Vulnerability

ช่องโหว่ CVE-2026-48842 (CVSS 8.1) ใน Roundcube Webmail ที่แพตช์ไปตั้งแต่พฤษภาคม 2026 ถูกใช้โจมตีจริงแล้ว โดย Canadian Centre for Cyber Security ออกเตือนเมื่อ 21 กันยายน จุดบกพร่องอยู่ในปลั๊กอิน virtuser_query เป็น pre-authentication SQL injection ที่ผู้โจมตีไม่ต้องมีบัญชีหรืออาศัยการโต้ตอบจากผู้ใช้ก็เข้าถึงฐานข้อมูลได้ กระทบ Roundcube 1.6.x ก่อน 1.6.16 และ 1.7.x ก่อน 1.7.1 เสี่ยงเปิดเผย credential และข้อความในกล่องเมล

นักวิจัยวัย 16 ปีที่ใช้ชื่อ Faav พบช่องโหว่การยืนยันตัวตนในบริการวิเคราะห์ข้อมูลภายในชื่อ Titan ของ Microsoft ที่อาจเปิดข้อมูลราว 17.3 ล้านล้านแถว Titan ตรวจแต่ claim ใน JWT โดยไม่ยืนยันลายเซ็น ทำให้ปลอมโทเคน algorithm none และอ้างสิทธิ์แอดมินได้ Faav ย้ำว่าผลกระทบเป็นเชิงสมมติ ไม่เคยแตะข้อมูล PII ลูกค้า Microsoft ปิดช่องโหว่และให้เงินรางวัล 5,000 ดอลลาร์

Cloudflare แก้ช่องโหว่ใน Cloudflare Containers และ Sandboxes ที่เปิดให้คอนเทนเนอร์ของลูกค้ารายหนึ่งอ่านข้อมูลตกค้างบนดิสก์ที่คอนเทนเนอร์ของลูกค้ารายอื่นทิ้งไว้บนเซิร์ฟเวอร์เดียวกัน ต้นเหตุคือระบบ thin provisioning ที่ส่งบล็อกดิสก์กลับเข้าพูลโดยไม่ล้างข้อมูลก่อนแจกใหม่ นักวิจัยจาก Accomplish พบข้อมูลตกค้างใน 18 จาก 24 ครั้งที่ทดสอบ รวมถึงฐานข้อมูล SQLite ไฟล์ .env และไฟล์ข้อมูลรับรอง Cloudflare ล้างดิสก์ทั้งหมดเสร็จเมื่อ 19 กันยายน โดยลูกค้าไม่ต้องทำอะไร

นักวิจัยเชื่อมช่องโหว่ 2 จุดในซอฟต์แวร์ของ OnePlus ทำให้แอปที่ผู้ใช้ติดตั้งเองยกระดับสิทธิ์เป็น root ได้โดยไม่ต้องขอ permission ใด ๆ และไม่มีการแจ้งเตือน ทดสอบสำเร็จบน OnePlus 15 ที่รัน OxygenOS รุ่นล่าสุดและ OnePlus 12 Pro โดย OnePlus ระบุว่ากระทบอุปกรณ์ของตนอีกหลายรุ่นรวมถึงเครื่อง OPPO ที่ใช้โค้ดร่วมกัน บริษัทยืนยันช่องโหว่ตั้งแต่พฤษภาคม 2569 แต่ยังไม่ออกแพตช์และไม่กำหนด CVE เป็นการโจมตีเฉพาะเครื่องที่ต้องมีแอปมุ่งร้ายทำงานอยู่ก่อน

ServiceNow ออกอัปเดตแก้ช่องโหว่ 5 รายการในแพลตฟอร์ม AI Platform รวมถึงสองช่องโหว่ระดับวิกฤตที่เปิดให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนเข้าถึง แก้ไข หรือดึงข้อมูลอ่อนไหวของอินสแตนซ์ได้ ช่องโหว่ร้ายแรงสุดคือ CVE-2026-13016 เป็น SQL injection ที่รันคำสั่ง SQL ตามอำเภอใจได้ ส่วน CVE-2026-86860 เป็นช่องโหว่ขาดการตรวจสิทธิ์ที่ดึงข้อมูลเกินขอบเขต บริษัทระบุยังไม่พบการใช้โจมตีจริง แต่แนะนำผู้ใช้แบบ self-hosted รีบยืนยันเวอร์ชันและแพตช์ทันที

