Waf

EG Secure Solutions ออกประกาศด่วนเรื่อง CVE-2026-106931 ช่องโหว่ OS command injection ใน SiteGuard Server Edition WAF ของญี่ปุ่นที่ถูกใช้โจมตีจริงแล้ว ช่องโหว่อยู่ในฟีเจอร์สถิติที่เปิดไว้เป็นค่าเริ่มต้น และให้รันคำสั่งด้วยสิทธิ์ root หรือ SYSTEM ต้องเข้าถึงเครื่องและมีสิทธิ์ต่ำก่อน จึงน่าจะใช้หลังผู้โจมตีเข้าระบบได้แล้ว แก้แล้วใน 8.00 Update 5 และ 7.00 Update 6 สำหรับ FreeBSD ผู้ผลิตเตือนให้ดาวน์โหลดข้อมูลวินิจฉัยก่อนอัปเดตเพราะอาจลบร่องรอยการโจมตี

ตำรวจเนเธอร์แลนด์ยืนยันจับกุมชายวัย 24 ปีจากอัมสเตอร์ดัมในคดีสืบสวนกลุ่มแฮ็กเกอร์ ShinyHunters โดยผู้ต้องหามีกำหนดขึ้นศาลเขตรอตเทอร์ดามวันที่ 29 กันยายน สื่อความมั่นคงระบุตัวว่าคือ Pepijn van der Stap ที่เคยถูกจับปี 2023 และปัจจุบันทำงานสาย offensive security ด้าน ShinyHunters ปฏิเสธว่าไม่มีความเกี่ยวข้องกับผู้ต้องหา ท่ามกลางกระแสที่กลุ่มเพิ่งอ้างเจาะเว็บสมัครงานของ FBI

นักวิจัยพบช่องโหว่ SQL injection แบบไม่ต้องยืนยันตัวตนในระบบ Front Gate Tickets ของ Live Nation/Ticketmaster ที่ดูแลการขายตั๋วเทศกาลใหญ่อย่าง EDC และ Bonnaroo โดยใช้ Claude Code ช่วยหลบ WAF และสร้าง blind SQL injection จนยึดสิทธิ์แอดมินได้เต็มระบบ เข้าถึงตารางกว่า 500 ตารางที่มีรหัสผ่านและโทเคน สะท้อนแนวโน้มการใช้ AI ช่วยค้นและเจาะช่องโหว่ที่กำลังเพิ่มขึ้น