Supply-Chain

นักวิจัยของบริษัท GitGuardian พบเมื่อต้นเดือนสิงหาคมว่าเวิร์มขโมยข้อมูลตระกูล Shai-Hulud รุ่นล่าสุดขยายการค้นหาข้อมูลยืนยันตัวตนเป็น 469 ตำแหน่ง จากรุ่นก่อนที่ค้นเพียง 189 ตำแหน่ง ครอบคลุมสภาพแวดล้อมนักพัฒนา เครื่องมือ CI/CD คอนฟิกคลาวด์ และคอนฟิกของเครื่องมือ AI ทิศทางนี้สะท้อนว่าผู้โจมตีเลิกพยายามทำลายความไว้วางใจในห่วงโซ่อุปทาน แล้วหันมาใช้ข้อมูลยืนยันตัวตนที่ทำให้ความไว้วางใจนั้นทำงานได้แทน โดยกุญแจสำหรับเผยแพร่แพ็กเกจคือเป้าหมายที่อันตรายที่สุด

บริษัท Virtualizor เปิดเผยว่าผู้โจมตีไฮแจ็กเส้นทาง BGP เบี่ยงทราฟฟิกอัปเดตของ Softaculous ไปยังเซิร์ฟเวอร์ของตนระหว่างวันที่ 28-30 สิงหาคม 2569 แล้วส่งแพ็กเกจที่ถูกดัดแปลงไปยังการติดตั้งบางส่วน โค้ดที่ฝังมาเพิ่มกุญแจ SSH ในบัญชี root แล้วรันเพย์โหลด Java พร้อมสร้างเซอร์วิส systemd และบัญชีแปลกปลอมไว้ฝังตัว ผู้ให้บริการรายหนึ่งรายงานว่าโหนดไฮเปอร์ไวเซอร์ 5 จาก 34 เครื่องถูกแก้ไข บริษัทออก Patch 9 พร้อมเครื่องมือสแกน แต่ยังไม่ระบุช่วงเวอร์ชันที่ได้รับผลกระทบและยังไม่บังคับลงลายมือชื่อแพ็กเกจ

บริษัท Manifold Security เปิดเผยช่องโหว่ 8 รายการในเอเจนต์เขียนโค้ดด้วย AI แบบบรรทัดคำสั่ง 7 ตัว ซึ่งคอนฟิก Git ของรีโพสิทอรีสามารถระบุคำสั่งที่เอเจนต์จะรันบนเครื่องนักพัฒนาได้ คำสั่งนั้นทำงานด้วยสิทธิ์ของผู้ใช้ นอกแซนด์บ็อกซ์ และไม่มีกล่องขออนุมัติ โดยเงื่อนไขคือรีโพต้องมาถึงในรูปไฟล์ที่ยังมีไดเรกทอรี .git ติดมาด้วย เช่นไฟล์บีบอัดที่แชร์กัน ไดรฟ์ร่วม โฟลเดอร์ซิงก์ หรือ USB ปัจจุบัน goose, Claude Code และ Cursor ออกแพตช์แล้ว ส่วนอีก 4 เส้นทางยังรันคำสั่งจากรีโพอยู่

บริษัท Socket พบแพ็กเกจธีม Composer อันตราย 13 ตัวบนคลัง Packagist ที่ฝัง JavaScript ลงเว็บดูหนังและอ่านการ์ตูนของเวียดนามซึ่งติดตั้งธีมเหล่านั้น โค้ดที่ฝังทำงานสองทาง คือฉ้อโกงโฆษณากับเปลี่ยนเส้นทางไปเว็บพนัน และปล่อยชุดเจาะ WebKit สู่เคอร์เนลใส่ผู้ใช้ iPhone ที่ยังไม่อัปเดต ผู้โจมตีเปลี่ยนเพย์โหลดใหม่เมื่อ 12 สิงหาคม 2569 ให้ดูดวลีกู้กระเป๋าคริปโตจากคีย์เชนเพิ่ม เซิร์ฟเวอร์ที่ใช้เจาะอยู่บนโครงสร้างพื้นฐานของ Funnull ที่สหรัฐฯ คว่ำบาตร

บริษัท Kaspersky เชื่อมโยงมัลแวร์สองตระกูลใหม่ NodeRabbit และ PollCat เข้ากับกลุ่มอิหร่าน Nimbus Manticore ซึ่งเป็น RAT ข้ามแพลตฟอร์มที่เขียนด้วย Node.js และ JavaScript ทำให้กลุ่มขยายเป้าหมายไปถึงเครื่อง Linux และ macOS ผู้โจมตีปลอมเป็นเจ้าหน้าที่สรรหาบุคลากรของบริษัทเทคโนโลยีรายใหญ่บน LinkedIn แล้วส่งไฟล์โจทย์เขียนโค้ดที่ฝังมัลแวร์ไว้ โดยแนบแพ็กเกจ npm ปลอมมาในโฟลเดอร์ node_modules ของไฟล์โจทย์โดยตรงแทนการเผยแพร่ขึ้นคลังสาธารณะ

