Vulnerability

CISA เพิ่มช่องโหว่ระดับร้ายแรงสูงสุด 2 รายการในส่วนขยาย iCagenda และ Balbooa Forms ของ Joomla เข้าแคตตาล็อก KEV หลังมีรายงานการโจมตีแบบ Zero-day ทั้งคู่ได้ CVSS 10.0 CVE-2026-48939 ใน iCagenda เปิดให้อัปโหลดไฟล์ตามอำเภอใจจนรันโค้ด PHP ถูกโจมตีตั้งแต่ 15 มิ.ย. 2569 ผ่านฟอร์ม Submit an Event ส่วน CVE-2026-56291 ใน Balbooa Forms เปิดให้อัปโหลดไฟล์โดยไม่ต้องล็อกอิน ไม่มี CSRF token และไม่เช็กชนิดไฟล์ นำไปสู่ RCE แบบไม่ต้องยืนยันตัวตน หน่วยงานรัฐกลางสหรัฐฯ ต้องแพตช์ภายใน 13 ก.ค. 2569

บริษัท Miggo เปิดเผยช่องโหว่ CVE-2026-5721 (CVSS 8.7) ใน RabbitMQ message broker โอเพนซอร์สยอดนิยม ปัญหาอยู่ที่ endpoint จัดการที่ล้าสมัยซึ่งคืนค่า OAuth Secret ให้ทุกคนโดยไม่ต้องยืนยันตัวตน ผู้โจมตีที่เข้าถึงพอร์ตจัดการได้สามารถดึง Secret ไปสวมรอย broker เพื่อขอโทเคนแอดมิน แล้วยึดควบคุมผู้ใช้ ข้อความ คิว และการตั้งค่าทั้งหมด กระทบเวอร์ชัน 3.13.0 ขึ้นไปที่ตั้งค่า OAuth 2/OIDC แก้แล้วในเวอร์ชัน 4.3.0, 4.2.6, 4.1.11, 4.0.20 และ 3.13.15 ยังไม่พบการโจมตีจริง

นักวิจัย MrBruh เปิดเผยช่องโหว่รันโค้ดจากระยะไกลแบบไม่ต้องยืนยันตัวตนในเราเตอร์ Wi-Fi Motorola MR2600 ที่เปิดให้ผู้โจมตีในเครือข่ายภายในอัปโหลดและติดตั้งเฟิร์มแวร์อันตรายโดยไม่ต้องล็อกอิน อาศัยข้อบกพร่อง 2 จุด คือตัวจัดการอัปโหลดบันทึกไฟล์ก่อนเช็กสิทธิ์ และตรรกะยืนยันตัวตนที่จับคู่ URL ไม่สม่ำเสมอจนถูกข้ามได้ เนื่องจากไม่มีการเซ็นเฟิร์มแวร์ด้วยลายเซ็นดิจิทัล ผู้โจมตีจึงสร้างเฟิร์มแวร์ปลอมที่ผ่านการตรวจได้ อุปกรณ์นี้เป็น End-of-life แนะนำให้ปิด remote management และเปลี่ยนอุปกรณ์

บริษัท Zimbra เร่งให้ลูกค้าอัปเดตแพตช์อุดช่องโหว่ร้ายแรงใน Classic Web Client ที่เปิดทางรันโค้ดโดยพลการได้ ช่องโหว่นี้เป็นแบบ Stored XSS ที่ทำให้อีเมลซึ่งถูกดัดแปลงเป็นพิเศษสามารถรันสคริปต์อันตรายในเซสชันของผู้ใช้เมื่อเปิดอ่าน หากถูกโจมตีสำเร็จอาจเข้าถึงข้อมูลกล่องจดหมาย ข้อมูลเซสชัน หรือการตั้งค่าบัญชีได้ ช่องโหว่ยังไม่ได้รับหมายเลข CVE และแม้ Zimbra ไม่ได้ระบุว่ามีการโจมตีจริง แต่ช่องโหว่ XSS ใน Zimbra เป็นเป้าหมายยอดนิยมของผู้โจมตีมานานหลายปี แนะนำให้อัปเดตเป็นเวอร์ชัน 10.1.19

ศูนย์ความมั่นคงไซเบอร์ออสเตรเลีย (ACSC) ออกประกาศเตือนแคมเปญโจมตีระดับโลกที่มุ่งเป้าระบบจัดการเนื้อหา (CMS) และปลั๊กอินที่มีช่องโหว่ ระบุว่าธุรกิจขนาดเล็กถึงกลางในออสเตรเลียจำนวนมากถูกโจมตีแล้ว โดยผู้โจมตีสแกนหาเว็บไซต์เพื่อฝัง Webshell ที่เปิดทางเข้าถึงระบบอย่างต่อเนื่อง ขโมยข้อมูลล็อกอิน และเคลื่อนตัวลึกเข้าเครือข่าย ช่องโหว่ครอบคลุมทั้ง WordPress, Craft CMS, Joomla JCE และปลั๊กอินยอดนิยมหลายตัว ACSC ยังเตือนว่าแคมเปญนี้อาจมี AI ช่วยเร่งการโจมตี

