Web-Shell

บริษัท Dream รายงานว่าผู้โจมตีที่สงสัยว่าเชื่อมโยงกับจีน ร้อยช่องโหว่ PHP2Shell เข้ากับช่องโหว่ยกสิทธิ์เคอร์เนล Linux Fragnesia จนได้ root บนไฟร์วอลล์25 เครื่องในสหรัฐฯ ญี่ปุ่น ไต้หวัน และเกาหลีใต้ ผู้โจมตีสแกนหน้าจัดการไฟร์วอลล์ราว 19,000 เครื่องด้วย FOFA คัดเหลือ 240 เป้า แล้วยิง exploit อัตโนมัติ เครื่อง 3 เครื่องอยู่ในเครือข่ายเกี่ยวข้องรัฐบาลสหรัฐฯ และถูกใช้เป็นทางเข้า Active Directory ยังไม่ชัดว่าได้รหัสผ่านจริงหรือไม่ ผู้ดูแลควรปิดหน้าจัดการไฟร์วอลล์จากอินเทอร์เน็ตและตรวจ web shell

Sansec พบแคมเปญที่ไม่ทราบผู้อยู่เบื้องหลังฝังโค้ดโหลด JavaScript ในร้านค้าออนไลน์ 953 แห่ง ส่วนใหญ่ใช้ Magento ต่อเนื่องตั้งแต่กรกฎาคม 2568 โค้ดถูกซ่อนในตาราง cms_block จึงแสดงทุกครั้งที่ลูกค้าเปิดหน้าร้าน และเซิร์ฟเวอร์ผู้โจมตีส่งโค้ดให้เฉพาะคนจริงเท่านั้น ร้าน 471 แห่งถูกเจาะผ่าน PolyShell (CVE-2026-48356) อีกส่วนผ่าน SessionReaper หรือบัญชีแอดมินปลอม ยังไม่ทราบว่า payload สุดท้ายทำอะไร ผู้ดูแลร้านควรติดตั้ง APSB26-73 และตรวจ cms_block, cms_page และบัญชีแอดมินทันที

Zscaler ThreatLabz พบแคมเปญใช้ช่องโหว่ CVE-2026-88771 ใน Citrix NetScaler ADC และ Gateway คะแนน CVSS 9.8 รันคำสั่งจากระยะไกลโดยไม่ต้องยืนยันตัวตน ผู้โจมตีวางเนื้อหาเข้ารหัสลงล็อกเว็บก่อน แล้วส่งคำขอยืนยันตัวตนปลอมให้สคริปต์ Perl ประมวลผลจนรันคำสั่ง จากนั้นพยายามฝัง web shell และดาวน์โหลด implant FreeBSD เซิร์ฟเวอร์ดาวน์โหลดเคยปรากฏในการโจมตี Magento ด้วย StyleSmuggler แต่ยังไม่ยืนยันว่าเป็นกลุ่มเดียวกัน แพตช์อย่างเดียวไม่ลบ implant ที่ฝังไปแล้ว

นาย Snorre Fagerland จาก NorForge พบแผงควบคุมของ Cairn เครื่องมือเอเจนต์ AI โอเพนซอร์สราว 20 ชุดถูกใช้โจมตีและเปิดทิ้งไว้บนอินเทอร์เน็ต กลุ่มที่ใช้ภาษาจีน AIA0001 สั่งเอเจนต์เจาะเว็บไซต์กว่า 1,200 แห่งและเข้าถึงเว็บของบริษัทได้กว่า 100 ราย รวมถึง Deere, SharkNinja และ Cummins เอเจนต์เจาะสำเร็จใช้เวลาเฉลี่ยไม่ถึง 23 ชั่วโมง และต้นทุนราว 5 ดอลลาร์ต่องาน แผงที่เปิดทิ้งยังเผย secret ของเหยื่อหลายร้อยรายการ ยังไม่ทราบว่ามีข้อมูลถูกขโมยไปเท่าใด

Unit 42 ของ Palo Alto Networks รายงานกลุ่ม CL-UNK-1211 ที่ใช้สคริปต์ซึ่ง AI ช่วยเขียนเจาะเซิร์ฟเวอร์ Linux ของหน่วยงานรัฐระหว่างตุลาคม 2568 ถึงเมษายน 2569 ผู้โจมตีฝังเว็บเชลล์ แก้ auto_prepend_file ของ PHP เพื่อคงอยู่ ดักรหัสผ่าน sudo ผ่าน alias ใน .bashrc ติดตั้ง SysGoRAT เขียนด้วย Go และพยายามดูดอีเมลกับฐานข้อมูล สคริปต์มีคำอธิบายแบบบทสนทนาของ LLM ติดมา แต่บางตัวเขียนผิดจนรันไม่ได้ กลุ่มนี้ยังไม่ถูกระบุผู้อยู่เบื้องหลัง

