Patch

Metabase ออกประกาศเตือนว่าช่องโหว่ระดับรุนแรงสูงสุด CVSS 10.0 ในซอฟต์แวร์ business intelligence ของตนถูกใช้โจมตีจริงในฐานะซีโรเดย์ ช่องโหว่นี้ยังไม่มีหมายเลข CVE และเปิดทางให้ผู้โจมตีระยะไกลที่ไม่ต้องยืนยันตัวตนแทรกคำสั่ง SQL ลงฐานข้อมูลของแอปพลิเคชันจนได้สิทธิ์ผู้ดูแลระบบ ผู้โจมตีสามารถแก้ไขค่ากำหนด ขโมย credential ของฐานข้อมูลที่เชื่อมต่ออยู่ และดึงข้อมูลออกได้ บริษัทผู้ผลิตคอมพิวเตอร์ Framework เป็นหนึ่งในผู้ได้รับผลกระทบ

Google ปล่อยอัปเดต Chrome 151 ชุดใหม่ปิดช่องโหว่ระดับวิกฤตและระดับสูงรวม 41 รายการ ในจำนวนนี้เป็นระดับวิกฤต 6 รายการ ประกอบด้วย use-after-free 5 จุดในคอมโพเนนต์ WebGL, Aura, Skia และ Views กับช่องโหว่เขียนข้อมูลนอกขอบเขตในเอนจินกราฟิก ANGLE อีกหนึ่งจุด ส่วนที่เหลืออีก 35 รายการเป็นระดับสูง โดยกว่าครึ่งเป็นบั๊กความปลอดภัยหน่วยความจำที่อาจนำไปสู่การรันโค้ดตามอำเภอใจ Google ไม่ได้ระบุว่ามีช่องโหว่ใดถูกใช้โจมตีจริง

บริษัท Rockwell Automation ออกแพตช์อุด 4 ช่องโหว่ระดับสูงในซอฟต์แวร์จำลอง Arena Simulation ที่เปิดทางให้รันโค้ดใดๆ ผ่านการเปิดไฟล์อันตราย ทั้งหมดเป็นบั๊ก memory corruption จากการตรวจสอบข้อมูลผู้ใช้ไม่รัดกุมจนเขียนข้อมูลนอกขอบเขต กระทบทุกเวอร์ชันถึง 17.00.00 แก้แล้วใน 17.00.01 ยังไม่พบการโจมตีจริง แต่ Arena ถูกใช้กว้างในห่วงโซ่อุปทาน โรงพยาบาล และผู้รับเหมากลาโหม

บริษัท Intezer ร่วมกับ Kodem Security พบช่องโหว่ใน AWS Kiro IDE ที่ทำให้หน้าเว็บซ่อนข้อความอันตรายสั่ง agent เขียนทับไฟล์ตั้งค่า MCP แล้วรันโค้ดบนเครื่องนักพัฒนาได้ทันที โดยขั้นตอนอนุมัติที่เป็นกลไกความปลอดภัยหลักของ Kiro ถูกข้ามไปอย่างสมบูรณ์ AWS ออกแพตช์แก้ไขแล้วในเวอร์ชัน 0.11.130 แต่ไม่มีการกำหนดหมายเลข CVE นี่เป็นครั้งที่ 3 ในรอบ 1 ปีที่นักวิจัยพบบั๊กรูปแบบเดียวกันใน Kiro

บริษัท F5 ออกแพตช์แก้ช่องโหว่วิกฤต CVE-2026-42533 ใน NGINX ซึ่งเปิดทางให้ผู้โจมตีจากระยะไกลที่ไม่ต้องล็อกอินส่งคำขอ HTTP ที่สร้างพิเศษจนเกิด heap buffer overflow ในโปรเซส worker ผลคือเซิร์ฟเวอร์ล่มหรือรีสตาร์ต และหากปิด ASLR หรือข้ามได้ก็อาจนำไปสู่การรันโค้ดระยะไกล ช่องโหว่กระทบทุกเวอร์ชันตั้งแต่ 0.9.6 ถึง 1.31.2 ย้อนไปถึงปี 2554 แต่เกิดเฉพาะกับการตั้งค่าบางรูปแบบเท่านั้น แก้ไขแล้วใน 1.30.4 และ 1.31.3

