Supply-Chain

ผู้ก่อภัยคุกคามเจาะ GitHub repository ของโครงการ Injective Labs SDK แล้วใช้ปล่อยแพ็กเกจอันตรายบน npm เพื่อขโมย private key และ mnemonic seed phrase ของกระเป๋าคริปโต เวอร์ชันที่ถูกเจาะคือ @injectivelabs/sdk-ts@1.20.21 ฝังฟังก์ชัน telemetry ปลอมที่ขโมยข้อมูลกระเป๋า พร้อมกระจายเวอร์ชันเดียวกันไปยังอีก 17 แพ็กเกจในเครือ การโจมตีใช้บัญชี maintainer ที่ไว้ใจได้ผ่าน trusted-publisher (OIDC) pipeline ผู้ใช้ที่ติดตั้งควรอัปเดตเป็นเวอร์ชันสะอาด 1.20.23 และเปลี่ยนกุญแจทั้งหมดทันที

บริษัท Datadog เตือนหลายแคมเปญที่ทำงานทับซ้อนกัน กำลังกวาดข้อมูลองค์กร repository และบัญชีผู้ใช้บน GitHub อย่างเป็นระบบผ่าน GitHub API โดยใช้บัญชี ‘ผี’ ที่สร้างทิ้งไว้ 2-5 ปีก่อนปลุกมาใช้ รวมกับ OAuth token และ PAT ที่หลุดของผู้ใช้จริงกว่า 50 บัญชี เนื่องจากพื้นผิว API ส่วนใหญ่เข้าถึงได้โดยไม่ต้องยืนยันตัวตน คำสั่งสำรวจจึงกลืนไปกับการใช้งานปกติ ส่วนใหญ่โจมตีข้อมูลสาธารณะ แต่บางเคสถึงขั้นโคลน repository ส่วนตัวได้สำเร็จ

นักวิจัยจากบริษัท Binarly พบ 6 ช่องโหว่ใหม่ใน U-Boot โปรแกรมบูตขนาดเล็กที่ใช้ในเราเตอร์ กล้องอัจฉริยะ และชิปจัดการในเซิร์ฟเวอร์ดาต้าเซ็นเตอร์ สี่ช่องโหว่ทำอุปกรณ์ล่ม อีกสองช่องโหว่เปิดทางให้ผู้โจมตีที่สอดอิมเมจอันตรายรันโค้ดของตนก่อนอุปกรณ์ตรวจลายเซ็น โค้ดที่มีช่องโหว่ฝังใน U-Boot ตั้งแต่ v2013.07 กว่า 50 รุ่น ติดตามเป็น BRLY-2026-037 ถึง 042 ยังไม่มี CVE และยังไม่มีรุ่นแก้ไขทางการ ผู้ผลิตต้องดึงแพตช์ upstream มาใช้เอง

งานวิจัยจากทีม Ben Nassi มหาวิทยาลัย Tel Aviv เผยเทคนิคโจมตีใหม่ชื่อ HalluSquatting ที่อาศัยนิสัยของ AI ผู้ช่วยเขียนโค้ดที่มัก มโน ชื่อไลบรารีหรือปลั๊กอินที่ไม่มีอยู่จริง ผู้โจมตีหาชื่อปลอมที่ AI มักคิดขึ้นซ้ำ ๆ แล้วไปจดชื่อนั้นบน GitHub หรือ marketplace พร้อมฝังคำสั่งอันตราย เมื่อผู้ใช้สั่งให้ AI ดึงทรัพยากรยอดนิยม ผู้ช่วยจะดึงของปลอมมาแทนและรันโค้ดผู้โจมตีผ่านเทอร์มินัลในตัวจนกลายเป็นบอตเน็ต ทดสอบสำเร็จกับ Cursor, Copilot, Gemini CLI และอื่น ๆ สูงสุด 85-100%

