Reliaquest

ReliaQuest รายงานว่ากลุ่มแรนซัมแวร์หลายกลุ่ม รวมถึง Qilin และ Settra ใช้ช่องโหว่ CVE-2026-0257 (CVSS 7.8) ใน PAN-OS GlobalProtect และ Prisma Access ตั้งเซสชัน VPN โดยไม่ต้องมีรหัสผ่าน หลังเข้าเครือข่ายพบการใช้ Cobalt Strike, BloodHound และ SharpHound ช่องโหว่กระทบเฉพาะระบบที่เปิด authentication override cookie ร่วมกับใบรับรองบางแบบ Palo Alto แนะนำให้อัปเดตและสร้างใบรับรองใหม่สำหรับ cookie โดยเฉพาะ ReliaQuest เตือนว่าแพตช์อย่างเดียวไม่ตัดสิทธิ์ที่ได้ไปก่อน ต้องยุติเซสชันทั้งหมดและสืบสวนต่อ

ReliaQuest พบผู้โจมตียึดเซิร์ฟเวอร์ Windows ได้ภายในไม่ถึง 24 ชั่วโมงผ่าน endpoint ส่งงานของแอป Tomcat ที่ใช้ Spring Batch โดยไม่ต้องล็อกอิน ผู้โจมตีรันโค้ดผ่าน Nashorn แล้วดึงผลลัพธ์จากข้อความ error ทีละ 1,800 ไบต์ ก่อนอ่านรหัสผ่าน SQL Server เปิด xp_cmdshell และใช้ GodPotato ยกสิทธิ์เป็น SYSTEM คำสั่งหลายร้อยรายการห่างกันราว 6 วินาที และพบแดชบอร์ด Cairn บน IP ต้นทาง ReliaQuest มั่นใจสูงว่าเอเจนต์ LLM ทำงานส่วนใหญ่ แต่ยังระบุโมเดลและระดับการควบคุมของมนุษย์ไม่ได้

กลุ่ม ShinyHunters โพสต์ภาพหน้าจอบัญชี Okta ของพนักงานบริษัท ReliaQuest พร้อมข้อความท้าทายว่า “ใครล่าใครกันแน่” และเพิ่มชื่อบริษัทเข้าเว็บไซต์ปล่อยข้อมูล แต่รายงานหลังเหตุการณ์ของ ReliaQuest ระบุว่าผู้โจมตีได้เพียงสิทธิ์อ่านอย่างเดียวบนพอร์ทัล SSO และความพยายามเคลื่อนที่ในเครือข่ายถูกสกัดทั้งหมด บรรณาธิการ Dark Reading ชี้ว่านี่คือรูปแบบการโจมตีสไตล์ Lapsus$ ที่เน้นการอวดอ้างมากกว่าความเสียหายจริง