Vulnerability

นักวิจัยจาก Claroty พบช่องโหว่หลายรายการในอุปกรณ์ HVAC และ UPS ที่ใช้แพร่หลายใน data center สาธิตการโจมตีจากระยะไกลที่ก่อกวนการทำงานได้ การ์ดเครือข่าย UPS ของ Vertiv มี authentication bypass และ RCE ที่ chain กันยึดเครื่องได้ ส่วน HVAC controller Trane Tracer SC+ มี RCE แบบไม่ต้องยืนยันตัวตนและเปิดเผยข้อมูลอ่อนไหว HVAC ที่ล่มอาจทำให้เซิร์ฟเวอร์ thermal shutdown เสียหายหลายล้านดอลลาร์ Claroty ทำงานร่วมกับผู้ผลิตออกแพตช์แล้ว

CISA เพิ่มช่องโหว่ CVE-2024-21182 (CVSS 7.5) ใน Oracle WebLogic Server เข้าแคตตาล็อก KEV หลังพบหลักฐานว่าถูกโจมตีจริงแล้ว ช่องโหว่นี้ถูกแพตช์ตั้งแต่กรกฎาคม 2567 แต่ยังมีเซิร์ฟเวอร์ที่ไม่ได้แพตช์ถูกเจาะ ผู้โจมตีสามารถเข้าถึงข้อมูลสำคัญได้โดยไม่ต้องยืนยันตัวตน

Emphere สตาร์ทอัปจากซีแอตเทิลระดมทุน pre-seed 2.1 ล้านดอลลาร์จาก AI2 Incubator และ Outsiders Fund เพื่อพัฒนาแพลตฟอร์มแก้ช่องโหว่อัตโนมัติด้วย AI แนวทางของบริษัทตอบโจทย์ยุคที่ซอฟต์แวร์ประกอบจากแพ็กเกจโอเพนซอร์ส dependency และ OS layer แพลตฟอร์มจะวิเคราะห์ dependency graph เพื่อเข้าใจว่าช่องโหว่ใดถูกโจมตีได้จริง แล้วลงมือแพตช์ ตรวจสอบ และส่งผลลัพธ์อัตโนมัติโดยไม่ทำให้ระบบปลายน้ำพังหรือถูกเครื่องมือความปลอดภัยบล็อก

บริษัท depthfirst ใช้ AI agent อัตโนมัติสแกนซอร์สโค้ด FFmpeg ราว 1.5 ล้านบรรทัด พบ 21 zero-day พร้อม PoC ด้วยต้นทุนเพียงราว 1,000 ดอลลาร์ บางช่องโหว่ฝังตัวมานาน 15-23 ปี ส่วนใหญ่เป็น heap/stack overflow ในสัปดาห์เดียวกัน Google ปล่อย Chrome 149 แพตช์ 429 ช่องโหว่ มากที่สุดในประวัติศาสตร์ ตัวร้ายแรงสุดคือ CVE-2026-10881 (CVSS 9.6) สะท้อนว่า AI กำลังเร่งการค้นพบช่องโหว่เร็วกว่าที่มนุษย์จะตามแก้ไหว

Cisco เตือนช่องโหว่ CVE-2026-20245 (CVSS 7.8) ใน Catalyst SD-WAN Manager ถูกโจมตีจริงแล้ว ผู้โจมตีที่มีสิทธิ์ netadmin สามารถอัปโหลดไฟล์ที่สร้างขึ้นพิเศษเพื่อรันคำสั่งในระดับ root ปัจจุบันยังไม่มีแพตช์หรือมาตรการบรรเทาเฉพาะ Cisco แนะนำให้อัปเกรดเป็นเวอร์ชันที่แก้ CVE-2026-20182 และตรวจสอบ log นับเป็นช่องโหว่ SD-WAN ตัวที่ 7 ที่ถูกโจมตีในปีนี้

