Vulnerability

Microsoft ปล่อยแพตช์ประจำเดือน (Patch Tuesday) ครั้งใหญ่ที่สุดเท่าที่เคยมี รวม 622 ช่องโหว่ มากกว่าสถิติเดิมของเดือนมิถุนายนกว่า 3 เท่า ในจำนวนนี้มี 2 Zero-Day ที่ถูกใช้โจมตีจริงแล้ว ทั้งคู่เป็นช่องโหว่ยกระดับสิทธิ์ใน SharePoint Server (CVE-2026-56164) และ AD FS (CVE-2026-56155) ซึ่งเป็นระบบยืนยันตัวตนหลักขององค์กร ผู้เชี่ยวชาญเตือนให้เลิกจัดลำดับความสำคัญตามคะแนน CVSS แล้วหันมาแพตช์ตามช่องโหว่ที่ถูกใช้โจมตีจริงก่อน

SonicWall แจ้งเตือนช่องโหว่ zero-day สองรายการใน SMA1000 คือ CVE-2026-15409 (SSRF, CVSS 10.0) และ CVE-2026-15410 (code injection, CVSS 7.2) ซึ่งถูกโจมตีจริงแล้ว ช่องโหว่กระทบรุ่น 6210, 7210 และ 8200v ผู้โจมตีสามารถบังคับอุปกรณ์ส่งคำขอไปยังปลายทางที่ไม่ได้ตั้งใจและรันคำสั่งระบบปฏิบัติการได้ CISA เพิ่มทั้งสองช่องโหว่ลง KEV catalog แล้ว ไม่มีวิธีบรรเทาอื่นนอกจากอัปเดตเป็น hotfix 12.4.3-03453 หรือ 12.5.0-02835 ขึ้นไปเท่านั้น

ทีมวิจัยของบริษัท Intruder เปิดเผยการสร้างไปป์ไลน์ที่ใช้ LLM ร่วมกับเครื่องมือสแกนโค้ด ค้นพบและพัฒนาโค้ดโจมตีช่องโหว่ zero-day แบบอัตโนมัติทั้งกระบวนการโดยไม่มีมนุษย์แทรกแซง ช่องโหว่แรกที่พบคือ CVE-2026-3985 ช่องโหว่ SQL injection ในปลั๊กอิน Creative Mail ของ WordPress ที่ต้องส่งคำขอหลายขั้นต่อเนื่องจึงเจาะได้ เปิดให้อ่านฐานข้อมูลรวมถึงแฮชรหัสผ่านแอดมิน สะท้อนว่า AI กำลังเร่งความเร็วการค้นหาช่องโหว่ทั้งฝ่ายรับและฝ่ายโจมตี

นักวิจัยจาก Mindgard เปิดเผยช่องโหว่ในโปรแกรม Cursor บน Windows ที่เพียงเปิดโปรเจกต์ซึ่งมีไฟล์ชื่อ git.exe วางอยู่ใน root ของโปรเจกต์ Cursor จะรันไฟล์นั้นทันทีโดยไม่มีการถามหรือเตือน ทำให้แค่โคลน repository ของคนแปลกหน้ามาเปิดก็เท่ากับรันโค้ดอันตรายในสิทธิ์ของผู้ใช้ ช่องโหว่นี้ยังไม่มีแพตช์และเป็นปัญหาคลาสเดียวกับที่พบใน GitHub Copilot CLI, Gemini CLI และ Codex

บริษัท Progress Software ยืนยันว่าต้นเหตุที่สั่งลูกค้าปิด ShareFile Storage Zone Controller เมื่อสัปดาห์ก่อนคือช่องโหว่ zero-day ระดับรุนแรงสูง เป็นชนิด path traversal กระทบเวอร์ชัน 5.x และ 6.x ทั้งหมด ผู้ดูแลระบบที่ยืนยันตัวตนแล้วสามารถอ่านไฟล์ เขียนไฟล์อันตราย หรือสำรวจโครงสร้างไฟล์บนเซิร์ฟเวอร์ได้ บริษัทออกแพตช์เวอร์ชัน 5.12.5 และ 6.0.2 แล้ว และจะเปิดเผยหมายเลข CVE ในอีก 2 สัปดาห์ ยืนยันยังไม่พบสัญญาณว่ามีลูกค้าถูกเจาะ

