Web-Shell

นักวิจัยบริษัท Sucuri เปิดโปงแบ็กดอร์ WordPress ชื่อ SC ที่ออกแบบเป็น ‘โครงข่ายซ่อมแซมตัวเอง’ ฝังเพย์โหลดไว้อย่างน้อย 8 จุดพร้อมกันทั้งในไฟล์ ฐานข้อมูล และหน่วยความจำร่วม โดยแต่ละจุดสามารถสร้างจุดอื่นขึ้นใหม่ได้ ลบปลั๊กอินก็ถูก drop-in เขียนกลับ ล้างไฟล์ทั้งดิสก์ก็ถูกกู้จากฐานข้อมูลในการโหลดหน้าถัดไป มัลแวร์สั่งงานผ่านบล็อกเชน Ethereum สร้างบัญชีแอดมินซ่อน และฉีดสคริปต์ใส่ผู้เข้าชม พร้อมกันนี้ช่องโหว่ SQL injection ใน wpForo (CVE-2026-1581) ก็ถูกใช้โจมตีจริงแล้ว

Microsoft เปิดเผยว่าผู้โจมตีนำช่องโหว่ Zimbra Collaboration Suite ที่แพตช์แล้วมาใช้วาง web shell และเข้าถึงข้อมูลกล่องจดหมาย ช่องโหว่ CVE-2026-73570 (CVSS 8.9) เป็น OS command injection แบบไม่ต้องยืนยันตัวตน ทำงานเมื่อเปิด SNMP notification และติดตั้งแพ็กเกจ zimbra-snmp โดยกระตุ้นได้ผ่านคำขอ SMTP ที่ประดิษฐ์ขึ้น หลังเจาะสำเร็จผู้โจมตีวาง JSP web shell ยกระดับสิทธิ์ และขโมยกุญแจยืนยันตัวตนรวมถึงข้อมูลในฐานข้อมูล แพตช์แล้วในเวอร์ชัน 10.1.20 และถูกเพิ่มเข้า KEV ของ CISA

บริษัท Wordfence เตือนว่าแฮ็กเกอร์กำลังใช้ช่องโหว่ร้ายแรงในปลั๊กอิน WooCommerce Wholesale Lead Capture ของ WordPress (CVE-2026-27540 คะแนน CVSS 9.8) ที่มีการติดตั้งใช้งานกว่า 6,000 แห่ง ช่องโหว่เกิดจากการไม่ตรวจสอบชนิดไฟล์ ทำให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนอัปโหลดไฟล์ PHP ฝัง web shell และรันโค้ดจากระยะไกลได้ Wordfence บล็อกการโจมตีไปแล้วกว่า 100,000 ครั้งตั้งแต่มิถุนายน พร้อมเตือนช่องโหว่ร้ายแรงอีกสองรายการในปลั๊กอิน The Events Calendar

บริษัท Sophos เผยว่ามัลแวร์ที่โยงกับการเจาะอุปกรณ์ F5 BIG-IP APM ซ่อนเว็บเชลล์ PHP ไว้ในหน่วยความจำแทนไฟล์บนดิสก์ เมื่อ Apache โหลดสคริปต์ .php3 สามตัวของอุปกรณ์ มัลแวร์จะเติมเว็บเชลล์ลงในสำเนาที่อยู่ในหน่วยความจำ การตรวจไฟล์จึงกลับมาสะอาด มัลแวร์ฝังตัวในโปรแกรม Apache เอง แล้วดักฟังก์ชัน apr_dso_load รอจนกว่าโมดูล PHP จะถูกโหลด ต้นทางเชื่อมโยงกับ CVE-2025-53521 ที่ F5 เปลี่ยนการจัดประเภทเป็น RCE เมื่อเดือนมีนาคม 2569

Adobe ออกแพตช์ฉุกเฉินปิดช่องโหว่ CVE-2026-75650 คะแนน CVSS 10.0 ใน Adobe Commerce และ Magento Open Source ที่ถูกใช้โจมตีจริงมาตั้งแต่วันที่ 4 กันยายน 2569 ช่องโหว่ที่ชื่อ StyleSmuggler ฉวยระบบเทมเพลตของ Magento inject โค้ด PHP ผ่านอีเมลแจ้งเตือนการชำระเงินล้มเหลวจนรันโค้ดได้โดยไม่ต้องล็อกอิน ผู้โจมตีใช้ช่องนี้ฝังแบ็กดอร์ที่เขียนด้วย Rust และเว็บเชลล์ PHP CISA เพิ่มช่องโหว่เข้าแคตตาล็อก KEV พร้อมกำหนดเส้นตายให้หน่วยงานกลางสหรัฐแก้ไข

