Vulnerability

CISA สั่งหน่วยงานรัฐบาลกลางสหรัฐฯ เร่งแพตช์ช่องโหว่ระดับวิกฤต 2 รายการในระบบ Fortinet FortiSandbox คือ CVE-2026-39808 และ CVE-2026-25089 หลังยืนยันว่าถูกใช้โจมตีจริงและเพิ่มเข้าแคตตาล็อก KEV แล้ว ทั้งคู่เป็นช่องโหว่ command injection ที่เปิดให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนรันโค้ดจากระยะไกลได้โดยไม่ต้องอาศัยการกระทำของผู้ใช้ Fortinet ออกแพตช์ไปแล้วตั้งแต่ 14 เมษายนและ 9 มิถุนายน โดยมีเส้นตายตามคำสั่ง BOD 26-04 คือวันที่ 19 กรกฎาคม 2569

CISA สั่งหน่วยงานรัฐกลางสหรัฐฯ แพตช์ช่องโหว่วิกฤต CVE-2026-46817 (CVSS 9.8) ใน Oracle E-Business Suite ที่ถูกโจมตีจริงภายในวันเสาร์ที่ 18 กรกฎาคม ช่องโหว่อยู่ในคอมโพเนนต์ File Transmission ของ Oracle Payments เปิดทางให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนเข้าถึงผ่าน HTTP ยึดระบบได้ Oracle ออกแพตช์ตั้งแต่พฤษภาคม 2026 แต่หลายองค์กรยังไม่อัปเดต Shadowserver พบเซิร์ฟเวอร์เปิดเน็ตกว่า 1,000 เครื่อง

บริษัท Zoom ออกอัปเดตแก้ช่องโหว่ร้ายแรง CVE-2026-53412 (CVSS 9.8) ใน Zoom Workplace สำหรับ Windows ซึ่งเกิดจากการตรวจสอบข้อมูลนำเข้าไม่ถูกต้อง เปิดทางให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนยึดบัญชีได้ผ่านการเข้าถึงเครือข่าย กระทบ Desktop Client, VDI Client และ Meeting SDK บน Windows พร้อมแก้อีก 3 ช่องโหว่ระดับสูงที่เปิดทางยกระดับสิทธิ์ ปัจจุบันยังไม่พบการโจมตีจริง แนะนำให้อัปเดตทันที

n8n แพลตฟอร์มออโตเมชันเวิร์กโฟลว์ มีช่องโหว่ CVE-2026-59208 บนอินสแตนซ์ Enterprise ที่ตั้งค่าเชื่อถือ token issuer มากกว่าหนึ่งราย โดยจับคู่ JWT ที่เข้ามากับบัญชีในระบบจากค่า sub เพียงอย่างเดียว ละเลยค่า iss ทำให้โทเคนจาก issuer หนึ่งที่พก sub ของผู้ใช้อีก issuer หนึ่งล็อกอินเป็นคนนั้นได้โดยไม่ต้องใช้รหัสผ่าน n8n ออกแพตช์ 24 มิ.ย. กระทบเวอร์ชันต่ำกว่า 2.27.4 และ 2.28.0

มีการเปิดเผยช่องโหว่ zero-day ใน AnyDesk รหัส CVE-2026-15682 ที่เปิดทางให้ผู้โจมตีในเครื่อง (local) ทำให้โปรแกรมหรือระบบเข้าสู่สภาวะปฏิเสธการให้บริการ (DoS) ได้ ช่องโหว่อยู่ในฟีเจอร์ Send Support Information โดยผู้โจมตีสร้าง junction (reparse point) หลอกให้บริการ AnyDesk เขียนไฟล์ออกนอกตำแหน่งที่ควรจะเป็น การโจมตีต้องอาศัยการรันโค้ดสิทธิ์ต่ำในเครื่องก่อน จึงลดความเสี่ยงลง แต่ยังอันตรายในสภาพแวดล้อมที่ใช้ร่วมกันหรือถูกเจาะบางส่วนแล้ว ยังไม่มีแพตช์

