Vulnerability-Disclosure

Microsoft เริ่มใช้ระบบประเมินรายงาน Complete และ Not Complete ในโครงการบั๊กบาวน์ตีทั้งหมด กับรายงานที่ส่งตั้งแต่ 20 ตุลาคม 2569 ใน Azure รายงาน RCE หรือยกระดับสิทธิ์ระดับ Critical ที่สมบูรณ์ได้ 40,000 ดอลลาร์ แต่ถ้าไม่สมบูรณ์ได้เพียง 4,000 ดอลลาร์ รายงานที่สมบูรณ์ต้องมีขั้นตอนทำซ้ำ PoC ที่ใช้ได้จริง และหลักฐานตามประเภทช่องโหว่ ตั้งแต่ครั้งแรกที่ส่ง Microsoft ระบุว่างานวิจัยที่ใช้ AI ช่วยทำให้ส่งรายงานจำนวนมากได้ง่ายขึ้น

บริษัท Google หยุดรับรายงานช่องโหว่ผลิตภัณฑ์ผ่านโครงการ OSS VRP ตั้งแต่ 1 ตุลาคม ครอบคลุมโครงการอย่าง Go, Angular และ Protocol Buffers โดยให้เหตุผลว่ามีรายงานอัตโนมัติเพิ่มขึ้นมาก และส่วนใหญ่ไม่ถูกต้อง Google เรียกว่าเป็นการหยุดชั่วคราวและจะอัปเดตในไตรมาสแรกของปี 2570 แต่ไม่ได้กำหนดวันกลับมารับรายงาน รางวัลสำหรับช่องโหว่ห่วงโซ่อุปทานและปัญหาความปลอดภัยอื่นยังคงอยู่ ผู้วิจัยถูกแนะนำให้ไปใช้ Cloud VRP, Patch Rewards หรือโครงการรางวัลอื่นแทน

ไมโครซอฟท์ยืนยันเมื่อวันศุกร์ว่าได้เริ่มพัฒนาแพตช์สำหรับช่องโหว่ zero-day ใน Microsoft Defender ชื่อ ShieldBreak แล้ว พร้อมกำหนดหมายเลขติดตามเป็น CVE-2026-69414 ช่องโหว่นี้เป็นการยกระดับสิทธิ์ที่ผู้โจมตีในเครื่องซึ่งมีสิทธิ์จำกัดสามารถใช้ขึ้นเป็น SYSTEM บน Windows 10, Windows 11 และ Windows Server ที่แพตช์ครบแล้วได้ นักวิเคราะห์ยืนยันว่าโค้ดสาธิตใช้งานได้จริงแต่ต้องเปิด Defender อยู่ ขณะที่ผู้เปิดเผยยังปล่อยช่องโหว่ออกมาโดยไม่แจ้งผู้ผลิตล่วงหน้าท่ามกลางข้อพิพาทเรื่องนโยบายเปิดเผยช่องโหว่

นักวิจัยจาก SSD Secure Disclosure เผยแพร่ห่วงโซ่การโจมตีสองขั้นที่ยึดสิทธิ์ระดับเคอร์เนลของ Android ได้เต็มรูปแบบผ่านสายวิดีโอ VoLTE บนอุปกรณ์ที่ใช้เฟิร์มแวร์โมเด็มของ Unisoc ต้นเหตุคือหน่วยความจำกายภาพที่โปรเซสเซอร์โมเด็มกับโปรเซสเซอร์แอปพลิเคชันใช้ร่วมกันโดยไม่มีเส้นแบ่งระดับฮาร์ดแวร์ ยืนยันแล้วบน Motorola E13 และ Xiaomi Redmi A5 ที่ติดตั้งแพตช์แล้ว นักวิจัยระบุว่าติดต่อผู้ผลิตหลายช่องทางแต่ไม่ได้รับการตอบกลับ และยังไม่มีเลข CVE หรือแพตช์ใด ๆ

CISA และหน่วยงานความมั่นคงไซเบอร์พันธมิตร 4 ชาติ (NSA, JPCERT/CC, NCSC-NL, NCSC-UK) ออกไกด์แนะนำผู้ผลิตซอฟต์แวร์ให้สร้างโปรแกรมเปิดเผยช่องโหว่แบบประสานงาน (Coordinated Vulnerability Disclosure) เพื่อทำงานกับนักวิจัยด้านความปลอดภัย ไกด์แนะให้เผยแพร่นโยบายชัดเจน ใช้ไฟล์ security.txt กำหนดขอบเขตทดสอบให้กว้าง และตอบรับภายใน 2-3 วันทำการ ที่น่าสนใจคือหลายข้อมาจากบทเรียนความล้มเหลวของ CISA เองที่นักวิจัยแจ้งช่องโหว่ไม่ถึง