Tls

บริษัท Microsoft ออกอัปเดต Windows นอกรอบเมื่อ 26 ตุลาคม 2569 ถอดใบรับรองที่เกี่ยวกับ eMudhra 7 ใบออกจากรายการที่ Windows เชื่อถือ และใช้กับ Edge ตามมาเมื่อ 27 ตุลาคม มาตรการนี้ต่อจากการบล็อก CA ตัวกลาง 8 ใบที่กุญแจส่วนตัวถูกกู้ได้เพราะสร้างกุญแจแบบอ่อน ใน 8 ใบมี 6 ใบสำหรับ TLS ที่ปลอมเว็บไซต์ได้ และ 2 ใบสำหรับ code signing ที่ทำให้มัลแวร์ดูน่าเชื่อถือ Microsoft ยังไม่พบหลักฐานว่ามีการใช้กุญแจโจมตีลูกค้า ผู้ดูแลควรให้อัปเดต trust list ถึงทุกเครื่อง และย้ายใบรับรองที่ต่อสายกับ 7 ใบนี้

FoxIO พบช่องโหว่ TLS 3 จุดใน GoAhead เว็บเซิร์ฟเวอร์ที่ผู้ผลิตฝังในเฟิร์มแวร์เราเตอร์ เครื่องพิมพ์ และระบบควบคุมอุตสาหกรรม จุดร้ายแรงสุด CVE-2026-115881 คะแนน 9.1 ทำให้ build ที่ใช้ OpenSSL กับ mutual-TLS โหลดรายการเพิกถอนใบรับรองแต่ไม่เคยตรวจจริง อีก 2 จุดกระทบ build ที่ใช้ LibreSSL รุ่นเก่าและ Mbed TLS ยังไม่มีรายงานการโจมตีจริงและยังไม่ทราบว่าอุปกรณ์รุ่นใดได้รับผลกระทบ ผู้ผลิตอุปกรณ์ควรอัปเดตเป็น GoAhead 6.1.1 แล้วออกเฟิร์มแวร์ใหม่

Oracle ออก Security Alert ฉุกเฉินเมื่อ 21 ตุลาคม 2569 แก้ CVE-2026-91403 คะแนน CVSS 9.1 ใน JSSE ของ Java SE และ GraalVM ต้นเหตุคือใบรับรอง CA ตัวกลางของ eMudhra ที่ใช้กุญแจส่วนตัวอ่อน ผู้โจมตีที่อยู่กลางทางจึงปลอมใบรับรองให้โดเมนใดก็ได้และทำให้ Java เชื่อถือ อัปเดตนี้สั่งให้ Java เลิกเชื่อถือใบรับรองตัวกลางชุดนั้น ยังไม่มีรายงานการโจมตีจริง แต่โจมตีได้ง่ายโดยไม่ต้องยืนยันตัวตน

GoDaddy เพิกถอนใบรับรอง SSL/TLS 404,607 ใบ หลังบุคคลภายนอกพบว่าใบรับรองในเชน GoDaddy และ Starfield มีข้อมูล policy OID และ CPS URI ไม่ตรงกับ CP/CPS ที่ประกาศไว้ ตาม Baseline Requirements ต้องเพิกถอนภายใน 5 วัน แต่เมื่อถึงเส้นตาย 18 ตุลาคม เพิกถอนได้เพียง 170,566 ใบ จึงเกิดเหตุไม่สอดคล้องครั้งที่สอง ใบรับรองส่วนใหญ่เป็นแบบ DV และเหตุนี้ไม่ใช่การขโมยกุญแจส่วนตัว ลูกค้าที่ยังไม่ติดตั้งใบใหม่อาจเจอคำเตือนในเบราว์เซอร์หรือเข้าเว็บไม่ได้

Node.js ออกอัปเดตความปลอดภัย 26.12.1, 24.22.1 และ 22.23.4 แก้ช่องโหว่ 10 รายการ ระดับสูง 4 รายการ ร้ายแรงที่สุดคือ CVE-2026-111497 การเขียนเกินขอบเขตใน Brotli decoder ที่อาจนำไปสู่ RCE อีก 2 รายการเป็นการข้ามการตรวจชื่อโฮสต์ในใบรับรอง TLS และอีกรายการทำให้ dns.resolve ตัดชื่อที่มีอักขระ NUL ยังมีปัญหาค่าสุ่มซ้ำใน startup snapshot และการข้าม Permission Model ผู้ดูแลควรอัปเดต rebuild อิมเมจ และรีสตาร์ตบริการ