นักวิจัยจากบริษัท FoxIO เปิดเผยช่องโหว่ชื่อ XRING ในไลบรารี XQUIC ของ Alibaba ซึ่งเป็นไลบรารี QUIC และ HTTP/3 แบบโอเพนซอร์ส ผู้โจมตีระยะไกลส่งทราฟฟิก QPACK ปกติเพียงราว 260 ไบต์ก็ทำให้เซิร์ฟเวอร์ล่มได้ โดยไม่ต้องล็อกอินและไม่ต้องใช้แพ็กเก็ตผิดรูป ต้นตอคือการคำนวณขนาดบัฟเฟอร์ผิดจนเกิด integer underflow กระทบทุกเวอร์ชันถึง v1.9.4 รวมถึงเว็บเซิร์ฟเวอร์ Tengine ที่รองรับ Taobao และ Alipay ปัจจุบันยังไม่มีแพตช์และยังไม่มี CVE

บริษัท Progress Software สั่งให้ลูกค้า ShareFile ปิดเซิร์ฟเวอร์ Windows ที่รัน Storage Zone Controller ทันที โดยยืนยันว่ากำลังรับมือ ‘ภัยคุกคามจากภายนอกที่น่าเชื่อถือ’ และระงับการเข้าถึงบัญชีที่ได้รับผลกระทบชั่วคราว บริษัทระบุยังไม่พบสัญญาณการเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต แต่ไม่เปิดเผยว่าภัยคุกคามคืออะไร การสั่งปิดทั้งระบบแทนการแพตช์บ่งชี้ว่าอาจยังไม่มีตัวแก้ไข กระทบเฉพาะ Storage Zone Controller ไม่ใช่บัญชีคลาวด์ทั่วไป

มีรายละเอียดออกมาเกี่ยวกับ 3 ช่องโหว่ร้ายแรงในผู้ช่วย AI ส่วนตัว OpenClaw ที่หากถูกใช้ประโยชน์จะเปิดทางขโมย credential ยกระดับสิทธิ์ และรันโค้ดบนเครื่องโฮสต์ได้ นาย Chinmohan Nayak สาธิตว่าช่องโหว่เหล่านี้ต่อกันเป็นห่วงโซ่ให้รันโค้ดบนโฮสต์จากข้อความ WhatsApp ภายนอกได้โดยไม่ต้องมีจุดยืนก่อน หนึ่งในช่องโหว่คือ path traversal ที่ยอมให้ mount โฟลเดอร์แม่ /home หรือ /var ทะลุ denylist จนอ่าน SSH key, AWS credential และ Docker socket ได้ แก้ไขแล้วในเวอร์ชัน 2026.6.6

นักวิจัยจากบริษัท Binarly พบ 6 ช่องโหว่ใหม่ใน U-Boot โปรแกรมบูตขนาดเล็กที่ใช้ในเราเตอร์ กล้องอัจฉริยะ และชิปจัดการในเซิร์ฟเวอร์ดาต้าเซ็นเตอร์ สี่ช่องโหว่ทำอุปกรณ์ล่ม อีกสองช่องโหว่เปิดทางให้ผู้โจมตีที่สอดอิมเมจอันตรายรันโค้ดของตนก่อนอุปกรณ์ตรวจลายเซ็น โค้ดที่มีช่องโหว่ฝังใน U-Boot ตั้งแต่ v2013.07 กว่า 50 รุ่น ติดตามเป็น BRLY-2026-037 ถึง 042 ยังไม่มี CVE และยังไม่มีรุ่นแก้ไขทางการ ผู้ผลิตต้องดึงแพตช์ upstream มาใช้เอง

Roundcube ปล่อยเวอร์ชัน 1.7 แก้ช่องโหว่ 6 รายการ รวมถึง Stored XSS ระดับวิกฤต 2 ตัวที่ทำงานแบบ zero-click ไม่ต้องให้เหยื่อคลิก CVE-2026-54432 เกิดจากการแสดงชนิดไฟล์ (MIME type) ของไฟล์แนบโดยไม่กรอง ทำให้สคริปต์รันทันทีที่หน้าเตือนโหลด ส่วน CVE-2026-54433 อยู่ในเอนจินแสดงข้อความแบบ plain-text แค่เปิดอ่านเมลก็ถูกฝังสคริปต์เงียบ ๆ ทั้งคู่เปิดทางขโมย session และเข้าถึงกล่องเมลโดยไม่ต้องมีปฏิสัมพันธ์ นักวิจัยแนะนำให้อัปเดตด่วนกว่ารอบแพตช์ปกติ