Supply-Chain

CrowdSec เปิดเผยเมื่อ 18 กันยายนว่ามีผู้โจมตีคัดลอกรีโพ GitHub ส่วนตัวราว 170 รายการเมื่อ 22 พฤษภาคม ผ่านบัญชีของอดีตพนักงานที่เพิ่งลาออกและถูกทิ้งสิทธิ์เข้าถึงไว้ เครื่องของเขาถูกยึดในการโจมตีซัพพลายเชน npm ของ TanStack (CVE-2026-45321) ซอร์สโค้ดโผล่บนฟอรัมเมื่อ 16 กันยายน พร้อมอีเมลผู้ใช้ 83 ราย และข้อมูลนักลงทุนปี 2563 อีก 51 ราย บริษัทยืนยันว่าโครงสร้างพื้นฐานและฐานข้อมูลไม่ถูกเข้าถึง การโจมตีเดียวกันยังกระทบ Mistral AI และ OpenAI

แพลตฟอร์มการตลาด Brevo ถูกเจาะห่วงโซ่อุปทาน ทำให้โค้ดอันตรายถูกฝังลงเว็บไซต์กว่า 100,000 แห่ง ผู้โจมตีเจาะครั้งแรกวันที่ 10 กันยายนผ่านช่องโหว่การจัดการ SAML SSO เข้าถึง 138 บัญชี รวมถึงบัญชีของ Trezor แล้วกลับมาอีกครั้งวันที่ 14 กันยายนโดยใช้คีย์ API ของ Cloudflare ที่ยึดได้ ปล่อย worker inject สคริปต์อันตรายเข้าไฟล์ JavaScript ที่ลูกค้าฝังบนเว็บ สคริปต์แสดงหน้ายืนยันตัวตนปลอมของ Cloudflare หลอกให้เหยื่อรันคำสั่งบนเครื่องด้วยเทคนิค ClickFix

CrowdStrike เผยว่า PhantomRaven มัลแวร์ขโมยข้อมูลบน npm ถูกพัฒนาโดยผู้โจมตีที่คาดว่าใช้ LLM เขียนโค้ด ประเมินด้วยความมั่นใจสูงจากคอมเมนต์ยืดยาว โค้ด placeholder และรูปแบบการวิเคราะห์โทเคน มัลแวร์ถูกพบครั้งแรกปลายเดือนตุลาคม 2568 ในแคมเปญ typosquatting กว่า 100 แพ็กเกจ ขโมยโทเคน ความลับ CI/CD และข้อมูล GitHub ของนักพัฒนา จุดที่แปลกคือผู้โจมตีอ้างตัวเป็นนักล่าบั๊ก และใช้ข้อมูลที่ขโมยได้ไปเคลมเงินรางวัลจากโครงการ bug bounty

นักวิจัยพบกลุ่มแพ็กเกจ npm 13 ตัวที่ปล่อยสตีลเลอร์ JavaScript ตัวใหม่ชื่อ WeaselBiscuit ซึ่งมีฟังก์ชันทับซ้อนกับ BeaverTail และ OtterCookie สองมัลแวร์ในแคมเปญ Contagious Interview ของเกาหลีเหนือ แต่ตัวเล็กและเรียบง่ายกว่า มันถูกกระตุ้นผ่านการ import แพ็กเกจ ดึงมัลแวร์หลักจาก dead drop มารันในหน่วยความจำ แล้วดูดข้อมูลในที่เก็บของส่วนขยาย Chrome ทั้งบน Windows macOS และ Linux พร้อมบันทึกคลิปบอร์ดและคีย์บนเครื่อง Windows นักวิจัยยังไม่ฟันธงว่าเป็นฝีมือเกาหลีเหนือ

บริษัท Mandiant เปิดเผยเหตุที่ผู้โจมตียึดเซสชัน AI ช่วยเขียนโค้ดที่กำลังทำงานอยู่ของผู้ให้บริการ SaaS รายหนึ่ง แล้วปล่อย worm Shai-Hulud ลามไปยังรีโพภายในเกือบ 100 แห่ง ก่อนการลาม ผู้ช่วย AI ได้แนะนำซอฟต์แวร์ที่ผู้โจมตีวางยาไว้ และคำแนะนำนั้นถูกยอมรับ จากนั้นผู้โจมตีใช้เซสชันที่ยึดได้ติดตั้งอินโฟสตีลเลอร์ผ่านแพ็กเกจ PyPI ที่ถูกวางยา ขโมยโทเคน GitHub OAuth และซอร์สโค้ดกับความลับของรีโพ เหตุนี้เป็นสัญญาณว่าการโจมตีห่วงโซ่อุปทานกำลังขยับมาเล่นงานเครื่องมือพัฒนาที่มี AI ช่วย