CISA สั่งหน่วยงานรัฐกลางสหรัฐฯ แพตช์ช่องโหว่วิกฤต CVE-2026-46817 (CVSS 9.8) ใน Oracle E-Business Suite ที่ถูกโจมตีจริงภายในวันเสาร์ที่ 18 กรกฎาคม ช่องโหว่อยู่ในคอมโพเนนต์ File Transmission ของ Oracle Payments เปิดทางให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนเข้าถึงผ่าน HTTP ยึดระบบได้ Oracle ออกแพตช์ตั้งแต่พฤษภาคม 2026 แต่หลายองค์กรยังไม่อัปเดต Shadowserver พบเซิร์ฟเวอร์เปิดเน็ตกว่า 1,000 เครื่อง

บริษัท Zoom ออกอัปเดตแก้ช่องโหว่ร้ายแรง CVE-2026-53412 (CVSS 9.8) ใน Zoom Workplace สำหรับ Windows ซึ่งเกิดจากการตรวจสอบข้อมูลนำเข้าไม่ถูกต้อง เปิดทางให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนยึดบัญชีได้ผ่านการเข้าถึงเครือข่าย กระทบ Desktop Client, VDI Client และ Meeting SDK บน Windows พร้อมแก้อีก 3 ช่องโหว่ระดับสูงที่เปิดทางยกระดับสิทธิ์ ปัจจุบันยังไม่พบการโจมตีจริง แนะนำให้อัปเดตทันที

Google และ Mozilla ออกอัปเดต Chrome 150 และ Firefox 152 อุดช่องโหว่ระดับวิกฤต โดย Firefox 152.0.6 แก้ช่องโหว่ร้ายแรง 2 รายการใน WebAssembly และ DOM Navigation ที่มีโค้ดโจมตีเผยแพร่สู่สาธารณะแล้ว ส่วน Chrome แก้ 15 ช่องโหว่ รวม Use-After-Free ระดับวิกฤต 2 รายการใน Ozone แม้ยังไม่พบการโจมตีจริง แต่ผู้ใช้ควรรีบอัปเดตเบราว์เซอร์ทันที

SAP ออกแพตช์ประจำเดือนกรกฎาคม 2569 อุดช่องโหว่ร้ายแรงหลายรายการ นำโดย CVE-2026-44747 (CVSS 9.9) ใน NetWeaver Application Server ABAP ที่เปิดให้ผู้โจมตีที่ยืนยันตัวตนแล้วทำหน่วยความจำเสียหายจนเข้าถึงหรือแก้ไขข้อมูลได้ พร้อมอีก 2 ช่องโหว่ CVSS 9.1 ใน Approuter และ Commerce Cloud ยังไม่พบการโจมตีจริงแต่แนะนำให้รีบแพตช์

บริษัท Zimbra เร่งให้ลูกค้าอัปเดตแพตช์อุดช่องโหว่ร้ายแรงใน Classic Web Client ที่เปิดทางรันโค้ดโดยพลการได้ ช่องโหว่นี้เป็นแบบ Stored XSS ที่ทำให้อีเมลซึ่งถูกดัดแปลงเป็นพิเศษสามารถรันสคริปต์อันตรายในเซสชันของผู้ใช้เมื่อเปิดอ่าน หากถูกโจมตีสำเร็จอาจเข้าถึงข้อมูลกล่องจดหมาย ข้อมูลเซสชัน หรือการตั้งค่าบัญชีได้ ช่องโหว่ยังไม่ได้รับหมายเลข CVE และแม้ Zimbra ไม่ได้ระบุว่ามีการโจมตีจริง แต่ช่องโหว่ XSS ใน Zimbra เป็นเป้าหมายยอดนิยมของผู้โจมตีมานานหลายปี แนะนำให้อัปเดตเป็นเวอร์ชัน 10.1.19