Rce

ช่องโหว่ใหม่ CVE-2026-94545 (CVSS 9.5) ใน Next.js เปิดให้ผู้โจมตีรันโค้ดบนเซิร์ฟเวอร์ผ่านฟีเจอร์ ImageResponse ที่ใช้สร้างภาพพรีวิว Open Graph ความเสี่ยงเกิดเมื่อแอปนำค่าที่ผู้โจมตีควบคุมได้ เช่นข้อความจาก URL ไปใส่ในภาพ กระทบ Next.js 16.2.0 ถึง 16.3.5 เมื่อ ImageResponse รันบน Node.js runtime ซึ่งเป็นค่าเริ่มต้น บริษัท Vercel ออกแพตช์แล้วในเวอร์ชัน 16.3.6 ต้นตอที่แท้จริงอยู่ในไลบรารี Satori ที่แปลงเลย์เอาต์ภาพเป็นโค้ด SVG

ช่องโหว่ใหม่ใน WordPress core ชื่อ Comment2Shell (CVE-2026-93485) เปิดให้ผู้ไม่ประสงค์ดีที่ไม่ต้องล็อกอินฝังสคริปต์ผ่านคอมเมนต์ เมื่อแอดมินที่ล็อกอินเปิดหน้านั้น สคริปต์จะทำงานทันทีโดยไม่ต้องคลิก และอาศัยเซสชันแอดมินอัปโหลดปลั๊กอินที่มี web shell เพื่อรันโค้ดบนเซิร์ฟเวอร์ Patchstack ให้คะแนน CVSS 7.1 WordPress แก้ไขในเวอร์ชัน 7.1.1 เมื่อวันที่ 17 กันยายน กระทบเวอร์ชัน 4.7 ถึง 7.1 และยังไม่พบการใช้โจมตีจริง

ช่องโหว่ SharePoint Server ที่ Microsoft จัดว่าเป็นแค่ spoofing คะแนน CVSS 6.5 แท้จริงเปิดทางรันโค้ดจากระยะไกลแบบ authenticated ตามรายละเอียดที่นักวิจัย Viettel Cyber Security เผยแพร่ ช่องโหว่ CVE-2026-65660 กระทบ SharePoint 2016, 2019 และ Subscription Edition โดย NVD ให้คะแนน 8.8 มีแพตช์ตั้งแต่ 11 สิงหาคม ต้นเหตุอยู่ที่การประกอบ Register directive โดยไม่ escape เครื่องหมายคำพูด เปิดให้ลงทะเบียนคลาส .NET ใด ๆ และรันโค้ดผ่าน deserialization ยังไม่พบการใช้โจมตีจริงแต่โค้ดโจมตีถูกเปิดเผยแล้ว

ช่องโหว่ร้ายแรง CVE-2026-90898 (CVSS 9.8) ใน Bifrost เกตเวย์ AI แบบโอเพนซอร์สที่ส่งต่อคำขอไปยังผู้ให้บริการ LLM กว่า 20 ราย เปิดให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนรันคำสั่งบนเซิร์ฟเวอร์เกตเวย์ได้ด้วยคำขอ HTTP เพียงครั้งเดียว ช่องโหว่กระทบ HTTP transport ทุกเวอร์ชันก่อน 2.1.0 เมื่อปิดการยืนยันตัวตนฝั่งจัดการ ซึ่งเป็นค่าเริ่มต้น เนื่องจากเกตเวย์เก็บ API key ของผู้ให้บริการทุกราย การรันคำสั่งได้จึงเท่ากับได้กุญแจเหล่านั้นไปด้วย

บริษัท SolarWinds ออกแพตช์แก้ช่องโหว่ระดับสูง CVE-2026-28326 (CVSS 8.8) ใน Access Rights Manager ที่เปิดทางให้รันโค้ดจากระยะไกลโดยไม่ต้องยืนยันตัวตน ต้นตอมาจากคีย์แบบ static ที่ฝังตายไว้ในโค้ด กระทบ ARM เวอร์ชัน 2026.2 และก่อนหน้า แก้ไขแล้วใน 2026.2.1 บริษัทไม่ได้ระบุว่าถูกโจมตีจริง เครดิตนักวิจัยจาก Armadin การแก้ครั้งนี้ตามหลังการปิดช่องโหว่ Web Help Desk และ Serv-U อีกหลายรายการ

