Silent-Patch

บริษัท V12 เปิดเผยเมื่อ 22 ตุลาคม 2569 ว่าพบ 25 ช่องโหว่ใน SDK ของ x402 มาตรฐานชำระเงินผ่าน HTTP 402 สำหรับ AI agent โดย 3 จุดอยู่ในระดับวิกฤต จุดแรกคือไคลเอนต์ไม่มีเพดานจ่าย ทำให้ API อันตรายขอเงินเต็มยอดกระเป๋าได้ จุดที่สองคือ facilitator ฝั่ง Solana ใน TypeScript ยอมรับธุรกรรม approve แทนการโอน และจุดที่สามคือ agent ลงนามล็อกอินให้เว็บไซต์อื่น ทั้งหมดแก้แล้วเมื่อ 18 สิงหาคม แต่ไม่มี advisory ทำให้ npm audit และ PyPI ไม่เตือน

แฮ็กเกอร์ใช้ช่องโหว่ CVE-2026-110447 ในแอป Collabora Online Built-in CODE Server บน Nextcloud ฝัง web shell บนเซิร์ฟเวอร์ตั้งแต่ 10 ก.ย. 2569 ช่องโหว่อยู่ใน proxy.php ที่นำ path ของคำขอไปใส่ในคำสั่ง bash ทำให้รันคำสั่งได้โดยไม่ต้องยืนยันตัวตน แต่เฉพาะช่วงที่เซิร์ฟเวอร์ CODE ในเครื่องไม่ได้ทำงาน ผู้โจมตีค้นหาไฟล์รหัสผ่านและกระเป๋าคริปโตบนเซิร์ฟเวอร์ Collabora แก้ไขในเวอร์ชัน 26.4.303 ตั้งแต่ 11 ก.ย. แต่ออก CVE เมื่อ 14 ต.ค. และย้ำว่าปิดแอปไม่พอ ต้องอัปเดตหรือถอนออก

นักวิจัยจาก V12 เผยแพร่ exploit AnyPwn ที่ใช้งานได้จริงบน GitHub สำหรับช่องโหว่ RCE ก่อนยืนยันตัวตนใน AnyDesk บน Linux ผู้โจมตีได้สิทธิ์ root ก่อนที่ใครจะกดอนุญาตการเชื่อมต่อ ต้นเหตุคือ integer overflow ขนาด 32 บิตในโปรโตคอล session ซึ่งนำไปสู่ heap overflow AnyDesk แก้ไขในเวอร์ชัน 8.0.3 ตั้งแต่มิถุนายน แต่ changelog เขียนเพียงว่าแก้บั๊กที่ทำให้ crash จนถึงตอนนี้ยังไม่มี CVE และไม่มีประกาศความปลอดภัย