Rce

CERT/CC เปิดเผยช่องโหว่สองรายการในไลบรารีเครื่องเล่นวิดีโอ HTML5 ของ Kaltura ที่เปิดทางให้ผู้โจมตีจากระยะไกลอ่านไฟล์บนเซิร์ฟเวอร์และรันโค้ดได้โดยไม่ต้องยืนยันตัวตน ทั้งคู่มีต้นเหตุจากการ deserialize ที่ไม่ปลอดภัยในจุดเดียวกัน ยังไม่มีแพตช์ออกมา และ CERT/CC ระบุว่าติดต่อผู้ผลิตเพื่อประสานงานไม่ได้ ที่หนักกว่านั้นคือปลายทางที่มีปัญหายังเปิดอยู่บนโครงสร้าง CDN แบบใช้ร่วมกันของ Kaltura เอง

ไมโครซอฟท์เปิดเผยช่องโหว่รันโค้ดระยะไกลระดับวิกฤตใน Entra ID หมายเลข CVE-2026-69836 โดยประกาศฉบับแรกทำเครื่องหมายว่าถูกใช้โจมตีจริง ก่อนจะแก้สถานะเป็นไม่เคยถูกใช้โจมตีในวันถัดมา ต้นเหตุคือการแปลงข้อมูลที่ไม่น่าเชื่อถือกลับเป็นออบเจกต์โดยไม่ตรวจสอบก่อน จัดอยู่ในกลุ่ม CWE-502 ผู้โจมตีส่งข้อมูลที่สร้างขึ้นพิเศษไปยังปลายทางที่มีช่องโหว่แล้วรันโค้ดได้โดยไม่ต้องยืนยันตัวตน ช่องโหว่นี้อยู่ในหมวด CVE ของบริการคลาวด์ ไมโครซอฟท์แก้ที่ฝั่งตัวเองแล้ว ลูกค้าไม่มีแพตช์ให้ติดตั้ง

หน่วยงานรับมือเหตุฉุกเฉินทางไซเบอร์ของโปแลนด์ CERT Polska เตือนว่าช่องโหว่ฉีดคำสั่งใน Zimbra Collaboration หมายเลข CVE-2026-73570 คะแนน CVSS 8.9 กำลังถูกใช้โจมตีจริง ช่องโหว่เกิดเฉพาะระบบที่ติดตั้งแพ็กเกจเสริม zimbra-snmp และเปิดการแจ้งเตือน SNMP เอาไว้ ผู้โจมตีที่ไม่ต้องยืนยันตัวตนสามารถส่งคำขอที่สร้างขึ้นพิเศษแล้วรันคำสั่งระบบปฏิบัติการในสิทธิ์ผู้ใช้ zimbra ได้ บริษัท Zimbra ปิดช่องโหว่นี้ไปแล้วในเวอร์ชัน 10.1.20 เมื่อเดือนกรกฎาคม และ CISA เพิ่มเข้าบัญชี KEV เมื่อวันที่ 21 สิงหาคม 2569

นักวิจัยจากบริษัท Endor Labs เปิดเผยช่องโหว่วิกฤตใน isolated-vm ไลบรารีของ Node.js ที่ใช้รันจาวาสคริปต์ที่ไม่น่าเชื่อถือใน V8 Isolate ช่องโหว่ GHSA-864f-rcv7-6rh4 เป็น type confusion ในคลาส ExternalCopy ที่ทำให้โค้ดในแซนด์บ็อกซ์เขียนทับหน่วยความจำของโปรเซสหลักได้ ผลกระทบต่ำสุดคือทำให้โปรเซสล่ม สูงสุดคือยึดการควบคุมการทำงานของโปรเซสหลักจนอาจนำไปสู่การรันโค้ดจากระยะไกล กระทบทุกเวอร์ชันถึง 7.0.0 แก้แล้วใน 6.2.0 และ 7.0.1

บริษัท Wordfence เปิดเผยช่องโหว่ CVE-2026-15748 (CVSS 9.8) ในปลั๊กอิน Forminator Forms ของ WordPress ที่มีการติดตั้งใช้งานกว่า 600,000 แห่ง เปิดทางให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนอัปโหลดไฟล์ตามอำเภอใจรวมถึงไฟล์ PHP จนรันโค้ดและยึดเว็บได้ทั้งไซต์ เงื่อนไขคือฟอร์มต้องมีทั้งฟิลด์ File Upload และฟิลด์ Select กระทบทุกเวอร์ชันถึง 1.56.1 และแก้แล้วใน 1.56.2 ที่ออกเมื่อ 31 กรกฎาคม 2569 พร้อมกันนั้น Wordfence ยังเปิดเผย CVE-2026-15826 ในปลั๊กอิน User Profile Builder ที่เปิดทางล็อกอินเป็นผู้ดูแลระบบ

