Supply-Chain

บริษัท TeamUpdraft ผู้พัฒนา UpdraftPlus ปลั๊กอินแบ็กอัป WordPress ที่ติดตั้งกว่า 4 ล้านเว็บ ยืนยันว่าเว็บไซต์ teamupdraft.com ถูกเจาะช่วง 17–18 ตุลาคม 2569 ผู้โจมตีอาจได้ฐานข้อมูลลูกค้า รวมถึงคีย์เชื่อมต่อ UpdraftCentral, UpdraftVault และ UpdraftClone Patchstack พบผู้โจมตีใช้คีย์ UpdraftCentral ที่ถูกต้องสั่งติดตั้งปลั๊กอินแบ็กดอร์ต่อเนื่อง 18 ชั่วโมงในวันที่ 18–19 ตุลาคม แบ็กดอร์สร้างบัญชีสิทธิ์สูงที่ยังอยู่แม้ลบปลั๊กอินแล้ว เจ้าของเว็บควรอัปเดตและตรวจบัญชีกับปลั๊กอินแปลกปลอม

กระทรวงความมั่นคงแห่งมาตุภูมิสหรัฐฯ (DHS) สั่งหน่วยงานพลเรือนของรัฐบาลกลางถอดผลิตภัณฑ์ AI ของ DeepSeek ออกจากระบบไอทีและหยุดจัดซื้อ คำสั่งออกภายใต้กฎหมาย FASCSA ปี 2561 ตามข้อเสนอของสภาความมั่นคงการจัดซื้อจัดจ้างของรัฐบาลกลาง ข้อกำหนดการถอดครอบคลุมผลิตภัณฑ์และบริการของบุคคลที่สามที่สร้างบน DeepSeek ด้วย หน่วยงานจึงต้องตรวจเทคโนโลยีเบื้องหลัง ไม่ใช่ดูแค่ชื่อผู้ขาย คำสั่งนี้ไม่ได้ห้ามบุคคลทั่วไปใช้ DeepSeek

ผู้โจมตีใช้บัญชี GitHub ของผู้ร่วมพัฒนาที่ถูกยึด สลับไฟล์ดาวน์โหลดของ OVHcloud CLI รุ่น v0.11.0 ถึง v0.15.0 เป็นไบนารีขโมยความลับบนดิสก์เมื่อ 19 ตุลาคม 2569 ไฟล์ปลอมค้างอยู่นานสูงสุด 94 นาทีบน macOS, Linux และ Windows x86_64 พร้อมแก้ checksums.txt ให้ค่าแฮชตรงกัน ผู้ติดตั้งผ่าน Homebrew, go install หรือ Docker ไม่ได้รับผลกระทบ OVHcloud ออก v0.16.0 แบบ immutable release และเปิดใช้ release immutability แล้ว OpenSourceMalware โยงบัญชีที่ถูกยึดกับแคมเปญ GlassWorm แต่ยอมรับว่าเป็นเพียงการอนุมาน

ConnectWise ปิด application identity 7 ตัวและระงับบริการ Cloud Backup หลังผู้โจมตีที่ยังไม่ทราบตัวตนได้ข้อมูลรับรองของแอปและใช้เข้า Microsoft 365 tenant ของลูกค้า บริษัทพบเหตุเมื่อ 14 ต.ค. 2569 และยังไม่ทราบว่าข้อมูลรับรองหลุดอย่างไร Huntress พบเกือบ 1,000 tenant มีการล็อกอินจาก IP ของผู้โจมตี สำเร็จ 300 แห่ง และพบการใช้แอป Teams ในทางมิชอบจริง รอบที่สองเล็ง 16 tenant ในภาคนโยบาย ความมั่นคง การค้า และแร่ธาตุสำคัญแต่ไม่สำเร็จ การปิดแอปไม่ได้ย้อนการเปลี่ยนแปลงที่ผู้โจมตีทำไว้ใน tenant

ศาลล้มละลายของรัฐบาลกลางสหรัฐฯ ทั่วประเทศส่งหมายแจ้งผ่าน Bankruptcy Noticing Center ไม่ได้มานานกว่าหนึ่งสัปดาห์ หลังเกิดเหตุความปลอดภัยกับโครงสร้างพื้นฐานที่ BAE Systems ดำเนินการแทนฝ่ายตุลาการ BAE แจ้งปัญหาครั้งแรกช่วงดึกวันที่ 9 ต.ค. 2569 ระบบและเว็บไซต์ที่เกี่ยวข้องทั้งหมดใช้งานไม่ได้ รวมถึงบริการลงทะเบียนเจ้าหนี้แห่งชาติ ทั้งศาลและ BAE ยังไม่ระบุว่าเป็นการโจมตีหรือมีข้อมูลรั่วหรือไม่ และยังไม่มีกำหนดกู้คืนบริการ