Fortinet เตือนว่าช่องโหว่ร้ายแรง CVE-2026-58138 (CVSS 9.8) ในแพลตฟอร์มจัดการเวิร์กโฟลว์ Orkes Conductor กำลังถูกใช้โจมตีจริง เป็นช่องโหว่รันโค้ดจากระยะไกลโดยไม่ต้องยืนยันตัวตน ผู้โจมตีส่งนิยามเวิร์กโฟลว์ที่ฝังคำสั่ง JavaScript หรือ Python เข้า API เพื่อหลุดออกจาก GraalVM ที่ตั้งค่าเปิดสิทธิ์เต็ม ณ วันที่ 9 กันยายน Fortinet บล็อกความพยายามโจมตี 1,290 ครั้งใน 24 ชั่วโมง เพิ่มขึ้น 132% แนะนำอัปเกรดเป็นเวอร์ชัน 3.30.2

บริษัท Cisco ประกาศแพตช์ช่องโหว่ระดับวิกฤตนับสิบรายการใน Secure Firewall Management Center, Identity Services Engine และ Nexus Dashboard โดย ISE โดนหนักสุดถึง 20 CVE มี 12 รายการระดับวิกฤต และ 3 รายการถูกเปิดเผยต่อสาธารณะแล้ว ฝั่ง FMC แก้ 18 CVE โดยกลุ่ม CVE-2026-20332 มีสองช่องโหว่ที่ถูกใช้โจมตีจริงมาตั้งแต่เดือนสิงหาคม Cisco ยังเตือนช่องโหว่เลี่ยงการยืนยันตัวตนใน ISE ที่ถูกโจมตีเป็น zero-day เร่งให้ผู้ดูแลระบบอัปเดตทันที

บริษัท Helpfeel เจ้าของบริการแชร์ภาพ Gyazo เปิดเผยว่าถูกเจาะระบบผ่านช่องโหว่ที่เซิร์ฟเวอร์อัปโหลดภาพ ทำให้ข้อมูลผู้ใช้ราว 23.62 ล้านรายการรั่ว ทั้งอีเมล ค่าแฮชรหัสผ่าน และโทเค็นเชื่อมบัญชี พร้อม metadata ของรูปภาพอีกราว 490 ล้านรายการที่รวมรหัสภาพซึ่งใช้สร้างลิงก์ ผู้โจมตีรันคำสั่งบนระบบและเข้าถึงฐานข้อมูลได้ แต่ไม่มีข้อมูลบัตรเครดิตหลุด บริษัทเตือนให้ผู้ใช้เปลี่ยนรหัสผ่านทุกบริการที่ใช้ซ้ำ

NLnet Labs เตือนว่า Unbound DNS resolver ทุกเวอร์ชันก่อน 1.26.1 มีช่องโหว่ heap overflow ระดับวิกฤตในตัวตรวจสอบ DNSSEC ติดตามภายใต้ CVE-2026-81642 ผู้โจมตีที่ควบคุมโซน DNS อันตรายและยิงคำถามมายัง resolver สามารถกระตุ้นช่องโหว่จนถึงขั้นรันโค้ดจากระยะไกลได้ เวอร์ชัน 1.26.1 ที่ออกวันเดียวกันแก้ช่องโหว่นี้พร้อมอีก 8 รายการ รวมถึง CVE-2026-82717 ที่รายงานโดยนักวิจัยจาก Anthropic ยังไม่พบการโจมตีจริง แต่กระทบทุกเวอร์ชันจนถึง 1.26.0

บริษัท VulnCheck เตือนว่าช่องโหว่ร้ายแรงใน Issabel Framework เฟรมเวิร์กบนเว็บของซอฟต์แวร์ตู้สาขาโทรศัพท์ (PBX) โอเพนซอร์ส กำลังถูกใช้โจมตีจริง ช่องโหว่รหัส CVE-2026-89026 คะแนน CVSS v3.1 9.8 เกิดจากกุญแจเซ็น JWT แบบ HS256 ที่ฝังตายในโค้ดและเหมือนกันทุกการติดตั้ง ทำให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนปลอมโทเค็นแล้วสั่ง Asterisk รันคำสั่งระบบตามอำเภอใจได้ แพตช์ออกตั้งแต่ 1 สิงหาคม 2569 และ Shadowserver พบการโจมตีจริงครั้งแรกเมื่อ 9 กันยายน ผู้ใช้ควรรีบอัปเดตโดยด่วน