SAP ออกแพตช์ประจำเดือนกรกฎาคม 2569 อุดช่องโหว่ร้ายแรงหลายรายการ นำโดย CVE-2026-44747 (CVSS 9.9) ใน NetWeaver Application Server ABAP ที่เปิดให้ผู้โจมตีที่ยืนยันตัวตนแล้วทำหน่วยความจำเสียหายจนเข้าถึงหรือแก้ไขข้อมูลได้ พร้อมอีก 2 ช่องโหว่ CVSS 9.1 ใน Approuter และ Commerce Cloud ยังไม่พบการโจมตีจริงแต่แนะนำให้รีบแพตช์

CISA เพิ่มช่องโหว่ระดับร้ายแรงสูงสุด 2 รายการในส่วนขยาย iCagenda และ Balbooa Forms ของ Joomla เข้าแคตตาล็อก KEV หลังมีรายงานการโจมตีแบบ Zero-day ทั้งคู่ได้ CVSS 10.0 CVE-2026-48939 ใน iCagenda เปิดให้อัปโหลดไฟล์ตามอำเภอใจจนรันโค้ด PHP ถูกโจมตีตั้งแต่ 15 มิ.ย. 2569 ผ่านฟอร์ม Submit an Event ส่วน CVE-2026-56291 ใน Balbooa Forms เปิดให้อัปโหลดไฟล์โดยไม่ต้องล็อกอิน ไม่มี CSRF token และไม่เช็กชนิดไฟล์ นำไปสู่ RCE แบบไม่ต้องยืนยันตัวตน หน่วยงานรัฐกลางสหรัฐฯ ต้องแพตช์ภายใน 13 ก.ค. 2569

บริษัท Miggo เปิดเผยช่องโหว่ CVE-2026-5721 (CVSS 8.7) ใน RabbitMQ message broker โอเพนซอร์สยอดนิยม ปัญหาอยู่ที่ endpoint จัดการที่ล้าสมัยซึ่งคืนค่า OAuth Secret ให้ทุกคนโดยไม่ต้องยืนยันตัวตน ผู้โจมตีที่เข้าถึงพอร์ตจัดการได้สามารถดึง Secret ไปสวมรอย broker เพื่อขอโทเคนแอดมิน แล้วยึดควบคุมผู้ใช้ ข้อความ คิว และการตั้งค่าทั้งหมด กระทบเวอร์ชัน 3.13.0 ขึ้นไปที่ตั้งค่า OAuth 2/OIDC แก้แล้วในเวอร์ชัน 4.3.0, 4.2.6, 4.1.11, 4.0.20 และ 3.13.15 ยังไม่พบการโจมตีจริง

นักวิจัย MrBruh เปิดเผยช่องโหว่รันโค้ดจากระยะไกลแบบไม่ต้องยืนยันตัวตนในเราเตอร์ Wi-Fi Motorola MR2600 ที่เปิดให้ผู้โจมตีในเครือข่ายภายในอัปโหลดและติดตั้งเฟิร์มแวร์อันตรายโดยไม่ต้องล็อกอิน อาศัยข้อบกพร่อง 2 จุด คือตัวจัดการอัปโหลดบันทึกไฟล์ก่อนเช็กสิทธิ์ และตรรกะยืนยันตัวตนที่จับคู่ URL ไม่สม่ำเสมอจนถูกข้ามได้ เนื่องจากไม่มีการเซ็นเฟิร์มแวร์ด้วยลายเซ็นดิจิทัล ผู้โจมตีจึงสร้างเฟิร์มแวร์ปลอมที่ผ่านการตรวจได้ อุปกรณ์นี้เป็น End-of-life แนะนำให้ปิด remote management และเปลี่ยนอุปกรณ์

บริษัท Zimbra เร่งให้ลูกค้าอัปเดตแพตช์อุดช่องโหว่ร้ายแรงใน Classic Web Client ที่เปิดทางรันโค้ดโดยพลการได้ ช่องโหว่นี้เป็นแบบ Stored XSS ที่ทำให้อีเมลซึ่งถูกดัดแปลงเป็นพิเศษสามารถรันสคริปต์อันตรายในเซสชันของผู้ใช้เมื่อเปิดอ่าน หากถูกโจมตีสำเร็จอาจเข้าถึงข้อมูลกล่องจดหมาย ข้อมูลเซสชัน หรือการตั้งค่าบัญชีได้ ช่องโหว่ยังไม่ได้รับหมายเลข CVE และแม้ Zimbra ไม่ได้ระบุว่ามีการโจมตีจริง แต่ช่องโหว่ XSS ใน Zimbra เป็นเป้าหมายยอดนิยมของผู้โจมตีมานานหลายปี แนะนำให้อัปเดตเป็นเวอร์ชัน 10.1.19