Next.js ออกแพตช์นอกรอบเมื่อ 14 ต.ค. 2569 แก้ 2 ช่องโหว่รันโค้ดโดยไม่ต้องยืนยันตัวตนระดับ critical คะแนน 9.5 และช่องโหว่ DoS ระดับสูงอีก 1 รายการ ตัวแรกอยู่ใน React Server Components กระทบแอป Next.js 16 ที่เปิด Cache Components ตัวที่สองคือ CVE-2026-96889 ใน librsvg ที่ Next.js ใช้ผ่านแพ็กเกจ sharp เพื่อจัดการภาพ SVG บน Linux แบบ glibc แก้ไขแล้วในเวอร์ชัน 16.4.1 และ 15.5.28 แต่สาย 15 อาจยังค้าง sharp เวอร์ชันเก่าที่มีช่องโหว่ และสองช่องโหว่ยังไม่มี CVE ทำให้ npm audit ไม่เตือน

Elastic Security Labs พบโครงการบ่มเพาะ Web3 ปลอมชื่อ Apex ใช้แพ็กเกจ npm อันตราย @apexacc/cli และ @apexacc/audit ล่อผู้ก่อตั้งสตาร์ทอัปคริปโตด้วยเครดิต AI ฟรี เครื่องมือเขียนโค้ด และบริการตรวจสัญญาอัจฉริยะ การรันแพ็กเกจปล่อยมัลแวร์ขโมยข้อมูลบน Windows และแบ็กดอร์ CloudSyncD บน macOS เครื่องมือ Apex Copilot ยังเปลี่ยนเส้นทางคำขอ AI และเพิ่มเซิร์ฟเวอร์ MCP ของผู้โจมตีเพื่อดูดโค้ดและบทสนทนา ส่วนเครื่องมือตรวจสัญญาทั้ง 18 ตัวคืนผลปลอมทั้งหมด

บริษัท Bloom Security พบช่องโหว่ SlugFest ใน npm Trusted Publishing ที่ผูกแพ็กเกจกับชื่อ repo GitHub แบบข้อความแทนรหัสถาวร ผู้โจมตีจึงจดชื่อ repo ที่ถูกทิ้ง สร้าง workflow ชื่อเดียวกัน แล้วรับสิทธิ์ปล่อยแพ็กเกจได้โดยไม่ต้องขโมยโทเคน กระทบกว่า 1,500 แพ็กเกจที่มียอดดาวน์โหลดรวมกว่า 10 ล้านครั้ง GitHub แก้ไขเมื่อ 2 ตุลาคม โดยให้การตั้งค่าที่ยังไม่ยืนยันหมดอายุใน 48 ชั่วโมง ไม่มีรายงานการโจมตีจริง

Ledger ระงับการขายผ่านตัวแทนจำหน่าย CryptoBilis ชั่วคราว หลังผู้ใช้ในเอเชียตะวันออกเฉียงใต้ที่ซื้ออุปกรณ์จากตัวแทนรายนี้ถูกขโมยเงินคริปโต นักสืบบล็อกเชนนามแฝง Specter ประเมินความเสียหายรวมกว่า 86 ล้านดอลลาร์ Ledger ยืนยันว่าพบชิปฝังที่ไม่ได้รับอนุญาตในอุปกรณ์ของผู้เสียหายรายหนึ่ง และทุกกรณีที่ยืนยันแล้วเป็นอุปกรณ์จาก CryptoBilis ผู้ที่ซื้อจากตัวแทนรายนี้ใน 90 วันล่าสุดไม่ควรตั้งค่าเครื่อง และควรย้ายทรัพย์สินไปยังอุปกรณ์ใหม่ที่สร้าง seed ใหม่

บทความใน The Hacker News อ้างรายงาน 2026 State of Agent Security Report ว่าในสภาพแวดล้อมที่ศึกษา มีผลิตภัณฑ์บุคคลที่สามราว 1,280 ตัวที่ฝัง AI แต่มีเพียง 282 ตัวที่อยู่หลัง SSO ที่เหลือราวพันตัวจึงมองไม่เห็นจากระบบ identity เอเจนต์ส่วนใหญ่มากับอัปเดตของแพลตฟอร์มที่ใช้อยู่ โดยไม่มีจังหวะให้ทีมความปลอดภัยตรวจก่อนใช้งาน ผู้เขียนเสนอคำถาม 4 ข้อที่ใช้กับเอเจนต์ใดก็ได้ คือ identity, สิทธิ์, การเชื่อมต่อ และกิจกรรม ตัวเลขทั้งหมดมาจากรายงานของผู้ขายเครื่องมือด้านนี้ ยังไม่มีการตรวจสอบอิสระ