อัปเดตเป็นเวอร์ชัน 10.1.19

Roundcube ปล่อยเวอร์ชัน 1.7 แก้ช่องโหว่ 6 รายการ รวมถึง Stored XSS ระดับวิกฤต 2 ตัวที่ทำงานแบบ zero-click ไม่ต้องให้เหยื่อคลิก CVE-2026-54432 เกิดจากการแสดงชนิดไฟล์ (MIME type) ของไฟล์แนบโดยไม่กรอง ทำให้สคริปต์รันทันทีที่หน้าเตือนโหลด ส่วน CVE-2026-54433 อยู่ในเอนจินแสดงข้อความแบบ plain-text แค่เปิดอ่านเมลก็ถูกฝังสคริปต์เงียบ ๆ ทั้งคู่เปิดทางขโมย session และเข้าถึงกล่องเมลโดยไม่ต้องมีปฏิสัมพันธ์ นักวิจัยแนะนำให้อัปเดตด่วนกว่ารอบแพตช์ปกติ

บริษัท Ubiquiti ออกแพตช์อุดช่องโหว่ร้ายแรงหลายรายการใน UniFi Connect, Talk, Access, Protect และ UniFi OS ที่เปิดทางให้ยกระดับสิทธิ์และรันคำสั่งบนอุปกรณ์ได้ ช่องโหว่ร้ายแรงสุด CVE-2026-50746 มีคะแนน CVSS เต็ม 10.0 แม้ยังไม่พบการโจมตีจริงจากชุดนี้ แต่เมื่อเดือนก่อน CISA เพิ่งเตือนช่องโหว่ UniFi OS อีก 3 ตัวที่ถูกใช้โจมตีในโลกจริงมาแล้ว ผู้ดูแลระบบควรอัปเดตทันที

Cisco ยืนยันว่าแฮ็กเกอร์กำลังโจมตีช่องโหว่ใน Unified Communications Manager (CVE-2026-20230) ที่แพตช์ไปเมื่อต้นเดือนมิถุนายน ช่องโหว่นี้เป็น SSRF ที่แฮ็กเกอร์ไม่ต้องมีสิทธิ์ก็โจมตีจากระยะไกลได้ด้วยการส่ง HTTP request ที่สร้างขึ้นเป็นพิเศษ แม้ตอนออกแพตช์ Cisco บอกยังไม่พบการโจมตีจริง แต่ต่อมามีการเผยแพร่ PoC และพบการใช้ file:// payload สร้างไฟล์บนอุปกรณ์เป้าหมาย Shadowserver พบ Unified CM เปิดออนไลน์กว่า 200 เครื่อง ผู้ดูแลควรรีบอัปเดตหรือปิดบริการ WebDialer

WinRAR 7.23 ออกแพตช์อุดช่องโหว่ heap overflow (CVE-2026-14191) ในโค้ดประมวลผล recovery volume ของรูปแบบ RAR5 ซึ่งไฟล์ .rev ที่ถูกสร้างขึ้นมาเป็นพิเศษอาจทำให้เกิดการเขียนข้อมูลนอกขอบเขตบน heap นำไปสู่โปรแกรมล่มหรือถูกรันโค้ดได้ ช่องโหว่กระทบทั้ง WinRAR, RAR และ UnRAR เวอร์ชันนี้ยังเสริมความปลอดภัยการจัดการ symbolic link ป้องกัน path traversal และอัปเดตไลบรารี 7z ผู้ใช้และผู้ดูแลระบบควรอัปเดตเป็น 7.23 ขึ้นไปโดยเฉพาะระบบที่ประมวลผลอาร์ไคฟ์จากภายนอก

Adobe ออกแพตช์อุดช่องโหว่ระดับร้ายแรงสูงสุดหลายรายการใน ColdFusion และ Campaign Classic รวมช่องโหว่คะแนน CVSS 10.0 ถึง 7 รายการ ส่วนใหญ่นำไปสู่การรันโค้ดจากระยะไกล (RCE) ยังไม่พบการโจมตีจริง Adobe ประกาศเพิ่มความถี่การออก bulletin เป็นเดือนละ 2 ครั้ง เพราะช่องว่างระหว่างเปิดเผยช่องโหว่กับการถูกโจมตีสั้นลงจากการใช้ AI

ช่องโหว่ CVE-2026-8037 คะแนน CVSS 9.8 ใน Progress Kemp LoadMaster เปิดทางให้ผู้โจมตีที่ไม่ต้องล็อกอินรันคำสั่งระดับ root ผ่าน API ได้ สาเหตุมาจากฟังก์ชัน escape_quotes() ไม่ใส่ null terminator ทำให้ระบบอ่านหน่วยความจำเลยขอบเขต บริษัท Progress ออกแพตช์แล้วตั้งแต่ 4 มิถุนายน นักวิจัยเผยแพร่ PoC เต็มรูปแบบเมื่อ 29 มิถุนายน ยังไม่พบการโจมตีจริงแต่ความเสี่ยงสูงมากเพราะอุปกรณ์อยู่ที่ขอบเครือข่าย

GitLab ออกอัปเดตความปลอดภัยให้ทั้ง Community Edition และ Enterprise Edition ปิดช่องโหว่รวม 13 รายการ โดยมี 3 รายการระดับความรุนแรงสูง ตัวที่ร้ายแรงที่สุดคือ CVE-2026-10086 ซึ่งเป็น XSS ใน Analytics dashboard ของ GitLab EE ตามด้วย CVE-2026-10712 ที่เป็น XSS ใน Web IDE ซึ่งผู้โจมตีที่ไม่ต้องยืนยันตัวตนใช้ประโยชน์ได้ และ CVE-2026-12053 ที่เปิดให้เข้าถึงข้อมูลสำคัญ แพตช์อยู่ในเวอร์ชัน 19.1.1, 19.0.3 และ 18.11.6

QNAP ออกอัปเดตความปลอดภัยแก้ช่องโหว่หลายรายการบนระบบปฏิบัติการ NAS ทั้ง QTS, QuTS hero, QuTS cloud และ QVP ในประกาศ QSA-26-10 ช่องโหว่ร้ายแรงรวม command injection (CVE-2025-66273, CVE-2025-66279, CVE-2026-22893) ที่ให้ผู้ดูแลที่ยืนยันตัวตนรันคำสั่งระบบได้ บางตัวรันด้วยสิทธิ์สูง พร้อมช่องโหว่ URL injection ขโมย credential และ buffer overflow ทำให้บริการล่ม ผู้ใช้ควรอัปเดตทันที

บริษัท Cisco ออกแพตช์แก้ไขช่องโหว่ระดับวิกฤต CVE-2026-20181 คะแนน CVSS 9.1 ใน Identity Services Engine (ISE) และ ISE Passive Identity Connector ที่เปิดให้ผู้โจมตีที่มี credential ผู้ดูแลระบบส่ง HTTP request พิเศษเพื่อรันคำสั่งบน OS แล้วยกสิทธิ์เป็น root ได้ ในระบบ single-node ยังอาจทำให้เกิดสภาวะ denial-of-service กีดกันอุปกรณ์ใหม่เข้าเครือข่ายไม่ได้ แพตช์พร้อมแล้วสำหรับ ISE 3.3 Patch 11 และ 3.4 Patch 6