Router

นาย Jacob Baines จาก VulnCheck เปิดเผยว่าเราเตอร์ของบริษัทจีน ZBT ที่ขายแบบไวท์เลเบลทั่วโลกมีแบ็กดอร์เพิ่มอีก 2 ตัวชื่อ SpeakingStone และ DarkLantern ซึ่งเป็นรุ่นก่อนหน้าของ EndlessDoors และถูกฝังในเฟิร์มแวร์มาตั้งแต่ราวปี 2562 DarkLantern เปิดพอร์ต UDP รอรับการเชื่อมต่อเข้ามา ส่วน SpeakingStone ส่งพิกัด GPS ออกไปและรับคำสั่งรวมถึงการปลอมแปลง DNS ได้ VulnCheck พบ DarkLantern ที่เปิดสู่อินเทอร์เน็ต 203 เครื่องใน 3 วัน และดักการเชื่อมต่อของ SpeakingStone ได้ 392 ครั้ง

นักวิจัยจาก FortiGuard Labs เปิดโปงบ็อตเน็ต Linux ตัวใหม่ชื่อ Evooo1Bot ที่ต่อยอดจากซอร์สโค้ด Mirai ที่หลุดสู่สาธารณะ แต่เพิ่มความสามารถเข้าไปอีกมาก ทั้งการสื่อสาร C2 แบบเข้ารหัส ตัวสแกนเดารหัสผ่าน SSH โมดูลรีเลย์ SOCKS ตัวดักข้อมูลยืนยันตัวตน และคลังโค้ดโจมตีช่องโหว่ที่รู้จักแล้วกว่าสิบรายการ เป้าหมายคืออุปกรณ์ที่เปิดสู่อินเทอร์เน็ตอย่างเราเตอร์ ไฟร์วอลล์ และกล้องไอพี เพื่อเปลี่ยนให้เป็นพร็อกซีสำหรับฟอกทราฟฟิกของผู้โจมตี

บริษัท TP-Link เปิดเผยช่องโหว่ระดับสูงหลายรายการในกลุ่มผลิตภัณฑ์เครือข่าย Aginet ที่ผู้ให้บริการอินเทอร์เน็ตเป็นผู้จัดหาและดูแล ครอบคลุมระบบเมช เราเตอร์ อุปกรณ์ PON และโมเด็ม xDSL ช่องโหว่ถูกติดตามในหมายเลข CVE-2025-30237 ถึง CVE-2025-30241 โดยตัวที่รุนแรงที่สุดเปิดให้ผู้โจมตีบนเครือข่ายข้างเคียงข้ามการยืนยันตัวตนและเข้าถึงฟังก์ชันสิทธิ์สูงได้ ที่เหลือครอบคลุมการยกระดับสิทธิ์ คีย์เข้ารหัสฝังในเฟิร์มแวร์ การอ่านไฟล์ และการแทรกคำสั่งระบบปฏิบัติการ

บริษัท VulnCheck เปิดเผยแบ็กดอร์ที่ติดตั้งมาจากโรงงานในเราเตอร์ Zbtlink ของจีนอย่างน้อย 20 รุ่น พบในเฟิร์มแวร์ทั้ง 21 ไฟล์ที่เปิดให้ดาวน์โหลดครอบคลุมกว่า 2 ปี ตัวฝังชื่อ ENDLESSDOORS ปลอมตัวเป็นเธรดของเคอร์เนล Linux แต่จริงๆ รันด้วยสิทธิ์ root และติดต่อเซิร์ฟเวอร์ควบคุมในจีนทุก 35 วินาที โดยไม่มีการยืนยันตัวตนใดๆ ทำให้ใครก็ตามที่ควบคุมเส้นทางเครือข่ายหรือชื่อโดเมนปลายทางได้ สามารถสั่งเปิดเชลล์ root แบบโต้ตอบบนเราเตอร์เหล่านั้น

นักวิจัย MrBruh เปิดเผยช่องโหว่รันโค้ดจากระยะไกลแบบไม่ต้องยืนยันตัวตนในเราเตอร์ Wi-Fi Motorola MR2600 ที่เปิดให้ผู้โจมตีในเครือข่ายภายในอัปโหลดและติดตั้งเฟิร์มแวร์อันตรายโดยไม่ต้องล็อกอิน อาศัยข้อบกพร่อง 2 จุด คือตัวจัดการอัปโหลดบันทึกไฟล์ก่อนเช็กสิทธิ์ และตรรกะยืนยันตัวตนที่จับคู่ URL ไม่สม่ำเสมอจนถูกข้ามได้ เนื่องจากไม่มีการเซ็นเฟิร์มแวร์ด้วยลายเซ็นดิจิทัล ผู้โจมตีจึงสร้างเฟิร์มแวร์ปลอมที่ผ่านการตรวจได้ อุปกรณ์นี้เป็น End-of-life แนะนำให้ปิด remote management และเปลี่ยนอุปกรณ์

