Vulnerability

Cisco เตือนช่องโหว่ CVE-2026-20245 (CVSS 7.8) ใน Catalyst SD-WAN Manager ถูกโจมตีจริงแล้ว ผู้โจมตีที่มีสิทธิ์ netadmin สามารถอัปโหลดไฟล์ที่สร้างขึ้นพิเศษเพื่อรันคำสั่งในระดับ root ปัจจุบันยังไม่มีแพตช์หรือมาตรการบรรเทาเฉพาะ Cisco แนะนำให้อัปเกรดเป็นเวอร์ชันที่แก้ CVE-2026-20182 และตรวจสอบ log นับเป็นช่องโหว่ SD-WAN ตัวที่ 7 ที่ถูกโจมตีในปีนี้

CISA เพิ่ม CVE-2026-28318 ช่องโหว่ denial-of-service ระดับสูงใน SolarWinds Serv-U เข้าแคตตาล็อก Known Exploited Vulnerabilities หลังพบหลักฐานการโจมตีจริง ช่องโหว่ CVSS 7.5 เกิดจาก POST request ที่สร้างขึ้นพิเศษพร้อม Content-Encoding: deflate ทำให้บริการล่มโดยไม่ต้องยืนยันตัวตน SolarWinds แก้แล้วในเวอร์ชัน 15.5.4 HF1 หน่วยงานรัฐสหรัฐฯ ต้องแก้ไขภายใน 19 มิถุนายน 2026 ที่ผ่านมา Serv-U เคยถูกกลุ่ม Cl0p โจมตีมาแล้ว

ช่องโหว่ CVE-2026-3300 (CVSS 9.8) ใน Everest Forms Pro plugin สำหรับ WordPress ซึ่งมีผู้ติดตั้งกว่า 4,000 ราย ถูกโจมตีจริงตั้งแต่วันที่ 13 เมษายน 2569 รวมกว่า 29,300 ครั้ง ช่องโหว่เกิดจากฟังก์ชัน process_filter() ที่นำค่าจากผู้ใช้ไปรันใน eval() โดยไม่กรองอักขระพิเศษ แฮ็กเกอร์สามารถสร้างบัญชี admin ปลอมและฝัง web shell ได้ ผู้ดูแลเว็บไซต์ WordPress ที่ใช้ plugin นี้ควรอัปเดตเป็นเวอร์ชัน 1.9.13 โดยด่วน

บริษัท Anthropic ประกาศขยาย Project Glasswing โครงการใช้ AI ค้นช่องโหว่ในซอฟต์แวร์สำคัญ เพิ่มองค์กรใหม่ราว 150 แห่งใน 15+ ประเทศ จากเดิมที่มีพาร์ตเนอร์เริ่มต้นราว 50 ราย ซึ่งใช้ Claude Mythos Preview สแกนโค้ดพบช่องโหว่นับพันรายการ Financial Times รายงานว่าผู้เข้าร่วมใหม่รวมถึง Okta, Samsung, ENISA และ NATO ทั้งนี้ Mythos พบช่องโหว่ที่อาจเกิดขึ้นกว่า 23,000 จุด คาดยืนยันเป็นช่องโหว่ร้ายแรงเกิน 6,000 จุด แต่ความท้าทายถัดไปคือการตรวจสอบและแพตช์

IBM เปิดเผยช่องโหว่ระดับ Critical ใน WebSphere Application Server รหัส CVE-2026-8633 คะแนน CVSS 9.8 ที่ช่วยให้ผู้โจมตีรันโค้ดได้จากระยะไกลผ่าน HTTP request ที่สร้างขึ้นเป็นพิเศษ โดยไม่ต้องมีการยืนยันตัวตน ช่องโหว่นี้เกิดจากการควบคุม code generation ที่ไม่ถูกต้องใน Web Server Plug-ins และยังเปิดความเสี่ยง HTTP request smuggling ด้วย กระทบ WebSphere 8.5 และ 9.0 ทั้งรูปแบบ traditional และ Liberty IBM แนะนำให้แพตช์ทันทีโดยใช้ interim fix สำหรับ APAR PH71342

Etay Maor จาก Cato Networks ชี้ปรากฏการณ์ Zero-Knowledge Threat Actor — ผู้โจมตีที่แทบไม่มีทักษะเทคนิคแต่อาศัย AI สร้างมัลแวร์ หาช่องโหว่ และวางแผนโจมตีหลายขั้น รายงาน Verizon 2026 ระบุการเจาะช่องโหว่กลายเป็นช่องทางเข้าอันดับหนึ่งที่ 31% AI เร่งความเร็วการค้นพบและโจมตี บีบหน้าต่างเวลาเปิดเผยช่องโหว่จนกระบวนการ responsible disclosure แบบเดิมแทบไม่เหลือเวลาหายใจ องค์กรเล็กตกเป็นเป้าง่ายและเป็นประตูสู่ห่วงโซ่อุปทาน

Rapid7 เปิดเผยช่องโหว่ RCE ระดับวิกฤต CVSS 9.4 ใน Gogs ระบบ Git โอเพนซอร์สแบบ self-hosted ยอดนิยม ผู้ใช้ที่ล็อกอินคนใดก็ได้สามารถสั่งรันโค้ดบนเซิร์ฟเวอร์ผ่านการ inject แฟลก –exec เข้าไปในคำสั่ง git rebase ตอน merge ช่องโหว่นี้ยังไม่มีแพตช์แม้แจ้งผู้พัฒนาตั้งแต่มีนาคม 2569 มีเซิร์ฟเวอร์เปิดสู่อินเทอร์เน็ตอย่างน้อย 1,141 เครื่องที่เสี่ยง

Noscope เปิดเผย CVE-2026-27771 ช่องโหว่ใน Gitea ที่ทำให้ผู้ใด้ก็ตามบนอินเทอร์เน็ตดึง private container image ออกไปได้โดยไม่ต้องมีบัญชีหรือรหัสผ่าน กระทบ Gitea ทุกเวอร์ชันก่อน 1.26.2 และ Forgejo fork ด้วย คาดมีมากกว่า 30,000 deployment ที่ได้รับผลกระทบ ช่องโหว่อยู่ในระบบมากกว่า 4 ปีโดยไม่ถูกตรวจพบ

Microsoft เปิดเผย CVE-2026-45659 ช่องโหว่ RCE ระดับ Important ใน SharePoint Server ทุกเวอร์ชัน เกิดจาก deserialization ข้อมูลที่ไม่น่าเชื่อถือ ผู้โจมตีต้องการสิทธิ์แค่ Site Member บน network access โดยไม่ต้องมี admin privilege ความซับซ้อนในการโจมตีต่ำมาก Microsoft ออกแพตช์แล้ว 21 พ.ค. 2569 และยังไม่พบการ exploit จริง

Google Mandiant รายงาน Zero-day CVE-2026-5426 ใน KnowledgeDeliver LMS ระบบ e-learning ยอดนิยมในญี่ปุ่น เกิดจาก hard-coded ASP.NET machineKey ที่ทำให้ผู้โจมตีไม่ต้องล็อกอินก็ craft ViewState payload เพื่อ RCE ได้ หลังเข้าระบบผ่าน Godzilla web shell ผู้โจมตีฝัง Cobalt Strike Beacon ลงเครื่องของผู้ใช้ที่เยี่ยมชมไซต์