Webmail

Roundcube ปล่อยเวอร์ชัน 1.6.18 และ 1.7.3 เพื่ออุดช่องโหว่ความปลอดภัย 11 รายการบนแพลตฟอร์มเว็บเมล ตัวที่ร้ายแรงที่สุดคือช่องโหว่รันโค้ดจากระยะไกลในไดรเวอร์ cmd_learn ของปลั๊กอิน markasjunk ที่ใช้ส่งข้อความไปยังระบบเรียนรู้สแปม นอกจากนี้ยังแก้การบายพาสตัวกรอง SSRF การฉีดคำสั่ง LDAP และ IMAP การฉีดสคริปต์ Sieve และ stored XSS ผู้พัฒนายังไม่พบหลักฐานการโจมตีจริง แต่ขอบเขตและความรุนแรงของชุดช่องโหว่ทำให้ควรอัปเดตโดยเร็ว

บริษัท Symantec เปิดรายงานกลุ่มแฮ็กเกอร์จีน Jewelbug ที่ทำจารกรรมต่อหน่วยงานรัฐและกองทัพในตะวันออกกลาง เอเชียตะวันออกเฉียงใต้ และเอเชียใต้ ควบคู่กับธุรกิจฉ้อโกงคริปโตขนาดอุตสาหกรรมจากแผงควบคุมเดียวกัน กลุ่มนี้ได้สิทธิ์เขียนไฟล์บนระบบเว็บเมลที่หลายกระทรวงใช้ร่วมกัน แล้วแทรกสคริปต์ลงในเทมเพลตกลางจนดักคุกกี้ของ 15 หน่วยงานได้พร้อมกัน นักวิจัยเข้าถึงฐานข้อมูลของกลุ่มและพบบันทึกเช็กอินของอิมแพลนต์กว่าหนึ่งล้านรายการ คุกกี้ที่ขโมยมากว่า 580,000 รายการ และเนื้อความอีเมลที่ถูกดูดออกกว่า 2,300 ฉบับ

งานวิจัยใหม่จาก PortSwigger แสดงให้เห็นว่าเนื้อหาภายในอีเมลสามารถหลุดออกจากกรอบข้อความไปแทรกแซงหน้าเว็บเมลได้ สายการโจมตีครอบคลุม Outlook, Gmail, Fastmail, Proton Mail, Yahoo Mail และ AOL Mail โดยสามารถดักรหัสผ่าน ยึดบัญชีบริการอื่น ทำให้โทเคนรั่ว และหลอกให้ผู้ใช้กดปุ่มที่ไม่ได้ตั้งใจ ยังมีสายที่ใช้ prompt injection หลอกเครื่องมือ AI ที่อ่านอีเมลให้ดึงข้อมูลออกมา งานนี้เป็นการพิสูจน์แนวคิดและยังไม่พบการนำไปใช้โจมตีจริง

Roundcube ปล่อยเวอร์ชัน 1.7 แก้ช่องโหว่ 6 รายการ รวมถึง Stored XSS ระดับวิกฤต 2 ตัวที่ทำงานแบบ zero-click ไม่ต้องให้เหยื่อคลิก CVE-2026-54432 เกิดจากการแสดงชนิดไฟล์ (MIME type) ของไฟล์แนบโดยไม่กรอง ทำให้สคริปต์รันทันทีที่หน้าเตือนโหลด ส่วน CVE-2026-54433 อยู่ในเอนจินแสดงข้อความแบบ plain-text แค่เปิดอ่านเมลก็ถูกฝังสคริปต์เงียบ ๆ ทั้งคู่เปิดทางขโมย session และเข้าถึงกล่องเมลโดยไม่ต้องมีปฏิสัมพันธ์ นักวิจัยแนะนำให้อัปเดตด่วนกว่ารอบแพตช์ปกติ