CISA เพิ่ม CVE-2026-28318 ช่องโหว่ denial-of-service ระดับสูงใน SolarWinds Serv-U เข้าแคตตาล็อก Known Exploited Vulnerabilities หลังพบหลักฐานการโจมตีจริง ช่องโหว่ CVSS 7.5 เกิดจาก POST request ที่สร้างขึ้นพิเศษพร้อม Content-Encoding: deflate ทำให้บริการล่มโดยไม่ต้องยืนยันตัวตน SolarWinds แก้แล้วในเวอร์ชัน 15.5.4 HF1 หน่วยงานรัฐสหรัฐฯ ต้องแก้ไขภายใน 19 มิถุนายน 2026 ที่ผ่านมา Serv-U เคยถูกกลุ่ม Cl0p โจมตีมาแล้ว

ช่องโหว่ CVE-2026-3300 (CVSS 9.8) ใน Everest Forms Pro plugin สำหรับ WordPress ซึ่งมีผู้ติดตั้งกว่า 4,000 ราย ถูกโจมตีจริงตั้งแต่วันที่ 13 เมษายน 2569 รวมกว่า 29,300 ครั้ง ช่องโหว่เกิดจากฟังก์ชัน process_filter() ที่นำค่าจากผู้ใช้ไปรันใน eval() โดยไม่กรองอักขระพิเศษ แฮ็กเกอร์สามารถสร้างบัญชี admin ปลอมและฝัง web shell ได้ ผู้ดูแลเว็บไซต์ WordPress ที่ใช้ plugin นี้ควรอัปเดตเป็นเวอร์ชัน 1.9.13 โดยด่วน

บริษัท Anthropic ประกาศขยาย Project Glasswing โครงการใช้ AI ค้นช่องโหว่ในซอฟต์แวร์สำคัญ เพิ่มองค์กรใหม่ราว 150 แห่งใน 15+ ประเทศ จากเดิมที่มีพาร์ตเนอร์เริ่มต้นราว 50 ราย ซึ่งใช้ Claude Mythos Preview สแกนโค้ดพบช่องโหว่นับพันรายการ Financial Times รายงานว่าผู้เข้าร่วมใหม่รวมถึง Okta, Samsung, ENISA และ NATO ทั้งนี้ Mythos พบช่องโหว่ที่อาจเกิดขึ้นกว่า 23,000 จุด คาดยืนยันเป็นช่องโหว่ร้ายแรงเกิน 6,000 จุด แต่ความท้าทายถัดไปคือการตรวจสอบและแพตช์

IBM เปิดเผยช่องโหว่ระดับ Critical ใน WebSphere Application Server รหัส CVE-2026-8633 คะแนน CVSS 9.8 ที่ช่วยให้ผู้โจมตีรันโค้ดได้จากระยะไกลผ่าน HTTP request ที่สร้างขึ้นเป็นพิเศษ โดยไม่ต้องมีการยืนยันตัวตน ช่องโหว่นี้เกิดจากการควบคุม code generation ที่ไม่ถูกต้องใน Web Server Plug-ins และยังเปิดความเสี่ยง HTTP request smuggling ด้วย กระทบ WebSphere 8.5 และ 9.0 ทั้งรูปแบบ traditional และ Liberty IBM แนะนำให้แพตช์ทันทีโดยใช้ interim fix สำหรับ APAR PH71342

Etay Maor จาก Cato Networks ชี้ปรากฏการณ์ Zero-Knowledge Threat Actor — ผู้โจมตีที่แทบไม่มีทักษะเทคนิคแต่อาศัย AI สร้างมัลแวร์ หาช่องโหว่ และวางแผนโจมตีหลายขั้น รายงาน Verizon 2026 ระบุการเจาะช่องโหว่กลายเป็นช่องทางเข้าอันดับหนึ่งที่ 31% AI เร่งความเร็วการค้นพบและโจมตี บีบหน้าต่างเวลาเปิดเผยช่องโหว่จนกระบวนการ responsible disclosure แบบเดิมแทบไม่เหลือเวลาหายใจ องค์กรเล็กตกเป็นเป้าง่ายและเป็นประตูสู่ห่วงโซ่อุปทาน