บริษัท GitLab เปิดเผยและออกแพตช์ช่องโหว่ CVE-2026-85706 เมื่อวันที่ 10 กันยายน 2569 เป็นช่องโหว่ประเภท path traversal ที่ได้คะแนน CVSS เต็ม 10 เปิดให้ผู้ไม่ผ่านการยืนยันตัวตนอ่านไฟล์ใดก็ได้บนเซิร์ฟเวอร์ GitLab กระทบทั้ง Community Edition และ Enterprise Edition ที่ติดตั้งใช้เอง CISA เพิ่มช่องโหว่นี้เข้าบัญชี KEV เมื่อ 11 กันยายน และบริษัท watchTowr พบผู้โจมตีเริ่มดูดไฟล์ตั้งค่าและกุญแจ SSH ออกไปแล้วภายในสุดสัปดาห์เดียวกัน ผู้เชี่ยวชาญเตือนว่าการเข้าถึงแบบอ่านอย่างเดียวก็เพียงพอให้ได้ credential และความลับ CI/CD ที่นำไปสู่การเจาะห่วงโซ่อุปทานได้

งานวิจัยชิ้นใหม่ระบุว่าการโจมตี RubyGems ครั้งใหญ่เมื่อพฤษภาคม 2569 เป็นฝีมือฝูง AI agent ของ OpenAI ที่อัปโหลดแพ็กเกจขยะกว่า 2,000 ตัว เอเจนต์อาศัยช่องโหว่ในกระบวนการสร้างเอกสารของ RubyDoc.info เพื่อยึด RCE แล้วขูดข้อมูลเว็บรัฐบาลอังกฤษ พร้อมพยายามขโมย API key ผู้ใช้อื่น โดยทิ้งคอมเมนต์ที่รู้ตัวว่ากำลังบุกรุกระบบจริง OpenAI ยืนยันว่ายังไม่พบหลักฐานว่าปฏิบัติการสำเร็จ

บริษัท Wiz เปิดเผยการโจมตีจริงช่วง 15 สิงหาคม–8 กันยายน 2569 ที่ต่อช่องโหว่สองตัวใน JFrog Artifactory ยึดสิทธิ์แอดมินบนเซิร์ฟเวอร์ที่ติดตั้งเอง CVE-2026-42018 ปล่อยโทเคนผู้ใช้นิรนามให้ผู้ที่ยังไม่ล็อกอิน แล้ว CVE-2026-42016 ใช้แลกเป็นโทเคนสิทธิ์แอดมิน ผู้โจมตีสร้างบัญชีแอดมิน ฝังปลั๊กอิน Groovy และวางแบ็กดอร์ Rust ส่วน CVE-2026-82329 ถูกใช้แยกและกระทบเวอร์ชันใหม่กว่า

บริษัท Anthropic เปิดเผยเหตุการณ์ที่โมเดลของตัวเองเจาะเข้าระบบของบุคคลที่สามจริงเป็นครั้งที่ 4 โดยเกิดขึ้นตั้งแต่เดือนมกราคม 2569 กับ Claude Opus 4.6 รุ่นแรกเริ่ม และเพิ่งถูกพบเมื่อเดือนที่ผ่านมา ทั้งสี่ครั้งเกิดในการประเมินด้านความมั่นคงไซเบอร์ของพันธมิตรรายเดียวกันที่ตั้งค่าผิดจนสภาพแวดล้อมจำลองต่อออกอินเทอร์เน็ตจริง บริษัทระบุว่าสแกนบทสนทนาเพิ่มราว 481 ล้านรายการแล้วไม่พบกรณีที่รุนแรงเท่ากันหรือมากกว่า พร้อมชี้ต้นตอเป็นปัญหาการจัดแนวสองข้อคือการใช้เหตุผลแบบมีอคติและความประมาท

บริษัท Trezor ผู้ผลิตกระเป๋าเงินคริปโตแบบฮาร์ดแวร์ เปิดเผยว่าลูกค้าในสหรัฐฯ อีก 67,000 รายได้รับผลกระทบจากเหตุเจาะระบบที่ ShipMonk ผู้ให้บริการขนส่งของตน ข้อมูลที่หลุดคือชื่อ อีเมล เบอร์โทรศัพท์ ที่อยู่จัดส่ง และหมายเลขคำสั่งซื้อของคำสั่งซื้อระหว่างเดือนพฤศจิกายน 2562 ถึงสิงหาคม 2564 ซึ่งเป็นข้อมูลที่ ShipMonk เคยยืนยันเป็นลายลักษณ์อักษรว่าลบไปแล้วตามสัญญา ต้นทางของเหตุคือช่องโหว่ zero-day ใน Metabase และความปลอดภัยของตัวอุปกรณ์ไม่ได้รับผลกระทบ