Rce

นักวิจัยจาก InfoGuard Labs เปิดเผยช่องโหว่ 7 รายการใน SEPPMail Secure E-Mail Gateway ซึ่งเป็นโซลูชันรักษาความปลอดภัยอีเมลระดับองค์กร ช่องโหว่ร้ายแรงที่สุดคือ CVE-2026-2743 ที่มีคะแนน CVSS 10.0 เต็ม ทำให้ผู้โจมตีสามารถรันโค้ดจากระยะไกลและอ่านอีเมลทั้งหมดที่ผ่านระบบได้ ช่องโหว่ทั้งหมดถูกแก้ไขแล้วในเวอร์ชัน 15.0.4

Palo Alto Networks เปิดเผยช่องโหว่ zero-day CVE-2026-0300 ใน PAN-OS ที่ถูกโจมตีจริงตั้งแต่ 9 เมษายน 2569 เป็น buffer overflow ใน User-ID Authentication Portal ทำให้ผู้โจมตีรันโค้ดจากระยะไกลได้สิทธิ์ root โดยไม่ต้องยืนยันตัวตน Unit 42 ระบุว่าเป็นฝีมือกลุ่ม nation-state CL-STA-1132 ที่ฝัง EarthWorm และ ReverseSocks5 เข้าระบบ CISA เพิ่มเข้า KEV catalog แล้ว

พบช่องโหว่ CVE-2026-23918 (CVSS 8.8) ใน mod_http2 ของ Apache HTTP Server 2.4.66 เป็นปัญหา double free ในส่วน stream cleanup ที่ทำให้ผู้โจมตีสามารถ crash worker process ได้ง่าย และในบางเงื่อนไขสามารถรันโค้ดอันตรายได้ ช่องโหว่นี้อยู่ใน default build ของ Apache กระทบเซิร์ฟเวอร์จำนวนมากทั่วโลก แพตช์แล้วในเวอร์ชัน 2.4.67

F5 ออกแพตช์ประจำไตรมาสพฤษภาคม 2569 แก้ไข 51 ช่องโหว่ใน BIG-IP, BIG-IQ และ NGINX มีระดับ High 19 ตัว ตัวร้ายแรงสุดคือ CVE-2026-42945 (CVSS 9.2) ใน NGINX rewrite module ที่ทำ DoS/RCE ได้ นอกจากนี้ยังมี command injection หลายตัวใน BIG-IP ที่ต้อง authentication แต่อาจถูก chain กับช่องโหว่อื่น

Microsoft ออกแพตช์ประจำเดือนพฤษภาคม 2569 แก้ไข 138 ช่องโหว่ โดย 30 ตัวอยู่ระดับ Critical ไฮไลต์คือ CVE-2026-41089 ใน Netlogon และ CVE-2026-41096 ใน Windows DNS Client ทั้งสองมีคะแนน CVSS 9.8 เป็น wormable RCE ที่โจมตีได้จากระยะไกลโดยไม่ต้อง login ผู้ดูแลระบบต้องแพตช์ทันที

พบช่องโหว่วิกฤต CVE-2026-42945 (CVSS 9.2) ใน NGINX rewrite module ที่ซ่อนอยู่นาน 18 ปี ผู้โจมตีสามารถรันโค้ดจากระยะไกลได้ด้วย HTTP request เพียงครั้งเดียว — ผู้ดูแลเว็บเซิร์ฟเวอร์ควรอัปเดตทันที