Rce

ผู้โจมตีเริ่มใช้ห่วงโซ่ช่องโหว่ Plex2Shell ใน Plex Media Server โจมตีจริงเพียงวันเดียวหลังรายละเอียดทางเทคนิคและ PoC เผยแพร่เมื่อ 16 ตุลาคม 2569 ห่วงโซ่นี้รวม 4 CVE จนได้ RCE โดยไม่ต้องยืนยันตัวตน honeypot ของนักวิจัย boredhackerblog จับได้ว่าผู้โจมตีวางตัวขุด XMRig และ backdoor พร็อกซี myawesomeproxy โดเมนขุดคริปโตเชื่อมกับโครงสร้างที่ Bitsight เคยโยงกับบอตเน็ต AISURU Plex แก้แล้วในเวอร์ชัน 1.43.3.10861 ตั้งแต่ 3 สิงหาคม 2569

นักวิจัย Quentin Kaiser เปิดเผยช่องโหว่ในโค้ด 802.11 ของ Broadcom ที่อยู่ใน SDK มาตั้งแต่ปี 2553 ผู้โจมตีในระยะสัญญาณ Wi-Fi รันโค้ดบนเราเตอร์ได้โดยไม่ต้องรู้รหัสผ่านหรือทำ WPS ให้ครบ เขาสาธิตกับเราเตอร์ของ Orange Belgium และ Proximus ดึงรหัส Wi-Fi ออกมาและเปิด reverse shell ผ่านเฟรม Wi-Fi ล้วน Broadcom แก้ไม่ครบในปี 2561 ไม่ยอมออก CVE ชิปตระกูล eCos จึงไม่มีทางแก้ ประเมินว่าเฉพาะในเบลเยียมมีอุปกรณ์เสี่ยงกว่า 1.5 ล้านเครื่อง

บริษัท SSD Secure Disclosure เปิดเผยการเชื่อม 3 ช่องโหว่ใน LG webOS ที่ให้ผู้โจมตีในเครือข่ายเดียวกันยึดสิทธิ์ root บนสมาร์ตทีวีได้โดยไม่ต้องใช้ PIN และเจ้าของไม่ต้องทำอะไร จุดเริ่มคือบริการจับคู่แอป ThinQ บนพอร์ต 3001 ที่หลงเชื่อ manifest ซึ่งเซ็นด้วยใบรับรองทดสอบ ก่อนพาแอป cmp-client ไปโหลดหน้าเว็บของผู้โจมตีและฉีดคำสั่งเข้า pmlogd ที่รันเป็น root ยืนยันผลกับทีวี 2 รุ่นบน webOS 7.5.7-25 LG ออกแพตช์แล้ว ยังไม่มี CVE และไม่พบการโจมตีจริง

GitLab ออกแพตช์ความปลอดภัยเมื่อ 12 ตุลาคม 2569 แก้ CVE-2026-97229 คะแนน CVSS 10.0 ใน GitLab CE และ EE ช่องโหว่เป็น integer overflow ในตัวคอมไพล์ regex ของ CI/CD ที่เปิดให้ผู้โจมตีไม่ต้องล็อกอินรันโค้ดบนเซิร์ฟเวอร์ผ่าน regex ที่สร้างขึ้นเฉพาะในค่าตั้ง CI/CD กระทบเวอร์ชัน 19.2 ถึง 19.4 ต้องอัปเดตเป็น 19.2.8, 19.3.4 หรือ 19.4.2 GitLab.com และ GitLab Dedicated แพตช์แล้ว ยังไม่มีรายงานการโจมตีจริง แต่ GitLab เพิ่งแพตช์ช่องโหว่ regex ของ CI/CD ระดับวิกฤตไปเมื่อเดือนกันยายน

IBM ออกแพตช์แก้ 22 ช่องโหว่ใน Verify Identity Access และ Security Verify Access ทั้งแบบ appliance และ container ช่องโหว่ร้ายแรงสุดคือ CVE-2026-78401 และ CVE-2026-78406 คะแนน CVSS 9.8 เป็นปัญหา deserialization ที่เปิดให้รันโค้ดจากระยะไกลโดยไม่ต้องยืนยันตัวตน ยังมีอีก 3 ช่องโหว่คะแนน 9.1 รวมถึงการข้ามการยืนยันตัวตน และช่องโหว่ argument injection กับ path traversal กระทบเวอร์ชัน 10.0 ถึง 10.0.9.2 และ 11.0 ถึง 11.0.3 ไม่มีวิธีบรรเทาชั่วคราว ต้องอัปเดตเป็น 10.0.9.3 หรือ 11.0.3.1

