Remote-Code-Execution

Defused Cyber พบผู้โจมตีเริ่มยิงทดสอบช่องโหว่ CVE-2026-101767 คะแนน CVSS 9.8 ใน Oracle E-Business Suite ที่ decoy ของตนเมื่อ 27 ตุลาคม 2569 ราวหนึ่งสัปดาห์หลัง Oracle แพตช์ ช่องโหว่เป็น SQL injection ที่ไม่ต้องล็อกอินใน servlet Thin Client Framework และต่อยอดเป็นการรันคำสั่งบนเซิร์ฟเวอร์ได้ ผู้โจมตีอ่านหรือแก้ข้อมูลการเงิน เงินเดือน และ HR ได้ EBS เคยถูกโจมตีจริงด้วยช่องโหว่วิกฤตมาแล้ว 2 ตัวในปีที่ผ่านมา ผู้ดูแลควรติดตั้งแพตช์ทันที หรือถอด /OA_HTML/AppsTCFServer ออกจาก allowlist

Varonis Threat Labs ร้อยฟีเจอร์ในตัวของ PostgreSQL ยกระดับบัญชี snowflake_admin ที่ไม่ใช่ superuser บน Snowflake Postgres จนรันคำสั่งระดับระบบปฏิบัติการได้ เส้นทางเริ่มจากสิทธิ์ CREATEROLE ผ่าน pg_cron และฟังก์ชัน SECURITY DEFINER สู่สิทธิ์ superuser แล้วผูกฟังก์ชัน C ในตัวกลับมาเพื่อแก้ archive_command ทั้งที่ Snowflake บล็อกช่องทางเหล่านั้นไว้แล้ว Snowflake แก้ฝั่งเซิร์ฟเวอร์ก่อนเผยแพร่ ลูกค้าไม่ต้องทำอะไรเพิ่ม การทดสอบอยู่ในสภาพแวดล้อม single-tenant ของนักวิจัยเอง

Cisco เตือนว่ามีการโจมตีช่องโหว่ CVE-2026-76519 (CVSS 9.8) ใน Secure Email Gateway ที่ให้ผู้ส่งอีเมลซึ่งไม่ต้องล็อกอินเขียนไฟล์ลงระบบปฏิบัติการผ่านไฟล์แนบที่สร้างขึ้นเฉพาะ และอาจรันคำสั่งระดับ root ได้ เครื่องที่เสี่ยงต้องเปิด File Reputation และใช้ Content Scanner Tools ต่ำกว่า 25.3.0.5525 แพตช์มีตั้งแต่ 14 ก.ย. ใน AsyncOS 15.5.5-014 และ 16.5.0-780 ไม่มี workaround นับเป็นช่องโหว่ตัวที่สองของอุปกรณ์นี้ที่ถูกโจมตีในรอบเดือน

Drupal ออกแพตช์ CVE-2026-108097 ช่องโหว่ระดับ critical ในโมดูล Field UI ของ core ที่อาจทำให้ผู้โจมตีรันโค้ดบนเซิร์ฟเวอร์ได้ แก้แล้วในเวอร์ชัน 11.4.10, 11.3.19 และ 10.6.19 ช่องโหว่นี้เข้าถึงผ่าน core อย่างเดียวไม่ได้ ต้องอาศัยโมดูลเสริม และมีอย่างน้อยหนึ่งเส้นทางที่ไม่ต้องล็อกอิน เว็บไซต์ราว 151,000 แห่งหรือ 28.5% ยังอยู่บนเวอร์ชันที่หมดอายุและไม่มีแพตช์ เว็บไซต์ที่ยังอัปเดตไม่ได้ให้ถอนโมดูล field_ui ออกชั่วคราว

Next.js ออกแพตช์นอกรอบเมื่อ 14 ต.ค. 2569 แก้ 2 ช่องโหว่รันโค้ดโดยไม่ต้องยืนยันตัวตนระดับ critical คะแนน 9.5 และช่องโหว่ DoS ระดับสูงอีก 1 รายการ ตัวแรกอยู่ใน React Server Components กระทบแอป Next.js 16 ที่เปิด Cache Components ตัวที่สองคือ CVE-2026-96889 ใน librsvg ที่ Next.js ใช้ผ่านแพ็กเกจ sharp เพื่อจัดการภาพ SVG บน Linux แบบ glibc แก้ไขแล้วในเวอร์ชัน 16.4.1 และ 15.5.28 แต่สาย 15 อาจยังค้าง sharp เวอร์ชันเก่าที่มีช่องโหว่ และสองช่องโหว่ยังไม่มี CVE ทำให้ npm audit ไม่เตือน

