Patch

ช่องโหว่ CVE-2026-8037 คะแนน CVSS 9.8 ใน Progress Kemp LoadMaster เปิดทางให้ผู้โจมตีที่ไม่ต้องล็อกอินรันคำสั่งระดับ root ผ่าน API ได้ สาเหตุมาจากฟังก์ชัน escape_quotes() ไม่ใส่ null terminator ทำให้ระบบอ่านหน่วยความจำเลยขอบเขต บริษัท Progress ออกแพตช์แล้วตั้งแต่ 4 มิถุนายน นักวิจัยเผยแพร่ PoC เต็มรูปแบบเมื่อ 29 มิถุนายน ยังไม่พบการโจมตีจริงแต่ความเสี่ยงสูงมากเพราะอุปกรณ์อยู่ที่ขอบเครือข่าย

GitLab ออกอัปเดตความปลอดภัยให้ทั้ง Community Edition และ Enterprise Edition ปิดช่องโหว่รวม 13 รายการ โดยมี 3 รายการระดับความรุนแรงสูง ตัวที่ร้ายแรงที่สุดคือ CVE-2026-10086 ซึ่งเป็น XSS ใน Analytics dashboard ของ GitLab EE ตามด้วย CVE-2026-10712 ที่เป็น XSS ใน Web IDE ซึ่งผู้โจมตีที่ไม่ต้องยืนยันตัวตนใช้ประโยชน์ได้ และ CVE-2026-12053 ที่เปิดให้เข้าถึงข้อมูลสำคัญ แพตช์อยู่ในเวอร์ชัน 19.1.1, 19.0.3 และ 18.11.6

QNAP ออกอัปเดตความปลอดภัยแก้ช่องโหว่หลายรายการบนระบบปฏิบัติการ NAS ทั้ง QTS, QuTS hero, QuTS cloud และ QVP ในประกาศ QSA-26-10 ช่องโหว่ร้ายแรงรวม command injection (CVE-2025-66273, CVE-2025-66279, CVE-2026-22893) ที่ให้ผู้ดูแลที่ยืนยันตัวตนรันคำสั่งระบบได้ บางตัวรันด้วยสิทธิ์สูง พร้อมช่องโหว่ URL injection ขโมย credential และ buffer overflow ทำให้บริการล่ม ผู้ใช้ควรอัปเดตทันที

บริษัท Cisco ออกแพตช์แก้ไขช่องโหว่ระดับวิกฤต CVE-2026-20181 คะแนน CVSS 9.1 ใน Identity Services Engine (ISE) และ ISE Passive Identity Connector ที่เปิดให้ผู้โจมตีที่มี credential ผู้ดูแลระบบส่ง HTTP request พิเศษเพื่อรันคำสั่งบน OS แล้วยกสิทธิ์เป็น root ได้ ในระบบ single-node ยังอาจทำให้เกิดสภาวะ denial-of-service กีดกันอุปกรณ์ใหม่เข้าเครือข่ายไม่ได้ แพตช์พร้อมแล้วสำหรับ ISE 3.3 Patch 11 และ 3.4 Patch 6

บริษัท F5 ออกแพตช์ความปลอดภัยนอกรอบปกติเพื่อแก้ไขช่องโหว่หลายรายการใน NGINX web server รวมถึง 2 ช่องโหว่ระดับวิกฤต CVE-2026-42530 และ CVE-2026-42055 ที่เปิดให้ผู้โจมตีไม่ต้องยืนยันตัวตนทำ denial-of-service หรือรันโค้ดบนระบบ NGINX ที่ใช้ config แบบ non-default ได้ ช่องโหว่เกิดจาก use-after-free และ heap-based buffer overflow ใน HTTP/3 และ proxy module

Microsoft แก้ไขปัญหาที่ทำให้แพตช์ความปลอดภัยประจำเดือนมิถุนายน 2569 (KB5094122) ติดตั้งไม่สำเร็จบน Windows Server 2016 โดยแสดงข้อผิดพลาด 0x80070002 ปัญหาเกิดกับเครื่องที่ไม่ได้ติดตั้งแพตช์เดือนพฤษภาคมก่อน นอกจากนี้ในช่วงไม่กี่สัปดาห์ที่ผ่านมา Microsoft ยังแก้ไขบั๊กอัปเดตอื่นอีกหลายรายการ รวมถึง BitLocker recovery บน Server 2025 และปัญหา WUSA installer ที่ค้างมาตั้งแต่พฤษภาคม 2568

Microsoft ยืนยันอย่างเป็นทางการว่าช่องโหว่ RoguePlanet ใน Microsoft Defender ได้รับหมายเลข CVE-2026-50656 คะแนน CVSS 7.8 เป็นช่องโหว่ยกระดับสิทธิ์ใน Malware Protection Engine และกำลังพัฒนาแพตช์แก้ไข นักวิจัย Chaotic Eclipse ผู้ค้นพบเปิดเผยเพิ่มเติมว่า exploit ทำงานได้แม้ปิด real-time protection นับเป็นช่องโหว่ Defender ตัวที่ 4 ต่อจาก BlueHammer, UnDefend และ RedSun ที่ได้รับแพตช์แล้วทั้งหมด

Fortinet และ Ivanti ออกแพตช์ช่องโหว่หลายรายการรวมถึงระดับ Critical ฝั่ง Fortinet มี CVE-2026-25089 CVSS 9.8 OS command injection ใน FortiSandbox ที่ผู้โจมตีไม่ต้องยืนยันตัวตนรันคำสั่งจากระยะไกลได้ ฝั่ง Ivanti มี CVE-2026-10520 CVSS 10.0 ใน Sentry เปิด RCE สิทธิ์ root และ CVE-2026-10523 CVSS 9.9 authentication bypass สร้างบัญชี admin ได้ ทั้งสองบริษัทยืนยันยังไม่พบการโจมตีจริง ผู้ดูแลระบบควรอัปเดตทันที

บริษัท Apache Software Foundation ปล่อย Apache HTTP Server เวอร์ชัน 2.4.68 เมื่อ 8 มิถุนายน 2569 แก้ 13 ช่องโหว่ครอบคลุมหลายโมดูล ทั้ง use-after-free 2 ตัวใน mod_ldap และ mod_http2, XSS ใน mod_proxy_ftp, heap overflow 4 ตัว และ DoS ที่หมดหน่วยความจำผ่าน HTTP/2 กระทบทุกเวอร์ชันตั้งแต่ 2.4.0 ถึง 2.4.67 ผู้ดูแลควรอัปเกรดทันทีเพราะส่วนใหญ่ไม่มี workaround

Google ปล่อยแพตช์ความปลอดภัย Android ประจำเดือนมิถุนายน 2569 แก้ไขช่องโหว่ 124 รายการ โดยมี CVE-2025-48595 ระดับ High (CVSS 8.4) ที่ถูกโจมตีจริงแล้วแบบจำกัดเป้าหมาย ช่องโหว่นี้อยู่ใน Framework component เปิดทางยกระดับสิทธิ์โดยไม่ต้องมีการโต้ตอบจากผู้ใช้ CISA เพิ่มเข้า KEV แล้ว