NGINX ออกเวอร์ชัน 1.30.6 และ 1.31.7 เมื่อ 14 ต.ค. 2569 แก้ 5 ช่องโหว่ โดยตัวหนึ่งมีอยู่ในทุกรุ่นตั้งแต่ปี 2548 บั๊กหน่วยความจำ 3 ตัวทำให้ worker ล่มและอาจรันโค้ดได้ F5 ให้คะแนน CVSS v4.0 ที่ 9.2 ส่วนบั๊กหมุนคีย์ TLS session ticket อาจทำให้ปลอม session ข้ามการตรวจใบรับรองไคลเอนต์ได้ ทุกช่องโหว่ต้องอาศัยการตั้งค่าเฉพาะ และยังไม่มีรายงานการโจมตีจริง ช่องโหว่ regex map ตัวใหม่เกิดจากแพตช์เดือน ก.ค. จึงต้องอัปเกรดซ้ำ

Let’s Encrypt จะออกใบรับรอง TLS อายุ 64 วันเป็นค่าเริ่มต้นตั้งแต่ 10 กุมภาพันธ์ 2570 แทน 90 วันเดิม เพื่อเตรียมเปลี่ยนเป็น 45 วันในปี 2571 ตามเกณฑ์ CA/Browser Forum ใบรับรอง 90 วันใบสุดท้ายจะหมดอายุ 11 พฤษภาคม 2570 และเริ่มทดสอบใบ 64 วันในระบบ staging แล้ว ระบบที่ใช้ ACME client รองรับ ARI จะต่ออายุตามจังหวะใหม่เอง ส่วนระบบที่ตั้งวันต่ออายุตายตัวควรปรับเป็นราวสองในสามของอายุใบรับรอง

บริษัท Hunt.io นำตัวบ่งชี้ของ BraZetsu ที่ Group-IB เผยแพร่เมื่อ 31 ส.ค. 2569 มาเทียบกับคลังใบรับรอง TLS ของตน พบว่าโฮสต์ C2 ย้ายไปเซิร์ฟเวอร์ใหม่ที่ Njalla ตั้งแต่ 4 เม.ย. หรือเกือบ 5 เดือนก่อนรายงาน ผู้ควบคุมใช้ Hestia Control Panel และตั้งชื่อโฮสต์ขึ้นต้น painel. หรือ c2. บนพอร์ตที่ไม่ใช่ 443 ซ้ำเดิมแม้เปลี่ยนผู้ให้บริการ แฮชมัลแวร์เปลี่ยนไป 5 เวอร์ชันใน 4 เดือน แต่รูปแบบโครงสร้างคงที่ตั้งแต่ ก.พ. ถึง มิ.ย. Hunt.io จึงแนะนำให้สร้างกฎตรวจจับจากรูปแบบแทนการไล่บล็อก IP

บริษัท Cloudflare กำลังสร้าง certificate authority แบบ post-quantum ด้วยเทคนิค Merkle Tree Certificates (MTC) เพื่อทำการยืนยันตัวตนเว็บยุคควอนตัมให้ใช้งานได้จริงโดยไม่ถ่วง TLS ด้วยลายเซ็นขนาดใหญ่ บริษัทประเมินว่าลายเซ็น post-quantum อาจเพิ่มพื้นที่เก็บ Certificate Transparency ถึง 40 เท่า MTC จึงฝัง transparency ไว้ในขั้นออกใบรับรองผ่าน Merkle tree แบบ append-only การทดลองกับผู้ใช้ Chrome Beta พบว่าเร็วขึ้น 9% ตั้งเป้าเข้าสู่ root store ของ Chrome ต้นปี 2027 และออก MTC มาตรฐานได้ฟรี

OpenSSL ออกแพตช์แก้ช่องโหว่ DTLS ระดับสูง CVE-2026-84782 ที่อาจทำให้ข้อมูลหน่วยความจำ heap หลุดไปยังอีกฝั่งของการเชื่อมต่อแบบไม่เข้ารหัส หรือทำให้โปรแกรมล่ม ช่องโหว่เกิดเมื่อมีการส่งซ้ำ handshake ขณะที่ข้อความขนาดใหญ่ยังส่งค้างกลางคัน แก้แล้วใน OpenSSL 4.0.3, 3.6.5, 3.5.9 และ 3.4.8 ส่วนสาย 3.0, 1.1.1 และ 1.0.2 ได้แพตช์เฉพาะลูกค้าพรีเมียม CISA ให้คะแนน CVSS 8.2 และระบุว่ายังไม่พบการโจมตีจริง DTLS ใช้ปกป้องช่องข้อมูล WebRTC และการตั้งกุญแจเข้ารหัสสำหรับการโทรผ่านอินเทอร์เน็ต