ศูนย์ CERT/CC เตือนพบแบ็กดอร์ยืนยันตัวตนที่ไม่มีการบันทึกในเฟิร์มแวร์เราเตอร์ของบริษัท Tenda ผู้ผลิตอุปกรณ์เครือข่ายจีน ช่องโหว่ CVE-2026-11405 เปิดให้ผู้โจมตีข้ามการตรวจรหัสผ่านและยึดหน้าจัดการเว็บระดับผู้ดูแลได้เต็มรูปแบบโดยไม่ต้องมีบัญชีที่ถูกต้อง ฟังก์ชัน login() ใน /bin/httpd จะดึงรหัสผ่านสำรอง sys.rzadmin.password มาเทียบแบบข้อความล้วน กระทบเฟิร์มแวร์หลายรุ่นทั้ง AC10, AC5, AC6, W15E และ FH1201 และยังไม่มีแพตช์

นักวิจัยจาก XLab ของ QiAnXin เปิดเผยบอตเน็ตใหม่ชื่อ RustDuck ที่ยึดเราเตอร์บ้าน กล้อง IP กล่อง Android และเซิร์ฟเวอร์ที่ป้องกันหละหลวม เพื่อรวมเป็นเครือข่ายโจมตี DDoS จุดเด่นคือกำลังถูกเขียนใหม่จากภาษา C เป็น Rust ซึ่งวิเคราะห์ยากขึ้น และมีกลไกหลบการวิเคราะห์ขั้นสูง เช่น ตรวจ sandbox เครื่องมือวิเคราะห์ และ VM แพร่ผ่านรหัสผ่านอ่อนและช่องโหว่เก่าหลายตัวรวมถึง CVE-2017-17215 และ CVE-2025-29635 ใช้ ChaCha20-Poly1305 และ duckdns.org เป็นช่องทางควบคุม

นักวิจัย XLab ของ QiAnXin พบมัลแวร์ตระกูลใหม่ AryStinger เปลี่ยนเราเตอร์บ้านเก่าอย่างน้อย 4,300 ตัวให้เป็นเครือข่ายสอดแนมและพร็อกซี ไม่ใช่บอตเน็ต DDoS ทั่วไป มันโจมตีเราเตอร์ชิป Realtek RTL819X ผ่าน CVE-2013-3307 และ CVE-2016-5681 และ QNAP NAS ผ่าน CVE-2025-11837 อุปกรณ์ติดมัลแวร์ทำหน้าที่สแกน ฟิงเกอร์พรินต์บริการ และซ่อนตำแหน่งผู้โจมตีจริงก่อนการบุกรุก

ศาลกลางแคนาดาเปิดเผยคำพิพากษาเมื่อ 15 มิถุนายน 2026 ว่าหน่วยข่าวกรอง CSIS ได้รับอนุญาตใช้หมายลดภัยคุกคามเป็นครั้งแรก เข้าแก้ไข ลดทอน และทำลายข้อมูลบอตเน็ตในเซิร์ฟเวอร์ เราเตอร์ SOHO และอุปกรณ์ IoT บนแผ่นดินแคนาดา เพื่อตัดอุปกรณ์ออกจากเครือข่ายรัฐต่างชาติ 2 กลุ่ม เป้าหมายรวมถึง Ring doorbell กล้องวงจรปิด และทีวี Wi-Fi คดีนี้คล้ายปฏิบัติการ FBI ล้าง KV-botnet ของ Volt Typhoon

Fortinet พบบอตเน็ตสายพันธุ์ใหม่ของ Gafgyt ชื่อ C0XMO มุ่งเป้าเฟิร์มแวร์เราเตอร์ DD-WRT และลามไปยังอุปกรณ์หลายสถาปัตยกรรมทั้ง ARM, MIPS, PowerPC, x86 มันแพร่ผ่านการเจาะ CVE-2021-27137 ช่องโหว่ buffer overflow ที่รันโค้ดได้โดยไม่ต้องยืนยันตัวตน รองรับการโจมตี DDoS ถึง 19 วิธี ใช้สแกนเนอร์ Python brute-force SSH/Telnet ฝังตัวด้วย cron ทุก 15 นาที และไล่ฆ่ามัลแวร์คู่แข่งกับเครื่องมือ red team บนเครื่องเหยื่อ