Armory Castle กลุ่มจารกรรมที่โยงกับจีน (เดิม UNC5221) ใช้ช่องโหว่ CVE-2026-102764 ใน BeyondTrust Remote Support เป็น zero-day ตั้งแต่ 29 ส.ค. 2569 ช่องโหว่คะแนน CVSS 9.3 เกิดจากคอมโพเนนต์ภายในไม่ตรวจต้นทางของข้อความ ทำให้ผู้โจมตีจากระยะไกลดำเนินการกับไฟล์บนอุปกรณ์ได้ Mandiant พบการฝังเว็บเชลล์ SAWFLY ยกสิทธิ์เป็น root ขโมยข้อมูลรับรองจากคลังความลับ แล้วใช้ Jump Items กระโดดเข้าเครื่องปลายทาง ลูกค้า SaaS ได้แพตช์แล้ว ส่วนแบบติดตั้งเองต้องอัปเดตด้วยตัวเอง

แฮ็กเกอร์ใช้ช่องโหว่ CVE-2026-110447 ในแอป Collabora Online Built-in CODE Server บน Nextcloud ฝัง web shell บนเซิร์ฟเวอร์ตั้งแต่ 10 ก.ย. 2569 ช่องโหว่อยู่ใน proxy.php ที่นำ path ของคำขอไปใส่ในคำสั่ง bash ทำให้รันคำสั่งได้โดยไม่ต้องยืนยันตัวตน แต่เฉพาะช่วงที่เซิร์ฟเวอร์ CODE ในเครื่องไม่ได้ทำงาน ผู้โจมตีค้นหาไฟล์รหัสผ่านและกระเป๋าคริปโตบนเซิร์ฟเวอร์ Collabora แก้ไขในเวอร์ชัน 26.4.303 ตั้งแต่ 11 ก.ย. แต่ออก CVE เมื่อ 14 ต.ค. และย้ำว่าปิดแอปไม่พอ ต้องอัปเดตหรือถอนออก

Patchstack ตรวจพบการโจมตีจริงต่อช่องโหว่ CVE-2026-85097 คะแนน CVSS 10.0 ในปลั๊กอิน WordPress Bricksforge ตั้งแต่ 7 ตุลาคม 2569 ผู้โจมตีไม่ต้องล็อกอินก็อัปโหลดไฟล์ภาพที่ซ่อนโค้ด PHP แล้วสั่งให้ปลั๊กอินวางเป็นไฟล์ .php จนรันโค้ดบนเซิร์ฟเวอร์ได้ พบการโจมตีจาก 63 IP แบบอัตโนมัติผ่าน proxy หมุนเวียน กระทบเวอร์ชัน 3.1.8.9 ลงไป แนะนำอัปเดตเป็น 4.0.1 พร้อมกันนี้ยังพบการโจมตีช่องโหว่ XSS ใน Ninja Forms และ WPC Product Bundles เพื่อฝังแบ็กดอร์และแอดมินที่ซ่อนตัว

บริษัท Huntress พบผู้โจมตีใช้ช่องโหว่ 2 รายการในซอฟต์แวร์สำรองข้อมูล AhsayCBS ร่วมกัน คือ CVE-2026-105133 ข้ามการยืนยันตัวตน และ CVE-2026-105134 command injection (CVSS 9.3) เพื่อรันคำสั่งระยะไกล การโจมตีเริ่ม 7 ต.ค. และกระทบแล้ว 5 องค์กร ผู้โจมตีฝังเว็บเชลล์และตัวขุด XMRig ที่ปลอมชื่อเป็น edge.exe แม้ NVD ระบุว่าแก้แล้วในเวอร์ชัน 10.3.4 แต่ Huntress ยืนยันว่าเวอร์ชันนี้ยังโดน ช่องโหว่ทั้งคู่จึงเป็นซีโรเดย์ที่ยังไม่มีแพตช์

Bitget ยืนยันว่าการโจรกรรมคริปโท 387.5 ล้านดอลลาร์เกิดจากผู้โจมตีใช้ช่องโหว่ zero-day ในผลิตภัณฑ์ความปลอดภัยของบุคคลที่สามเพื่อขโมยข้อมูลรับรองระดับสูงภายใน SlowMist พบร่องรอยการเจาะระบบย้อนไปถึง 31 สิงหาคม 2569 ราวสามสัปดาห์ก่อนเงินถูกโอนออก Mandiant พบว่าผู้โจมตีวาง web shell บนอุปกรณ์ความปลอดภัยแล้วเคลื่อนที่เข้าเซิร์ฟเวอร์จัดการกระเป๋าเงิน เครื่องมือที่ใช้ขโมยถูกเขียนมาเฉพาะสำหรับตรรกะการถอนเงินของ Bitget เหตุนี้กระทบ 11 บล็อกเชนและถูกโยงกับกลุ่มเกาหลีเหนือ