นักวิจัยจากบริษัท Manifold Security พบช่องโหว่ในส่วนขยาย Claude for Chrome ของบริษัท Anthropic ที่เปิดทางให้ส่วนขยายอันตรายสั่งให้ AI ทำงานแทนผู้ใช้ได้ ต้นเหตุคือส่วนขยายไม่ตรวจสอบคุณสมบัติ Event.isTrusted จึงแยกไม่ออกว่าคลิกมาจากคนจริงหรือจากสคริปต์ ผู้โจมตีจึงสร้างคลิกปลอมบนโดเมน claude.ai เพื่อเรียกงานสำเร็จรูป 9 รายการ เช่น อ่าน Gmail แก้ไขข้อมูลใน Salesforce หรือสร้างนัดหมายใน Google Calendar ล่าสุดยังใช้งานได้กับเวอร์ชัน 1.0.80

Adobe ออกอัปเดตแก้ช่องโหว่ 88 รายการ รวมถึงช่องโหว่วิกฤตหลายตัวใน ColdFusion, Commerce/Magento และ Experience Manager โดย 8 รายการใน ColdFusion เปิดให้รันโค้ดจากระยะไกลได้ ที่ร้ายแรงสุดคือ CVE-2026-48318 คะแนน CVSS 9.9 ขณะที่ Broadcom แก้ช่องโหว่ยืนยันตัวตนหลุดใน VMware Avi Load Balancer (CVE-2026-47865) คะแนน 9.8 ที่ให้ผู้โจมตีเข้าถึง Control plane ได้ ยังไม่พบการโจมตีจริงแต่ผลิตภัณฑ์เหล่านี้เป็นเป้ายอดนิยม

Google และ Mozilla ออกอัปเดต Chrome 150 และ Firefox 152 อุดช่องโหว่ระดับวิกฤต โดย Firefox 152.0.6 แก้ช่องโหว่ร้ายแรง 2 รายการใน WebAssembly และ DOM Navigation ที่มีโค้ดโจมตีเผยแพร่สู่สาธารณะแล้ว ส่วน Chrome แก้ 15 ช่องโหว่ รวม Use-After-Free ระดับวิกฤต 2 รายการใน Ozone แม้ยังไม่พบการโจมตีจริง แต่ผู้ใช้ควรรีบอัปเดตเบราว์เซอร์ทันที

CISA ออกคำเตือนว่าผู้โจมตีกำลังใช้ช่องโหว่ 3 รายการเจาะ SharePoint Server แบบติดตั้งภายในองค์กรที่เปิดสู่อินเทอร์เน็ต ทั้ง CVE-2026-32201, CVE-2026-45659 และ CVE-2026-56164 เพื่อข้ามการยืนยันตัวตน รันโค้ดทางไกล และขโมยคีย์เครื่อง IIS ฝังตัวปล่อยมัลแวร์ Shadowserver พบเซิร์ฟเวอร์เปิดสู่เน็ตเกือบ 10,000 เครื่อง หน่วยงานรัฐกลางสหรัฐฯ ต้องแพตช์ CVE-2026-56164 ภายใน 17 กรกฎาคม

Dell ออกอัปเดตแก้ช่องโหว่ร้ายแรงหลายรายการใน PowerProtect Data Domain ที่เปิดให้ผู้โจมตีไร้ตัวตนจากระยะไกลเข้าควบคุมระบบทั้งเครื่องได้ ช่องโหว่ที่ร้ายแรงที่สุดคือ CVE-2026-53483 (ยืนยันตัวตนไม่รัดกุม) และ CVE-2026-53481 (path traversal) ทั้งคู่คะแนน CVSS 9.8 กระทบ Data Domain appliance, Virtual Edition และ APEX Protection Storage เนื่องจากเป็นระบบสำรองข้อมูล การถูกยึดอาจนำไปสู่การลบสำรองก่อนปล่อยแรนซัมแวร์