นาย Jacob Ginesin นักวิจัยจาก Carnegie Mellon และ Cure53 เผยงานวิจัยว่าแฮชของ Git commit ที่เซ็นชื่อแล้วไม่ได้ไม่ซ้ำใครอย่างที่หลายระบบเข้าใจ ผู้ที่ไม่มีคีย์เซ็นสามารถสร้าง commit ใหม่ที่มีไฟล์ ผู้เขียน และวันที่เหมือนเดิมพร้อมลายเซ็นถูกต้อง โดย GitHub ยังขึ้นตรา Verified แต่แฮชต่างออกไป ต้นตอคือ signature malleability ที่เขียนลายเซ็นใหม่ได้หลายรูปแบบโดยโค้ดไม่เปลี่ยน กระทบระบบ blocklist, provenance log และ reproducible build ที่ยึดแฮช ไม่มี CVE และการแก้ต้องทำที่ฝั่ง forge

Check Point Research เปิดเผยว่ากลุ่มแฮ็กเกอร์อิหร่านในเครือกระทรวงข่าวกรอง (MOIS) ที่ชื่อ Cavern Manticore ใช้เฟรมเวิร์ก command-and-control ตัวใหม่ชื่อ Cavern โจมตีองค์กรไอทีและภาครัฐในอิสราเอล กลุ่มนี้อาศัยฟีเจอร์อัปเดตของ SysAid ทำ DLL side-loading โหลด Cavern Agent แล้วดึงโมดูล 5 ตัวมาขโมยไฟล์ ฐานข้อมูล และสอดแนม Active Directory จุดเด่นคือใช้รูปแบบคอมไพล์ .NET หลายชนิดเป็นเกราะกันการวิเคราะห์ มีความทับซ้อนกับ MuddyWater และ Lyceum

นักวิจัยจาก Novee Security เปิดเผยช่องโหว่ CI/CD รูปแบบใหม่ชื่อ Cordyceps เดือนมิถุนายน 2569 หลังสแกน repository กว่า 30,000 แห่ง พบเสี่ยง 654 และยืนยันโจมตีได้จริงกว่า 300 แห่ง ต้นเหตุคือการต่อ workflow ของ GitHub Actions ที่รันโค้ดจาก fork ไม่น่าเชื่อถือพร้อมสิทธิ์เข้าถึง secret ผู้โจมตีเพียงมีบัญชี GitHub ฟรีก็ขโมยโทเคนถาวรได้ กระทบโปรเจกต์ของ Microsoft, Google, Apache และ Cloudflare

บริษัท Insignary ผู้พัฒนาเทคโนโลยี binary fingerprint จากโตรอนโต ประกาศได้รับเลือกเป็น Sample Vendor ด้าน Reachability Analysis ใน Gartner Hype Cycle for Secure Software Engineering 2026 ชูแพลตฟอร์ม Clarity ที่วิเคราะห์ซอฟต์แวร์จากไบนารีจริงที่ build และ deploy แทนการอ่านแค่ไฟล์ manifest แก้ปัญหาโค้ดที่ AI สร้างและไลบรารีบุคคลที่สามที่เลี่ยง package manager ไม่ปรากฏใน SBOM

มีรายงานว่า Alibaba เตรียมแบน Claude Code ของ Anthropic ในสภาพแวดล้อมทำงานภายในตั้งแต่ 10 กรกฎาคม 2569 อ้างความเสี่ยงแบ็กดอร์ที่ฝังอยู่ ต้นเรื่องมาจากโพสต์ Reddit ที่อ้างว่า reverse-engineer พบ Claude Code ตั้งแต่เวอร์ชัน 2.1.91 แอบเช็ก proxy และไทม์โซนเทียบกับรายชื่อองค์กรจีน ทีม Claude Code ระบุว่ากลไกนี้ป้องกันการ distillation และการใช้งานมิชอบ และจะถูกถอดออกในเวอร์ชันถัดไป ท่ามกลางความตึงเครียดที่เพิ่มขึ้นระหว่างสองบริษัท

FBI เตือนกลุ่ม TeamPCP แทรกโค้ดอันตรายลงในเครื่องมือนักพัฒนายอดนิยมอย่าง Trivy, KICS, LiteLLM และ Telnyx Python SDK เพื่อโจมตี software supply chain วงกว้าง ขโมยโทเคนคลาวด์ SSH key และ Kubernetes secret ใช้มัลแวร์ CanisterWorm, SANDCLOCK และเวิร์ม Mini Shai-Hulud ที่แพร่เองใน npm/PyPI ก่อนหันมาข่มขู่แบล็กเมล์เผยข้อมูลบนเว็บ leak