Unit-42

PHP2Shell ช่องโหว่ RCE วิกฤตใน PHP มีเหยื่อที่ถูกเจาะสำเร็จรายแรกแล้ว คือ หน่วยงานรัฐแห่งหนึ่งในยุโรป ตามรายงานของ Unit 42 ผู้โจมตีใช้เอเจนต์ AI สั่งงานแทนคน ได้ hash รหัสผ่านและ secret ของ MFA ใน 2 ชั่วโมง แล้วเจาะต่อเข้า Active Directory ขณะเดียวกัน CYFIRMA พบกลุ่มที่สงสัยว่าเป็น Lazarus ของเกาหลีเหนือทำรายชื่อเซิร์ฟเวอร์ PHP ที่ยังไม่แพตช์ไว้ 216 เครื่อง รวมถึงในไทย การสแกนทำแบบช้าและเปลี่ยนต้นทางตลอด จึงหลบการแจ้งเตือนทั่วไปได้ ผู้ดูแลระบบควรอัปเกรด PHP ทันทีและตรวจล็อกหาร่องรอยการเจาะ

Unit 42 ของ Palo Alto Networks ยังพบกลุ่มแรนซัมแวร์ใช้ช่องโหว่ CVE-2026-0257 (CVSS 7.8) ใน PAN-OS และ Prisma Access ที่แพตช์ไปตั้งแต่พฤษภาคม กลุ่มที่ระบุชื่อคือ Qilin และ INC ซึ่งใช้ช่องโหว่ข้าม MFA ตั้งเซสชัน VPN เข้าเครือข่ายเหยื่อ จุดที่เปลี่ยนไปคือการกระโดดตรงเข้าระบบเสมือน ทั้ง vCenter และ ESXi แล้วดึง credential จากดิสก์เสมือนของ DC แบบออฟไลน์เพื่อหลบ EDR ผู้โจมตียังเล็ง Veeam ผ่าน CVE-2023-27532

Unit 42 เปิดเผยเคสธนาคารแห่งหนึ่งในยุโรปที่ถูกบุกรุกผ่านเกตเวย์ VPN ซึ่งผู้ให้บริการภายนอกดูแลและบังคับยืนยันตัวตนไม่เข้มพอ ผู้บุกรุกใช้บัญชีที่ถูกขโมยเข้ามา สแกนระบบหลายพันเครื่อง และเดารหัสผ่านบัญชีแอดมินอยู่หลายเดือน ผู้บุกรุกยังดึงเอกสารภายในจาก share และหน้าเว็บภายในไปด้วย สุดท้ายพยายามใช้ช่องโหว่ RCE ของ WSUS บนเซิร์ฟเวอร์จัดการคอนฟิกกลางแต่ถูกสกัดได้ บทเรียนคือบัญชีที่ใช้ได้จริงบนเกตเวย์ภายนอกเปิดทางเข้าเครือข่ายภายในได้โดยไม่ต้องใช้ช่องโหว่

หน่วยวิจัย Unit 42 ของบริษัท Palo Alto Networks เปิดเผยว่าผู้โจมตีที่ใช้ภาษาจีนนำโมเดล DeepSeek มาทำงานผ่านเฟรมเวิร์กโอเพนซอร์ส Hermes Agent เพื่อโจมตีแบบอัตโนมัติ หลังสั่งงานครั้งแรกผ่าน Telegram เอเจนต์ก็ค้นหาระบบที่เปิดสู่อินเทอร์เน็ตและเลือกโค้ดโจมตีสาธารณะเอง โดยไม่พบคำสั่งเพิ่มเติมจากผู้ควบคุมในเซสชันนั้น รวมความพยายามโจมตีเป้าหมายกว่า 460 แห่งผ่านเส้นทางโจมตี 7 เส้นที่ครอบคลุม 8 หมายเลข CVE ปฏิบัติการถูกเปิดโปงเพราะเอเจนต์เผลอเปิดเว็บเซิร์ฟเวอร์ทิ้งไว้จนไฟล์ตั้งค่าและคีย์ API หลุด

นักวิจัย Unit 42 ของ Palo Alto Networks เปิดโปงเทคนิคใหม่ชื่อ phantom squatting ที่แฮ็กเกอร์ฉวยจดโดเมนซึ่งโมเดล AI มโน (hallucinate) ขึ้นมาทั้งที่ไม่มีอยู่จริง เพื่อตั้งหน้าฟิชชิงและแพร่มัลแวร์ จากการทดสอบถาม AI กว่า 685,000 คำถาม พบลิงก์ 2.1 ล้านลิงก์ โดยกว่า 250,000 โดเมนยังไม่มีเจ้าของ ช่องโหว่นี้ฝังในสถาปัตยกรรม LLM จนแทบแพตช์ไม่ได้ ผู้ใช้ควรตรวจสอบโดเมนก่อนเชื่อลิงก์ที่ AI ให้มาเสมอ

นักวิจัย Unit 42 เปิดเผยเทคนิคโจมตีคลาวด์ใหม่ชื่อ bucket hijacking ที่เปิดให้ผู้โจมตีเปลี่ยนเส้นทางสตรีมข้อมูลขององค์กร รวมถึง audit log และ telemetry ไปยัง storage bucket ที่ผู้โจมตีควบคุม ยืนยันว่ากระทบทั้ง Google Cloud, AWS และ Azure เทคนิคนี้อาศัยข้อบกพร่องเชิงสถาปัตยกรรมที่ชื่อ bucket ต้องไม่ซ้ำกันทั่วทั้งระบบ ทำให้การลบแล้วสร้าง bucket ชื่อเดิมในบัญชีผู้โจมตีดูดข้อมูลต่อไปได้โดยไม่มีการแจ้งเตือน

Palo Alto Networks Unit 42 เผยกลุ่ม APT พูดภาษาจีน CL-STA-1062 ใช้แบ็กดอร์ใหม่ TinyRCT โจมตีหน่วยงานรัฐและโครงสร้างพื้นฐานสำคัญในเอเชียตะวันออกเฉียงใต้ เน้นรัฐวิสาหกิจด้านพลังงานและภาครัฐ พบเจาะอย่างน้อย 10 องค์กรในภูมิภาคช่วงปลายปี 2025 ขโมยซอร์สโค้ดเว็บเซิร์ฟเวอร์ทั้งไดเรกทอรี TinyRCT รันคำสั่ง ขโมยไฟล์ จับภาพหน้าจอ และลบตัวเองได้