บริษัท watchTowr เปิดเผยว่าผู้โจมตีเริ่มใช้ช่องโหว่ CVE-2026-82329 (CVSS 9.8) ใน JFrog Artifactory โจมตีจริงตั้งแต่วันที่ 1 กันยายน 2569 หลัง JFrog ออกแพตช์เพียงไม่กี่วัน ช่องโหว่นี้เป็นการข้ามการยืนยันตัวตนในองค์ประกอบ JFrog Access โดยอินสแตนซ์ที่ไม่ได้ตั้ง join key เพิ่มจะได้ join key แบบ phantom ที่ผู้โจมตีนำไปปลอมข้อมูลรับรองระดับผู้ดูแลระบบได้ ผู้โจมตีบางรายสร้างบัญชีแบ็กดอร์และไล่เก็บรายชื่อผู้ใช้ กลุ่ม และโทเคน องค์กรที่ติดตั้งเองควรแพตช์ทันทีและหมุนข้อมูลรับรอง

ประธานาธิบดีทรัมป์ลงนามคำสั่งฝ่ายบริหารหมายเลข 14420 เมื่อวันที่ 26 สิงหาคม 2569 ประกาศภาวะฉุกเฉินระดับชาติเพื่อลดความเสี่ยงในระบบส่งไฟฟ้ากำลังสูงที่มาจากอุปกรณ์ไฟฟ้าซึ่งผลิตโดยต่างชาติ คำสั่งครอบคลุมสายส่งตั้งแต่ 69 กิโลโวลต์ขึ้นไป รวมถึงหม้อแปลง อินเวอร์เตอร์ ระบบกักเก็บพลังงาน และระบบควบคุมอุตสาหกรรมอย่าง RTU กับ PLC พร้อมเฟิร์มแวร์และช่องทางเข้าถึงระยะไกล ธุรกรรมที่เริ่มหลัง 26 สิงหาคม 2569 กับหน่วยงานที่ถูกระบุชื่อจะถูกห้าม และกระทรวงพลังงานสั่งมาตรการกับอุปกรณ์ที่ติดตั้งไปแล้วได้

นาย Jacob Baines จาก VulnCheck เปิดเผยว่าเราเตอร์ของบริษัทจีน ZBT ที่ขายแบบไวท์เลเบลทั่วโลกมีแบ็กดอร์เพิ่มอีก 2 ตัวชื่อ SpeakingStone และ DarkLantern ซึ่งเป็นรุ่นก่อนหน้าของ EndlessDoors และถูกฝังในเฟิร์มแวร์มาตั้งแต่ราวปี 2562 DarkLantern เปิดพอร์ต UDP รอรับการเชื่อมต่อเข้ามา ส่วน SpeakingStone ส่งพิกัด GPS ออกไปและรับคำสั่งรวมถึงการปลอมแปลง DNS ได้ VulnCheck พบ DarkLantern ที่เปิดสู่อินเทอร์เน็ต 203 เครื่องใน 3 วัน และดักการเชื่อมต่อของ SpeakingStone ได้ 392 ครั้ง

ตำรวจสหพันธรัฐออสเตรเลียตั้งข้อหาชายชาวรัฐเวสเทิร์นออสเตรเลีย 2 คนรวม 14 กระทง จากบทบาทที่ถูกกล่าวหาในกลุ่ม TeamPCP ซึ่งอยู่เบื้องหลังการเจาะเครื่องมือสแกนโอเพนซอร์ส Trivy และ Checkmarx KICS รวมถึงเกตเวย์ AI ชื่อ LiteLLM เมื่อเดือนมีนาคม 2569 ตำรวจระบุว่าโค้ดอันตรายอาจกระทบองค์กรกว่า 1,000 แห่งทั่วโลก ขโมยข้อมูลรับรองกว่า 500,000 รายการ และดูดข้อมูลออกไปอย่างน้อย 300 กิกะไบต์

โรงพยาบาลเด็ก SickKids ในนครโทรอนโตเปิดเผยว่าข้อมูลส่วนบุคคลของพนักงานปัจจุบันและอดีตพนักงาน รวมถึงผู้สมัครงาน ถูกเข้าถึงโดยไม่ได้รับอนุญาตจากเหตุด้านความมั่นคงไซเบอร์ โรงพยาบาลระบุว่าต้นเหตุคือช่องโหว่ในซอฟต์แวร์ของบุคคลที่สามที่องค์กรอื่นก็ใช้เช่นกัน แต่ไม่ยอมเปิดเผยชื่อผู้จำหน่าย ชื่อแอปพลิเคชัน หรือหมายเลข CVE ระบบรักษาพยาบาลและเวชระเบียนผู้ป่วยไม่ได้รับผลกระทบ ส่วนเว็บไซต์รับสมัครงานถูกปิดชั่วคราวและกลับมาให้บริการแล้ว