Roundcube ปล่อยเวอร์ชัน 1.6.18 และ 1.7.3 เพื่ออุดช่องโหว่ความปลอดภัย 11 รายการบนแพลตฟอร์มเว็บเมล ตัวที่ร้ายแรงที่สุดคือช่องโหว่รันโค้ดจากระยะไกลในไดรเวอร์ cmd_learn ของปลั๊กอิน markasjunk ที่ใช้ส่งข้อความไปยังระบบเรียนรู้สแปม นอกจากนี้ยังแก้การบายพาสตัวกรอง SSRF การฉีดคำสั่ง LDAP และ IMAP การฉีดสคริปต์ Sieve และ stored XSS ผู้พัฒนายังไม่พบหลักฐานการโจมตีจริง แต่ขอบเขตและความรุนแรงของชุดช่องโหว่ทำให้ควรอัปเดตโดยเร็ว

ช่องโหว่ SQL Injection ในฟังก์ชัน jsonArrayContains ของ GeoServer ถูกเปิดเผยสู่สาธารณะโดยนักวิจัยอิสระ และถูกโจมตีจริงภายในไม่กี่ชั่วโมงทั้งที่ยังไม่มีแพตช์ บริษัท WatchTowr บันทึกความพยายามโจมตีได้หลายร้อยครั้งจากไอพีต้นทางจำนวนน้อย ช่องโหว่เกิดจากการไม่กรองค่าที่ผู้ใช้ส่งเข้ามาก่อนนำไปประกอบเป็นคำสั่งฐานข้อมูล และบางการตั้งค่านำไปสู่การรันโค้ดจากระยะไกล GeoServer เป็นแพลตฟอร์มโอเพนซอร์สที่ใช้กันแพร่หลายในหน่วยงานรัฐและโครงสร้างพื้นฐาน

WordPress ปล่อยเวอร์ชัน 7.0.4 เพื่อปิดช่องโหว่รันโค้ดจากระยะไกล CVE-2026-65640 ที่กระทบเว็บไซต์ซึ่งประมวลผลรูปภาพด้วยส่วนขยาย Imagick ร่วมกับ Ghostscript ต้นเหตุคือ ImageMagick ตัดสินชนิดไฟล์จากเนื้อในขณะที่ WordPress เชื่อนามสกุลไฟล์ ทำให้ไฟล์ชื่อ .png ที่บรรจุโค้ด PostScript ถูกส่งต่อไปให้ Ghostscript รัน ผู้โจมตีต้องมีบัญชีระดับ Author ขึ้นไปจึงจะใช้ช่องโหว่นี้ได้ เว็บที่เปิดให้ผู้เขียนภายนอกสมัครใช้งานจึงเสี่ยงมากกว่าเว็บที่มีทีมบรรณาธิการปิด

SAP ออกแพตช์อุดช่องโหว่ระดับสูงสุด CVSS 10.0 ใน Commerce Cloud ส่วน Data Hub Adapter ซึ่งเกิดจากการตรวจสอบสิทธิ์และการตรวจสอบข้อมูลนำเข้าที่ไม่เพียงพอ เปิดทางให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนใช้ไคลเอนต์ยืนยันตัวตนที่เป็นค่าเริ่มต้นส่งข้อมูลที่สร้างขึ้นเป็นพิเศษจนรันโค้ดตามใจได้ รอบเดียวกันยังมีช่องโหว่ระดับวิกฤตอีกสามรายการใน Manufacturing Integration and Intelligence และ Application Server ABAP โดยบริษัท Onapsis เตือนว่าบางรายการต้องตั้งค่าเพิ่มหลังติดตั้งแพตช์จึงจะปิดช่องได้จริง

นักวิจัยจากบริษัท A Security เปิดเผยช่องโหว่สามรายการในเครื่องมือวาดบนหน้าจอที่แชร์ของ Zoom ซึ่งเปิดทางให้ผู้ร่วมประชุมส่งข้อมูลผิดรูปแบบไปยึดเครื่องของผู้อื่นได้ทั้งผู้แชร์และผู้ชม โดยเหยื่อไม่ต้องคลิกหรือกดอะไรเลย Zoom ปล่อยแพตช์ไปตั้งแต่เดือนมิถุนายนและกรกฎาคม ราวสองเดือนก่อนการเปิดเผย และยังไม่มีรายงานการโจมตีจริง แต่คะแนนความรุนแรงและเครดิตการค้นพบของผู้ผลิตกับนักวิจัยขัดกันในหลายจุด