Supply-Chain

Wordfence เปิดเผยการโจมตีซัพพลายเชนปลั๊กอิน WordPress ของ BdThemes ที่ไม่มีการแก้ไฟล์ซอร์สโค้ดในคลัง WordPress.org แม้แต่ไฟล์เดียว ผู้โจมตีเข้าไปแก้ไฟล์ JSON โปรโมชันบนบัคเก็ต DigitalOcean Spaces ของผู้พัฒนาแทน ไฟล์ที่ถูกวางยาจุดชนวนช่องโหว่ XSS ในคอมโพเนนต์ Biggopti ทำให้สคริปต์ทำงานในเบราว์เซอร์ของแอดมินทุกครั้งที่เปิดหน้า wp-admin เพย์โหลดสร้างบัญชีแอดมินลับ ติดตั้งเว็บเชลล์ และฝังโมดูลซ่อนตัวใน mu-plugins กระทบปลั๊กอิน 7 ตัวจนถูกปิดดาวน์โหลด

GitHub ขยายความสามารถตรวจจับมัลแวร์ของ Dependabot จากเดิมที่รองรับเฉพาะ npm ไปครอบคลุมคลังแพ็กเกจหลัก 8 ระบบนิเวศ ได้แก่ npm, PyPI, Maven, RubyGems, NuGet, Go, crates.io และ PHP Composer โดยดึงข้อมูลจากคลัง malicious-packages ของ OpenSSF ซึ่งมีรายงานมัลแวร์กว่า 15,000 รายการในรูปแบบ OSV แทนการสร้างระบบตรวจจับแยกรายคลัง GitHub ใช้ตัวนำเข้าเพียงตัวเดียวพร้อมกลไกกันข้อมูลซ้ำ กันรายงานที่ถูกถอน และจำกัดจำนวนต่อรอบเพื่อกันข้อมูลต้นทางผิดพลาด การแจ้งเตือนนี้เป็นแบบ opt-in ต้องเปิดใช้เอง

บริษัท Kaspersky ตรวจพบเมื่อกรกฎาคม 2569 ว่ากลุ่ม Head Mare กลับมาโจมตีเซิร์ฟเวอร์ TrueConf ที่ยังไม่แพตช์อีกครั้ง เป้าหมายคือบริษัทรัสเซียในกลุ่มเครื่องมือวัด อิเล็กทรอนิกส์ ขนส่ง พลังงาน และไอที ผู้โจมตีเชื่อมต่อพอร์ต 4307 ที่เปิดเป็นค่าเริ่มต้น แล้วใช้ช่องโหว่สองตัวต่อกันเพื่อหลุดออกจากสภาพแวดล้อมแยกส่วนและรันคำสั่งด้วยสิทธิ์ SYSTEM ก่อนวางเว็บเชลล์และสลับไฟล์ติดตั้งไคลเอนต์เป็นเวอร์ชันที่ฝังแบ็กดอร์ PhantomCore ผู้ผลิตออกแพตช์แล้วตั้งแต่ 18 มิถุนายน

นักวิจัยพบแพ็กเกจประสงค์ร้ายเกือบ 800 รายการบน npm ที่ตั้งชื่อสุ่มเลียนแบบชื่อที่ AI มักมโนขึ้นมา แต่ไม่ใช้ lifecycle hook อย่าง preinstall กลับใส่ README สั่งให้นักพัฒนาเรียกใช้ผ่าน require() ปลายทางคือดาวน์โหลดเดอร์ WEL1DROPPER ที่เลือก payload ตามระบบปฏิบัติการและสถาปัตยกรรมซีพียู โดยดึงจาก Cloudflare Workers และสำรองด้วย DNS TXT เมื่อ HTTPS ล้มเหลว ตัวอย่างบน Windows แพตช์ ETW และ AMSI ส่วนบน Linux ปิดท้ายด้วยเฟรมเวิร์ก Sliver

CISA เพิ่มช่องโหว่ CVE-2026-63077 (CVSS 9.8) ใน JetBrains TeamCity แบบติดตั้งเองเข้าแคตตาล็อก Known Exploited Vulnerabilities หลังพบการโจมตีจริง ช่องโหว่เกิดจากการแปลงข้อมูลที่ไม่น่าเชื่อถือกลับเป็นอ็อบเจกต์ผ่านโปรโตคอล agent polling ทำให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนข้ามการตรวจสอบสิทธิ์และรันคำสั่งระบบปฏิบัติการด้วยสิทธิ์ของโปรเซส TeamCity ได้ ยังไม่มีข้อมูลว่าใครอยู่เบื้องหลังหรือโจมตีในวงกว้างแค่ไหน หน่วยงานรัฐบาลกลางสหรัฐฯ ต้องแพตช์ภายในวันที่ 8 สิงหาคม 2569

