Vulncheck

สองวันหลัง PHP ออกแพตช์ฉุกเฉิน PHP2Shell ผู้โจมตีไล่ใช้ช่องโหว่อย่างหนัก แต่ ณ 23 ตุลาคม 2569 ยังไม่มีการยืนยันว่ามีระบบถูกเจาะ Sophos พบความพยายามติดตั้ง Potassium บอตเน็ตสายพันธุ์ Mirai ซึ่งถูกสกัดไว้ได้ ส่วน SOCRadar และ Hunt.io พบชุดโค้ดโจมตีที่ทดสอบกับเซิร์ฟเวอร์ 123 เครื่องโดยไม่สำเร็จสักเครื่อง VulnCheck แสดงว่าข้าม ASLR บนเครื่องแบบโปรดักชันได้จริง ความเสี่ยงที่ใหญ่กว่า คือ PHP ราว 71% ที่ Qualys สำรวจยังใช้เวอร์ชันหมดอายุซึ่งไม่มีวันได้แพตช์

นักวิจัย beaksec เผยแพร่ PoC ช่องโหว่ CVE-2026-107181 ใน Telegram Desktop ก่อนเวอร์ชัน 7.2.9 คะแนน CVSS 4.0 อยู่ที่ 8.6 ช่องทาง IPC ที่รับลิงก์จากภายนอกไม่ escape ตัวคั่นระเบียน ผู้โจมตีจึงแทรกคำสั่งไปเรียกตัวช่วยเก่าที่อ่านไฟล์ในเครื่องแล้วส่งเข้าแชทได้ ไฟล์ session ที่ถูกขโมยใช้ยึดบัญชีได้หากไม่ได้ตั้ง local passcode ช่องโหว่แก้แล้วในเวอร์ชัน 7.2.9 และยังไม่พบการโจมตีจริง

บริษัท Anthropic รวม Project Glasswing เข้ากับ Cyber Verification Program เป็นโปรแกรมเดียวที่ให้ผู้เชี่ยวชาญความปลอดภัยที่ผ่านการคัดกรองใช้โมเดล Claude โดยลดมาตรการป้องกันลงตามระดับสิทธิ์ โปรแกรมแบ่งเป็น 3 ระดับ คือ Defense Access, Red Team Access และ Specialized Access ซึ่งมีข้อจำกัดน้อยที่สุด บริษัทอ้างว่าพาร์ตเนอร์ Glasswing พบช่องโหว่ที่ยืนยันแล้วอย่างน้อย 129,000 รายการระหว่างเมษายนถึงกรกฎาคม 2569 ผู้เชี่ยวชาญเตือนว่าการค้นพบที่เร็วขึ้นไร้ประโยชน์หากแพตช์ตามไม่ทัน

บริษัท VulnCheck พบความพยายามโจมตีช่องโหว่ CVE-2026-61500 (CVSS 9.3) ใน Rejetto HTTP File Server เวอร์ชัน 3.0.0 ถึง 3.2.0 แล้ว ช่องโหว่เกิดจากการสร้างคีย์ลงนามคุกกี้เซสชันด้วย Math.random() ซึ่งไม่ปลอดภัยเชิงการเข้ารหัส ผู้โจมตีกู้คีย์จากการตอบกลับตอนล็อกอินเพียงไม่กี่ครั้ง แล้วปลอมเซสชันผู้ดูแลระบบเพื่อรัน JavaScript ฝั่งเซิร์ฟเวอร์ได้ แพตช์ออกในเวอร์ชัน 3.2.1 ตั้งแต่กรกฎาคม แต่ PoC สาธารณะเพิ่งปรากฏปลายกันยายน กิจกรรมที่พบยังเป็นการสอดแนมขนาดเล็กจาก IP เดียวในจีน

บริษัท VulnCheck เตือนว่าช่องโหว่ร้ายแรงใน Issabel Framework เฟรมเวิร์กบนเว็บของซอฟต์แวร์ตู้สาขาโทรศัพท์ (PBX) โอเพนซอร์ส กำลังถูกใช้โจมตีจริง ช่องโหว่รหัส CVE-2026-89026 คะแนน CVSS v3.1 9.8 เกิดจากกุญแจเซ็น JWT แบบ HS256 ที่ฝังตายในโค้ดและเหมือนกันทุกการติดตั้ง ทำให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนปลอมโทเค็นแล้วสั่ง Asterisk รันคำสั่งระบบตามอำเภอใจได้ แพตช์ออกตั้งแต่ 1 สิงหาคม 2569 และ Shadowserver พบการโจมตีจริงครั้งแรกเมื่อ 9 กันยายน ผู้ใช้ควรรีบอัปเดตโดยด่วน

นาย Jacob Baines จาก VulnCheck เปิดเผยว่าเราเตอร์ของบริษัทจีน ZBT ที่ขายแบบไวท์เลเบลทั่วโลกมีแบ็กดอร์เพิ่มอีก 2 ตัวชื่อ SpeakingStone และ DarkLantern ซึ่งเป็นรุ่นก่อนหน้าของ EndlessDoors และถูกฝังในเฟิร์มแวร์มาตั้งแต่ราวปี 2562 DarkLantern เปิดพอร์ต UDP รอรับการเชื่อมต่อเข้ามา ส่วน SpeakingStone ส่งพิกัด GPS ออกไปและรับคำสั่งรวมถึงการปลอมแปลง DNS ได้ VulnCheck พบ DarkLantern ที่เปิดสู่อินเทอร์เน็ต 203 เครื่องใน 3 วัน และดักการเชื่อมต่อของ SpeakingStone ได้ 392 ครั้ง

บริษัท watchTowr และ VulnCheck รายงานตรงกันว่าช่องโหว่วิกฤต 2 รายการในซอฟต์แวร์โอเพนซอร์สถูกสแกนและโจมตีจริงแล้ว ตัวแรกคือ CVE-2026-64849 (CVSS 9.3) ช่องโหว่ SSRF ใน MLflow ที่ผู้โจมตีไม่ต้องล็อกอินก็สั่งเซิร์ฟเวอร์ให้ยิงคำขอไปยัง cloud metadata endpoint แล้วดึงข้อมูลรับรองออกมาได้ ตัวที่สองคือ CVE-2026-25895 (CVSS 9.5) ใน FUXA ซอฟต์แวร์ SCADA/HMI ที่เขียนไฟล์ทับได้โดยไม่ต้องยืนยันตัวตน watchTowr พบการสแกนภายในไม่กี่ชั่วโมงหลังออกเลข CVE และ CISA เพิ่ม CVE-2026-64849 เข้า KEV แล้ว

บริษัท VulnCheck เปิดเผยแบ็กดอร์ที่ติดตั้งมาจากโรงงานในเราเตอร์ Zbtlink ของจีนอย่างน้อย 20 รุ่น พบในเฟิร์มแวร์ทั้ง 21 ไฟล์ที่เปิดให้ดาวน์โหลดครอบคลุมกว่า 2 ปี ตัวฝังชื่อ ENDLESSDOORS ปลอมตัวเป็นเธรดของเคอร์เนล Linux แต่จริงๆ รันด้วยสิทธิ์ root และติดต่อเซิร์ฟเวอร์ควบคุมในจีนทุก 35 วินาที โดยไม่มีการยืนยันตัวตนใดๆ ทำให้ใครก็ตามที่ควบคุมเส้นทางเครือข่ายหรือชื่อโดเมนปลายทางได้ สามารถสั่งเปิดเชลล์ root แบบโต้ตอบบนเราเตอร์เหล่านั้น