Langflow แพลตฟอร์มโอเพนซอร์สสร้างแอป AI มีช่องโหว่ CVE-2026-105740 คะแนน CVSS 9.9 ในเวอร์ชันก่อน 1.9.0 ที่ถูกโจมตีจริงแล้ว ผู้ใช้ที่ล็อกอินได้ แม้ไม่ใช่แอดมิน เพิ่ม MCP server แบบ stdio ที่ใส่คำสั่งอะไรก็ได้ แล้วคำสั่งจะรันทันทีเมื่อเรียกดูรายการเซิร์ฟเวอร์ honeypot ของ Previdian บันทึกความพยายามโจมตี 1,706 ครั้งจาก 28 IP ตั้งแต่ 19 ก.ย. 2569 ผู้โจมตีล็อกอินด้วยรหัสผ่านที่เดาง่ายแล้วพยายามดึง secret key และรหัสผ่าน superuser ผู้ดูแลควรอัปเดต ปิด auto-login และไม่เปิด Langflow สู่อินเทอร์เน็ต

โครงการ curl ออก 8.23.0 เมื่อ 14 ต.ค. 2569 แก้ CVE-2026-92392 ช่องโหว่ use-after-free ระดับ High ในการอัปโหลดผ่าน HTTP/2 กระทบ curl และ libcurl 8.12.0 ถึง 8.22.0 เซิร์ฟเวอร์ที่ผู้โจมตีควบคุมทำให้หน่วยความจำไคลเอนต์เสียหายได้ และผู้รายงานมี PoC รันโค้ดบนเครื่องที่อัปโหลด แต่ต้องรู้รายละเอียดบิลด์และหน่วยความจำของเป้าหมายแบบเจาะจง curl ประเมินว่าผลที่น่าจะเกิดมากกว่าคือโปรแกรมแครช ยังไม่มีรายงานการโจมตีจริง

มูลนิธิ Apache ออกประกาศแก้ช่องโหว่ 4 รายการใน Apache Struts ครอบคลุม RCE, DoS และข้อมูลรั่วข้ามผู้ใช้ CVE-2026-104711 เป็น OGNL injection ใน RESTful action mapper รุ่นเก่าที่อาจนำไปสู่การรันโค้ดระยะไกล ส่วน CVE-2026-104713 ระดับ Important ทำให้ REST plugin อ่าน request body ไม่จำกัดขนาดจนหน่วยความจำ heap หมด อีกสองรายการคือ BigDecimal ที่ทำให้คำขอเล็กได้คำตอบใหญ่ และ formatter ที่แชร์กันจนข้อมูลผู้ใช้ปนกัน แนะนำอัปเดตเป็น Struts 7.4.0 หรือ 6.12.0 ขึ้นไป

นักวิจัยแสดงว่าไฟล์สเปรดชีตอันตรายทำให้ LibreOffice และ Apache OpenOffice รันโค้ดของผู้โจมตีทันทีที่เปิดไฟล์ โดยไม่มีคำเตือนแบบที่แสดงก่อนรันแมโคร การโจมตีร้อยฟีเจอร์ database range ไฟล์ฐานข้อมูล ODB และไดรเวอร์ JDBC ที่ดาวน์โหลดจากระยะไกล และทำงานได้เมื่อเปิดใช้ Java เท่านั้น LibreOffice แก้ CVE-2026-63277 แล้วในเวอร์ชัน 26.2.5 และ 26.8.0 ขณะที่ Apache OpenOffice ยังไม่มีแพตช์ CVE-2026-59265 ซึ่งกระทบถึงเวอร์ชัน 4.1.16 ยังไม่มีรายงานการโจมตีจริง แต่มี PoC เผยแพร่แล้ว

CISA เพิ่ม 2 ช่องโหว่วิกฤตใน Citrix NetScaler ADC และ Gateway เข้า KEV หลังพบถูกใช้โจมตีทั่วโลก คือ CVE-2026-88771 (CVSS 9.5) improper input validation ให้รันคำสั่งได้โดยไม่ต้องยืนยันตัวตน และ CVE-2026-88772 (CVSS 9.5) buffer error ที่นำไปสู่ RCE หรือ DoS โดย 88772 ต้องเปิด DTLS ซึ่งเปิดเป็นค่าเริ่มต้นบน VPN vserver บริษัท watchTowr สาธิตว่า 88771 รันโค้ดเป็น root ผ่าน endpoint pre-auth ได้ ขณะ Unit 42 พบเครื่องเปิดสู่สาธารณะกว่า 50,277 เครื่อง