Vulnerability

PuTTY เวอร์ชัน 0.84 เปิดตัวพร้อมแพตช์ช่องโหว่ความปลอดภัยหลายรายการ รวมถึงบัก ECDSA ที่ทำให้ SSH handshake crash ได้ก่อน host key validation (ตั้งแต่เวอร์ชัน 0.71), Double-free ใน RSA key exchange ที่เปิดช่อง DoS (เวอร์ชัน 0.72–0.83) และ Telnet trust sigil bypass ที่ทำให้ผู้ใช้อาจป้อนรหัสผ่านให้ server ปลอมโดยไม่รู้ตัว ทั้งหมดสามารถถูก exploit โดย MITM attacker หรือ malicious server ก่อนที่ host key จะได้รับการยืนยัน

นักวิจัยจาก HiddenLayer เปิดเผยช่องโหว่ CVE-2026-45829 หรือ ChromaToast ในฐานข้อมูลเวกเตอร์ ChromaDB ที่ได้คะแนน CVSS 10.0 ช่องโหว่เกิดจากเซิร์ฟเวอร์ประมวลผล Model Identifier จากฝั่ง Client ก่อนตรวจสอบสิทธิ์ ทำให้ผู้โจมตีสั่งรันโค้ดได้ทันทีผ่าน Hugging Face Model ปลอม กระทบ ChromaDB ตั้งแต่เวอร์ชัน 1.0.0 เป็นต้นมา โดยประมาณ 73% ของ Instance ที่เปิดสู่อินเทอร์เน็ตมีช่องโหว่นี้

นักวิจัยจาก InfoGuard Labs เปิดเผยช่องโหว่ 7 รายการใน SEPPMail Secure E-Mail Gateway ซึ่งเป็นโซลูชันรักษาความปลอดภัยอีเมลระดับองค์กร ช่องโหว่ร้ายแรงที่สุดคือ CVE-2026-2743 ที่มีคะแนน CVSS 10.0 เต็ม ทำให้ผู้โจมตีสามารถรันโค้ดจากระยะไกลและอ่านอีเมลทั้งหมดที่ผ่านระบบได้ ช่องโหว่ทั้งหมดถูกแก้ไขแล้วในเวอร์ชัน 15.0.4

นักวิจัยจาก Cyera เปิดเผยช่องโหว่ 4 รายการใน OpenClaw ที่สามารถใช้ร่วมกันเป็นชุดโจมตี Claw Chain เพื่อหลุดจาก sandbox ขโมยข้อมูล ยกระดับสิทธิ์ และฝัง backdoor ถาวรในระบบ ช่องโหว่ร้ายแรงที่สุดมีคะแนน CVSS 9.6 มี instance ที่เปิดสาธารณะกว่า 60,000 แห่ง ทีม OpenClaw แก้ไขแล้วในเวอร์ชัน 2026.4.22

พบช่องโหว่วิกฤต CVE-2026-42945 (CVSS 9.2) ใน NGINX rewrite module ที่ซ่อนอยู่นาน 18 ปี ผู้โจมตีสามารถรันโค้ดจากระยะไกลได้ด้วย HTTP request เพียงครั้งเดียว — ผู้ดูแลเว็บเซิร์ฟเวอร์ควรอัปเดตทันที