Rce

บริษัท Dell เรียกร้องให้ลูกค้าแพตช์ช่องโหว่ CVE-2026-86360 (CVSS 9.6) ในเครื่องมือ Dell System Update (DSU) ที่ใช้ติดตั้ง BIOS เฟิร์มแวร์ และซอฟต์แวร์บนเซิร์ฟเวอร์ PowerEdge ช่องโหว่เป็น path traversal ที่ผู้โจมตีจากระยะไกลใช้ได้โดยไม่ต้องยืนยันตัวตน และ Dell ระบุว่าต่อยอดไปสู่การรันโค้ดด้วยสิทธิ์ root ได้ รอบนี้ Dell แก้ช่องโหว่รวม 5 รายการในเวอร์ชันก่อน 2.3.0.0 รวมถึงการยกระดับสิทธิ์ในเครื่องและการตรวจใบรับรองผิดพลาด ทางแก้คืออัปเดตเป็น 2.3.0.0 ขึ้นไป และยังไม่มีรายงานการโจมตีจริง

บริษัท VulnCheck พบความพยายามโจมตีช่องโหว่ CVE-2026-61500 (CVSS 9.3) ใน Rejetto HTTP File Server เวอร์ชัน 3.0.0 ถึง 3.2.0 แล้ว ช่องโหว่เกิดจากการสร้างคีย์ลงนามคุกกี้เซสชันด้วย Math.random() ซึ่งไม่ปลอดภัยเชิงการเข้ารหัส ผู้โจมตีกู้คีย์จากการตอบกลับตอนล็อกอินเพียงไม่กี่ครั้ง แล้วปลอมเซสชันผู้ดูแลระบบเพื่อรัน JavaScript ฝั่งเซิร์ฟเวอร์ได้ แพตช์ออกในเวอร์ชัน 3.2.1 ตั้งแต่กรกฎาคม แต่ PoC สาธารณะเพิ่งปรากฏปลายกันยายน กิจกรรมที่พบยังเป็นการสอดแนมขนาดเล็กจาก IP เดียวในจีน

สถาบัน DIVD ของเนเธอร์แลนด์ถูกเจาะเมื่อ 21 กันยายน 2569 ด้วยการโจมตีที่องค์กรเชื่อว่าขับเคลื่อนด้วย agentic AI ผู้โจมตีใช้ช่องโหว่ zero-day 2 ตัวในระบบ ticketing โอเพนซอร์ส Zammad ซึ่งต่างได้คะแนน CVSS 9.4 ช่องโหว่หนึ่งเปิดทาง RCE โดยไม่ต้องยืนยันตัวตน อีกช่องโหว่ยกสิทธิ์เป็น root ผู้โจมตีขยายไปบริการอื่นและนำข้อมูลออกได้ แต่การแบ่งส่วนเครือข่ายหยุดไว้ได้ Zammad เวอร์ชัน 6.3.0–6.5.4 ได้รับผลกระทบ และ DIVD แนะนำให้อัปเกรดเป็นเวอร์ชัน 7 หรือปิดระบบ

WatchGuard ออกแพตช์แก้ช่องโหว่ 15 รายการใน Fireware OS รวมถึงช่องโหว่ระดับวิกฤต CVE-2026-86131 (CVSS 9.2) ที่เป็น code injection ในการจัดการการตั้งค่า BOVPN over TLS ผู้โจมตีที่ควบคุมเซิร์ฟเวอร์ VPN ปลายทางอาจรันคำสั่งด้วยสิทธิ์ root บนอุปกรณ์ Firebox ที่เชื่อมต่อได้ แพตช์ยังแก้ช่องโหว่ระดับสูงอีก 13 รายการและออกตามหลังการแก้ช่องโหว่ Access Point อีกหลายตัวหนึ่งวัน WatchGuard ระบุว่ายังไม่พบการโจมตีจริง

Microsoft เปิดเผยว่าผู้โจมตีนำช่องโหว่ Zimbra Collaboration Suite ที่แพตช์แล้วมาใช้วาง web shell และเข้าถึงข้อมูลกล่องจดหมาย ช่องโหว่ CVE-2026-73570 (CVSS 8.9) เป็น OS command injection แบบไม่ต้องยืนยันตัวตน ทำงานเมื่อเปิด SNMP notification และติดตั้งแพ็กเกจ zimbra-snmp โดยกระตุ้นได้ผ่านคำขอ SMTP ที่ประดิษฐ์ขึ้น หลังเจาะสำเร็จผู้โจมตีวาง JSP web shell ยกระดับสิทธิ์ และขโมยกุญแจยืนยันตัวตนรวมถึงข้อมูลในฐานข้อมูล แพตช์แล้วในเวอร์ชัน 10.1.20 และถูกเพิ่มเข้า KEV ของ CISA