Patchstack ตรวจพบการโจมตีจริงต่อช่องโหว่ CVE-2026-85097 คะแนน CVSS 10.0 ในปลั๊กอิน WordPress Bricksforge ตั้งแต่ 7 ตุลาคม 2569 ผู้โจมตีไม่ต้องล็อกอินก็อัปโหลดไฟล์ภาพที่ซ่อนโค้ด PHP แล้วสั่งให้ปลั๊กอินวางเป็นไฟล์ .php จนรันโค้ดบนเซิร์ฟเวอร์ได้ พบการโจมตีจาก 63 IP แบบอัตโนมัติผ่าน proxy หมุนเวียน กระทบเวอร์ชัน 3.1.8.9 ลงไป แนะนำอัปเดตเป็น 4.0.1 พร้อมกันนี้ยังพบการโจมตีช่องโหว่ XSS ใน Ninja Forms และ WPC Product Bundles เพื่อฝังแบ็กดอร์และแอดมินที่ซ่อนตัว

บริษัท Citrix ออกแพตช์ช่องโหว่ CVE-2026-107406 ใน NetScaler ADC และ NetScaler Gateway คะแนน CVSS 9.5 เป็น memory overflow ที่อาจนำไปสู่ RCE หรือ DoS เงื่อนไขคืออุปกรณ์ต้องตั้งค่าเป็น SAML identity provider หรือ service provider ยังไม่พบหลักฐานการโจมตีจริง ทีม JPMorgan Chase XOR และนาย Maxim Suhanov เป็นผู้รายงาน แก้แล้วในเวอร์ชัน 14.1-73.46 และ 13.1-64.29 ขึ้นไป

นักวิจัยจาก V12 เผยแพร่ exploit AnyPwn ที่ใช้งานได้จริงบน GitHub สำหรับช่องโหว่ RCE ก่อนยืนยันตัวตนใน AnyDesk บน Linux ผู้โจมตีได้สิทธิ์ root ก่อนที่ใครจะกดอนุญาตการเชื่อมต่อ ต้นเหตุคือ integer overflow ขนาด 32 บิตในโปรโตคอล session ซึ่งนำไปสู่ heap overflow AnyDesk แก้ไขในเวอร์ชัน 8.0.3 ตั้งแต่มิถุนายน แต่ changelog เขียนเพียงว่าแก้บั๊กที่ทำให้ crash จนถึงตอนนี้ยังไม่มี CVE และไม่มีประกาศความปลอดภัย

บริษัท Huntress พบผู้โจมตีใช้ช่องโหว่ 2 รายการในซอฟต์แวร์สำรองข้อมูล AhsayCBS ร่วมกัน คือ CVE-2026-105133 ข้ามการยืนยันตัวตน และ CVE-2026-105134 command injection (CVSS 9.3) เพื่อรันคำสั่งระยะไกล การโจมตีเริ่ม 7 ต.ค. และกระทบแล้ว 5 องค์กร ผู้โจมตีฝังเว็บเชลล์และตัวขุด XMRig ที่ปลอมชื่อเป็น edge.exe แม้ NVD ระบุว่าแก้แล้วในเวอร์ชัน 10.3.4 แต่ Huntress ยืนยันว่าเวอร์ชันนี้ยังโดน ช่องโหว่ทั้งคู่จึงเป็นซีโรเดย์ที่ยังไม่มีแพตช์

บริษัท GreyNoise พบการสแกนและพยายามเจาะอุปกรณ์กล้องวงจรปิดในยูเครนพุ่งสูงระหว่าง 21 ก.ย.–1 ต.ค. 2569 เกือบทั้งหมดเล็ง CVE-2021-36260 ช่องโหว่ command injection ในอุปกรณ์ Hikvision ที่ไม่ได้แพตช์ คะแนน CVSS 9.8 กิจกรรมมาจาก 4 IP ซึ่ง 3 ตัวเป็นทางออกของ PureVPN และใช้เทมเพลต Nuclei สาธารณะทดสอบคำสั่งโดยไม่ส่ง payload ช่วงเวลาตรงกับการโจมตีทางอากาศของรัสเซีย แต่ยังไม่มีหลักฐานเชื่อมโยง และยังไม่มีการยืนยันว่ากล้องถูกยึดจริง