Wordfence รายงานว่าผู้ก่อภัยคุกคามกำลังโจมตีช่องโหว่ระดับวิกฤตสองรายการในปลั๊กอิน WordPress ได้แก่ CVE-2026-14894 ใน Super Forms และ CVE-2026-32475 ใน Elementor Pro ทั้งคู่เป็นช่องโหว่อัปโหลดไฟล์โดยไม่ตรวจชนิด เปิดทางให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนอัปโหลดไฟล์ PHP แล้วรันคำสั่งบนเซิร์ฟเวอร์ได้ Wordfence สกัดความพยายามโจมตีไปแล้วกว่า 250,000 และ 190,000 ครั้งตามลำดับ แพตช์อยู่ในเวอร์ชัน 6.3.314 และ 4.2.2

CISA เร่งให้หน่วยงานรัฐจัดการช่องโหว่ CVE-2026-8452 ใน Citrix NetScaler ที่กำลังถูกใช้โจมตีจริง โดยเป็นหนึ่งในช่องโหว่ที่ Citrix ออกแพตช์ไปตั้งแต่วันที่ 30 มิถุนายน 2569 และถูกอธิบายไว้ว่าเป็นแค่ memory overflow ระดับสูงที่นำไปสู่ DoS แต่บริษัท watchTowr วิเคราะห์แล้วสาธิตว่าใช้รันโค้ดจากระยะไกลได้โดยไม่ต้องยืนยันตัวตน และเปิดโค้ด PoC เมื่อวันที่ 14 สิงหาคม หลังจากนั้นไม่นานก็เริ่มพบการโจมตีจริงที่วางเว็บเชลล์

Wordfence เปิดเผยการโจมตีซัพพลายเชนปลั๊กอิน WordPress ของ BdThemes ที่ไม่มีการแก้ไฟล์ซอร์สโค้ดในคลัง WordPress.org แม้แต่ไฟล์เดียว ผู้โจมตีเข้าไปแก้ไฟล์ JSON โปรโมชันบนบัคเก็ต DigitalOcean Spaces ของผู้พัฒนาแทน ไฟล์ที่ถูกวางยาจุดชนวนช่องโหว่ XSS ในคอมโพเนนต์ Biggopti ทำให้สคริปต์ทำงานในเบราว์เซอร์ของแอดมินทุกครั้งที่เปิดหน้า wp-admin เพย์โหลดสร้างบัญชีแอดมินลับ ติดตั้งเว็บเชลล์ และฝังโมดูลซ่อนตัวใน mu-plugins กระทบปลั๊กอิน 7 ตัวจนถูกปิดดาวน์โหลด

บริษัท Kaspersky ตรวจพบเมื่อกรกฎาคม 2569 ว่ากลุ่ม Head Mare กลับมาโจมตีเซิร์ฟเวอร์ TrueConf ที่ยังไม่แพตช์อีกครั้ง เป้าหมายคือบริษัทรัสเซียในกลุ่มเครื่องมือวัด อิเล็กทรอนิกส์ ขนส่ง พลังงาน และไอที ผู้โจมตีเชื่อมต่อพอร์ต 4307 ที่เปิดเป็นค่าเริ่มต้น แล้วใช้ช่องโหว่สองตัวต่อกันเพื่อหลุดออกจากสภาพแวดล้อมแยกส่วนและรันคำสั่งด้วยสิทธิ์ SYSTEM ก่อนวางเว็บเชลล์และสลับไฟล์ติดตั้งไคลเอนต์เป็นเวอร์ชันที่ฝังแบ็กดอร์ PhantomCore ผู้ผลิตออกแพตช์แล้วตั้งแต่ 18 มิถุนายน

ผู้โจมตีที่เชื่อมโยงกับกลุ่มแรนซัมแวร์ Cl0p กำลังเจาะระบบ PTC Windchill และ FlexPLM ที่เปิดสู่อินเทอร์เน็ต โดยเชนช่องโหว่เปิดเผยข้อมูลก่อนยืนยันตัวตนใน FlexPLM WSDL เข้ากับช่องโหว่ฝั่งเซิร์ฟเวอร์ใน Windchill login servlet จนรันโค้ดได้โดยไม่ต้องล็อกอินและวาง JSP web shell คาดใช้ CVE-2026-12569 คะแนน 9.3 ที่อยู่ใน KEV แล้ว เป้าหมายคือภาคการผลิต ยานยนต์ การบิน และค้าปลีก เพื่อขโมยข้อมูลออกแบบไปกรรโชกแบบสองชั้น