Datadog Security Labs เผยช่องโหว่ RCE ใน OpenCode เอเจนต์เขียนโค้ด AI โอเพนซอร์ส (GHSA-632h-h47v-g4x4) ที่เปิดทางให้เว็บอันตรายรันคำสั่งบนเครื่องนักพัฒนา ต้นเหตุคือ content-type confusion ใน /global/upgrade API รวมกับการรับ target อัปเกรดที่ผู้โจมตีควบคุมได้ ผู้โจมตีส่งฟอร์ม HTML แบบ text/plain เลี่ยง CORS ชี้ปลายทางไปยัง tarball มุ่งร้ายที่รัน preinstall script เพียงเหยื่อเปิดหน้าเว็บขณะรัน OpenCode serve/web กระทบเวอร์ชัน 1.14.30–1.18.21 ที่ติดตั้งผ่าน npm/pnpm/Bun แก้แล้วใน 1.18.22

บริษัท SolarWinds ออกแพตช์แก้ช่องโหว่ร้ายแรง 2 รายการใน Observability Self-Hosted ที่เปิดทางให้รันโค้ดจากระยะไกลโดยไม่ต้องยืนยันตัวตน รายการแรก CVE-2026-28324 (CVSS 9.8) เป็นการตรวจสอบความสมบูรณ์ที่ไม่เพียงพอ อีกรายการ CVE-2026-28325 (CVSS 8.8) เป็นช่องโหว่ deserialization ข้อมูลที่ไม่น่าเชื่อถือ กระทบทุกเวอร์ชันถึง 2026.2.2 แก้ไขแล้วใน 2026.2.3 บริษัทไม่ระบุว่าถูกโจมตีจริง เครดิตนายไค หวง จาก Armadin คนเดียวกับที่รายงานช่องโหว่ ARM สัปดาห์ก่อน

แฮ็กเกอร์เริ่มโจมตีช่องโหว่ร้ายแรงใน WordPress CVE-2026-87902 (CVSS 9.2) ภายในไม่กี่ชั่วโมงหลังเปิดเผยต่อสาธารณะ. ช่องโหว่เปิดให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนรันโค้ดจากระยะไกล ผ่าน get_page_template() ที่ include ไฟล์ .php นอก theme ได้. การใช้ประโยชน์ต้องเข้าเงื่อนไขสองข้อเกี่ยวกับ theme และไฟล์เป้าหมาย. Previdian บันทึกความพยายามโจมตี 68 ครั้งตั้งแต่ 23 กันยายน. แนะนำอัปเดตเป็น WordPress 7.1.2 หรือเวอร์ชันที่แก้แล้วทันที.

บริษัท Adobe ออกแพตช์อุดช่องโหว่รวม 36 จุด โดยมีจุดร้ายแรงระดับ critical ใน Adobe Connect และ Experience Manager (AEM) Forms. Connect แก้ 9 จุด รวม 6 จุด critical ที่นำไปสู่การรันโค้ดและยกระดับสิทธิ์. AEM Forms แก้ 6 จุด รวม 3 จุด critical ทั้ง incorrect authorization และ SSRF. ทั้งสองชุดได้เรตติ้ง priority 2 ควรอัปเดตภายใน 30 วัน. Adobe ระบุยังไม่พบการใช้โจมตีจริง.

บริษัท F5 เตือนว่ามีการใช้ช่องโหว่ร้ายแรง CVE-2026-94127 ใน BIG-IP Access Policy Manager โจมตีจริง เปิดให้รันโค้ดบนระบบ BIG-IP โดยไม่ต้องล็อกอิน ช่องโหว่กระทบเฉพาะระบบที่ตั้ง APM เป็นเซิร์ฟเวอร์อนุมัติสิทธิ์ OAuth เป็น heap-based buffer overflow คะแนน CVSS 9.8 CISA เพิ่มเข้าแคตตาล็อก KEV เมื่อ 22 กันยายนและสั่งหน่วยงานรัฐบาลกลางแก้ภายใน 25 กันยายน F5 ออก engineering hotfix แล้วพร้อมมาตรการบรรเทาแบบ iRule