นักวิจัยเปิดเผยรายละเอียดช่องโหว่เคอร์เนล Linux อายุ 14 ปีในอินเทอร์เฟซการเข้ารหัส AF_ALG (CVE-2025-39964) ที่เปิดให้ผู้ใช้ท้องถิ่นยกระดับสิทธิ์เป็น root และในสภาพแวดล้อม PoC ยังหลุดออกจาก Docker container ไปยึดเครื่องโฮสต์ได้ ต้นเหตุคือ race condition จากการเขียนพร้อมกันลงซ็อกเก็ตเดียวกัน นำไปสู่การเขียนหน่วยความจำเคอร์เนลตามอำเภอใจและเขียนทับ core_pattern นักวิจัยจาก STAR Labs พบระหว่างตรวจโค้ดในโครงการ kernelCTF ของ Google และ CISA ยืนยันว่าถูกใช้โจมตีจริงแล้ว

นักวิจัย Huntress พบการโจมตีที่เจาะ Windows ผ่านช่องโหว่ CVE-2025-4632 ใน Samsung MagicINFO แล้วคอมไพล์ตัวขุด Monero ขึ้นในเครื่องเหยื่อเอง ผู้โจมตีติดตั้ง AnyDesk สร้างบัญชีแอดมิน และปิด Microsoft Defender ก่อนเริ่มขุด การประกอบตัวขุดในเครื่องทำให้เกิดสัญญาณผิดปกติจาก compiler ที่ตรวจจับได้ เคสนี้เป็นเครื่องเดียว ไม่ใช่แคมเปญขนาดใหญ่ แต่ชี้ว่าช่องโหว่ที่เปิดทิ้งไว้นำไปสู่การยึดเครื่องระยะยาว

บริษัท SolarWinds ออกแพตช์แก้ช่องโหว่ร้ายแรง 2 รายการใน Observability Self-Hosted ที่เปิดทางให้รันโค้ดจากระยะไกลโดยไม่ต้องยืนยันตัวตน รายการแรก CVE-2026-28324 (CVSS 9.8) เป็นการตรวจสอบความสมบูรณ์ที่ไม่เพียงพอ อีกรายการ CVE-2026-28325 (CVSS 8.8) เป็นช่องโหว่ deserialization ข้อมูลที่ไม่น่าเชื่อถือ กระทบทุกเวอร์ชันถึง 2026.2.2 แก้ไขแล้วใน 2026.2.3 บริษัทไม่ระบุว่าถูกโจมตีจริง เครดิตนายไค หวง จาก Armadin คนเดียวกับที่รายงานช่องโหว่ ARM สัปดาห์ก่อน

cPanel ออกแพตช์อุด 3 ช่องโหว่ที่กระทบการแยกผู้เช่าบนเซิร์ฟเวอร์โฮสติงแบบแชร์. CVE-2026-68490 เกิดจากสิทธิ์ผิดพลาดใน CalDAV/CardDAV ทำให้ผู้ใช้เครื่องเดียวกันอ่านปฏิทินและรายชื่อของบัญชีอื่นได้. CVE-2026-87899 ร้ายแรงกว่า เปิดให้บัญชีที่ยืนยันตัวแล้วยกระดับเป็น root และรันโค้ดยึดเซิร์ฟเวอร์. CVE-2026-87900 ใน WP Toolkit ให้ผู้ใช้แก้ฐานข้อมูลของบัญชีอื่น. ทั้งหมดกระทบเวอร์ชัน 120 ขึ้นไป ควรอัปเดตทันที.

ช่องโหว่ใหม่ CVE-2026-94545 (CVSS 9.5) ใน Next.js เปิดให้ผู้โจมตีรันโค้ดบนเซิร์ฟเวอร์ผ่านฟีเจอร์ ImageResponse ที่ใช้สร้างภาพพรีวิว Open Graph ความเสี่ยงเกิดเมื่อแอปนำค่าที่ผู้โจมตีควบคุมได้ เช่นข้อความจาก URL ไปใส่ในภาพ กระทบ Next.js 16.2.0 ถึง 16.3.5 เมื่อ ImageResponse รันบน Node.js runtime ซึ่งเป็นค่าเริ่มต้น บริษัท Vercel ออกแพตช์แล้วในเวอร์ชัน 16.3.6 ต้นตอที่แท้จริงอยู่ในไลบรารี Satori ที่แปลงเลย์เอาต์ภาพเป็นโค้ด SVG