บริษัท VulnCheck เปิดเผยแบ็กดอร์ที่ติดตั้งมาจากโรงงานในเราเตอร์ Zbtlink ของจีนอย่างน้อย 20 รุ่น พบในเฟิร์มแวร์ทั้ง 21 ไฟล์ที่เปิดให้ดาวน์โหลดครอบคลุมกว่า 2 ปี ตัวฝังชื่อ ENDLESSDOORS ปลอมตัวเป็นเธรดของเคอร์เนล Linux แต่จริงๆ รันด้วยสิทธิ์ root และติดต่อเซิร์ฟเวอร์ควบคุมในจีนทุก 35 วินาที โดยไม่มีการยืนยันตัวตนใดๆ ทำให้ใครก็ตามที่ควบคุมเส้นทางเครือข่ายหรือชื่อโดเมนปลายทางได้ สามารถสั่งเปิดเชลล์ root แบบโต้ตอบบนเราเตอร์เหล่านั้น

บริษัท Fortinet FortiGuard Labs เปิดเผยการโจมตีห่วงโซ่อุปทานต่อ QuickFox แอปพลิเคชัน VPN สำหรับคนจีนในต่างประเทศ ที่ดำเนินมาตั้งแต่อย่างน้อยเดือนสิงหาคม 2568 ตัวติดตั้งบน Windows ถูกแทรกโค้ด JavaScript สองบรรทัดในไฟล์ HTML ของ Electron ให้โหลดเพย์โหลดที่ปลอมเป็น Firebase SDK แล้วคัดกรองเครื่องเป้าหมายก่อนติดตั้งแบ็กดอร์ FDMTP ซึ่งเคยถูกใช้โดยกลุ่ม Mustang Panda ที่จีนหนุนหลัง QuickFox ถอดส่วนประกอบอันตรายออกแล้วในเวอร์ชัน 3.59.6 แต่ Fortinet ยังไม่ระบุตัวผู้อยู่เบื้องหลังอย่างเป็นทางการ

นักวิจัยของ Socket พบแพ็กเกจ npm ประสงค์ร้าย 18 รายการที่เจาะจงเล่นงานนักพัฒนาซึ่งใช้เครื่องมือภายในของ Alibaba Group แพ็กเกจชั้นบนเลียนชื่อแพ็กเกจส่วนตัวใต้สโคป @ali เพื่อล่อให้ระบบติดตั้งสายพันธุ์ dependency ที่ซ่อนโค้ดโหลดเดอร์ไว้เป็นชิ้น ๆ ปลายทางคือแบ็กดอร์ที่ทำงานได้ทั้งบน Windows, Linux และ macOS พร้อมความสามารถขยายผลในเครือข่าย ร่องรอยภาษาจีนและเขตเวลา UTC+08:00 ชี้ว่าผู้ก่อเหตุน่าจะพูดภาษาจีน โดยเป้าหมายที่คาดคือการจารกรรมทางอุตสาหกรรม

นักวิเคราะห์ของ OpenSource Malware พบเทคนิคซ่อนเซิร์ฟเวอร์สั่งการชื่อ NullReceiver ที่ฝังหมายเลข IP ไว้ในที่อยู่ผู้รับของธุรกรรม Ethereum ที่ไม่มีมูลค่าและไม่มีข้อมูลแนบ พบใช้งานในแพ็กเกจ npm ประสงค์ร้าย 2 ตัวที่ปลอมเป็นปลั๊กอินของ Tailwind CSS และเชื่อมโยงกับปฏิบัติการ Contagious Interview ที่มีเกาหลีเหนือหนุนหลัง เทคนิคนี้ต่างจาก EtherHiding ตรงที่ไม่ใช้ calldata หรือสัญญาอัจฉริยะ จึงตรวจจับได้ยากกว่า แต่ก็บรรจุข้อมูลได้จำกัดเพียงระดับหมายเลข IP เท่านั้น

นักวิจัยจาก Zafran Labs เปิดเผยช่องโหว่ระดับรุนแรงสูง 3 รายการในไลบรารี Diffusers ของ Hugging Face ภายใต้ชื่อรวมว่า FaceHugger ช่องโหว่ทั้งหมดข้ามกลไก trust_remote_code ซึ่งเป็นด่านป้องกันไม่ให้โค้ดที่ยังไม่ผ่านการตรวจสอบทำงาน ทำให้คลังโมเดลที่ถูกสร้างมาเป็นพิเศษรันโค้ดใดก็ได้บนเครื่องที่โหลดมันอย่างเงียบเชียบ ต้นเหตุร่วมคือช่องว่างแบบ TOCTOU เพราะการดาวน์โหลดแยกเป็น 2 คำขอแต่ด่านตรวจทำงานกับคำขอแรกเท่านั้น แก้ไขแล้วในเวอร์ชัน 0.38.0