Progress-Software

Progress Software ออกแพตช์ 12 ช่องโหว่ใน MOVEit Transfer ผ่านประกาศ Critical Security Bulletin รอบกันยายน 2026 ที่เผยแพร่เมื่อ 15 ต.ค. 2569 ช่องโหว่หลายตัวเปิดทางให้ข้ามการยืนยันตัวตน ยึดเซสชัน และได้สิทธิ์ผู้ดูแล ร้ายแรงสุดคือ CVE-2026-89067 และ CVE-2026-87093 (CVSS 8.8) กระทบ 2025.0.8 ลงไป 2025.1.0-2025.1.5 และ 2026.0.0-2026.0.3 แก้ใน 2025.1.6 และ 2026.0.4 ยังไม่มีรายงานการโจมตีจริง

บริษัท Progress Software เปิดเผยช่องโหว่ 31 รายการใน MarkLogic Server ฐานข้อมูลเอกสารระดับองค์กร มี 5 รายการระดับวิกฤต CVSS 9.6-9.9 โดย CVE-2026-85947 และ CVE-2026-85948 เปิดให้บัญชีที่มีสิทธิ์จัดการเพียงบางส่วนยกระดับเป็นผู้ดูแลระบบถาวร แพตช์อยู่ใน MarkLogic 11.3.7 และ 12.1.0 ตั้งแต่ 10 กันยายน ยังไม่มีรายงานการโจมตีจริงและไม่มีทางเลี่ยง ผู้ดูแลควรอ่านบันทึกการอัปเกรดก่อน เพราะการแก้ไขเปลี่ยนสิทธิ์และค่าเริ่มต้นหลายจุด

บริษัท TantoSec เผยแพร่ห่วงโซ่การโจมตี Telerik UI for ASP.NET AJAX ที่เปลี่ยน padding oracle ใน AES-CBC ให้กลายเป็นการรันโค้ดระยะไกลโดยไม่ต้องยืนยันตัวตน พร้อมปล่อยเครื่องมือและเพย์โหลดสำเร็จรูป Progress ปิดช่องโหว่ไปแล้วตั้งแต่กรกฎาคมในเวอร์ชัน 2026.2.708 และการโจมตีต้องอาศัยค่าตั้งค่าที่ไม่ใช่ค่าเริ่มต้น ยังไม่มีรายงานยืนยันการโจมตีจริงและยังไม่เข้ารายการ KEV ของ CISA แต่คอมโพเนนต์นี้มีประวัติถูกโจมตีหนักผ่านช่องโหว่รุ่นเก่า

CISA เพิ่มช่องโหว่ CVE-2026-8037 ใน Progress Kemp LoadMaster เข้าแคตตาล็อก Known Exploited Vulnerabilities เมื่อ 7 สิงหาคม 2569 หลังมีรายงานการโจมตีจริง ช่องโหว่นี้เป็น command injection ที่เปิดทางให้ผู้โจมตีซึ่งไม่ต้องยืนยันตัวตนรันคำสั่งบนอุปกรณ์ได้ ข้อมูลเทเลเมทรีของ KEVIntel นับความพยายามโจมตีได้ 792 ครั้งใน 41 วัน จาก 65 ไอพีใน 18 ประเทศ ขณะที่หน่วยงานรัฐบาลกลางสหรัฐฯ ถูกกำหนดเส้นตายให้แพตช์ภายใน 10 สิงหาคม

บริษัท Progress Software ยืนยันว่าต้นเหตุที่สั่งลูกค้าปิด ShareFile Storage Zone Controller เมื่อสัปดาห์ก่อนคือช่องโหว่ zero-day ระดับรุนแรงสูง เป็นชนิด path traversal กระทบเวอร์ชัน 5.x และ 6.x ทั้งหมด ผู้ดูแลระบบที่ยืนยันตัวตนแล้วสามารถอ่านไฟล์ เขียนไฟล์อันตราย หรือสำรวจโครงสร้างไฟล์บนเซิร์ฟเวอร์ได้ บริษัทออกแพตช์เวอร์ชัน 5.12.5 และ 6.0.2 แล้ว และจะเปิดเผยหมายเลข CVE ในอีก 2 สัปดาห์ ยืนยันยังไม่พบสัญญาณว่ามีลูกค้าถูกเจาะ

บริษัท Progress Software สั่งให้ลูกค้า ShareFile ปิดเซิร์ฟเวอร์ Windows ที่รัน Storage Zone Controller ทันที โดยยืนยันว่ากำลังรับมือ ‘ภัยคุกคามจากภายนอกที่น่าเชื่อถือ’ และระงับการเข้าถึงบัญชีที่ได้รับผลกระทบชั่วคราว บริษัทระบุยังไม่พบสัญญาณการเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต แต่ไม่เปิดเผยว่าภัยคุกคามคืออะไร การสั่งปิดทั้งระบบแทนการแพตช์บ่งชี้ว่าอาจยังไม่มีตัวแก้ไข กระทบเฉพาะ Storage Zone Controller ไม่ใช่บัญชีคลาวด์ทั่วไป

ช่องโหว่ CVE-2026-8037 คะแนน CVSS 9.8 ใน Progress Kemp LoadMaster เปิดทางให้ผู้โจมตีที่ไม่ต้องล็อกอินรันคำสั่งระดับ root ผ่าน API ได้ สาเหตุมาจากฟังก์ชัน escape_quotes() ไม่ใส่ null terminator ทำให้ระบบอ่านหน่วยความจำเลยขอบเขต บริษัท Progress ออกแพตช์แล้วตั้งแต่ 4 มิถุนายน นักวิจัยเผยแพร่ PoC เต็มรูปแบบเมื่อ 29 มิถุนายน ยังไม่พบการโจมตีจริงแต่ความเสี่ยงสูงมากเพราะอุปกรณ์อยู่ที่ขอบเครือข่าย