Windows

Kaspersky GReAT เปิดโปง NetamLoader มัลแวร์ที่เล็ง Windows 10 รุ่นพิเศษของหน่วยงานรัฐในเอเชีย มัลแวร์ซ่อนในไฟล์ CAB ในโฟลเดอร์อัปเดตของ Windows ยืมไฟล์ Patch My PC และโมดูลที่ Microsoft เซ็นเพื่อรันโค้ดผ่าน AppDomainManager injection และ BinaryFormatter แล้วปิด AMSI ลบล็อก และรันตัวสุดท้ายใน dllhost.exe ตัวสุดท้ายรอ 20-40 นาทีก่อนติดต่อ openaigpt4v[.]com เพื่อหลบ sandbox พบเหยื่อรายเดียวและยังไม่โยงกับกลุ่มใด ผู้ดูแลควรเฝ้าไฟล์ .config แปลกในโฟลเดอร์อัปเดตและส่งล็อกขึ้นศูนย์กลาง

นาย Brad Duncan จาก SANS ISC รายงานแคมเปญ ClickFix ใหม่ที่ฝังสคริปต์จาก js-static[.]cfd ลงเว็บที่ถูกเจาะ ให้ผู้เข้าชมเห็นหน้าตรวจสอบ Cloudflare ปลอม หน้าปลอมแสดงคำสั่งต่างกันระหว่าง Windows กับ macOS แล้วหลอกให้ผู้ใช้วางคำสั่งรันเองนอกเบราว์เซอร์ ระหว่างทดสอบ เซิร์ฟเวอร์ตอบ 403 และโดเมนบางตัวไม่ resolve จึงยังไม่รู้ว่ามัลแวร์ปลายทางคืออะไร ทีมความปลอดภัยควรล่าทราฟฟิกไปยัง js-static[.]cfd แล้วเชื่อมกับการรันคำสั่งบนเครื่องผู้ใช้

Frontier Red Team ของ Anthropic เผยว่าโมเดล AI ภายในที่ยังไม่เปิดตัวพบช่องโหว่ใน Chrome, Safari, Android, Windows และ Linux แล้วร้อยเป็น exploit ใช้งานได้จริง 5 ชุด ชุดที่ร้ายแรงสุดรันคำสั่งระดับ root บนเซิร์ฟเวอร์ Linux ผ่านเครือข่ายโดยไม่ต้องล็อกอิน ส่วนชุด Chrome หลุดแซนด์บ็อกซ์ได้จากการเปิดหน้าเว็บครั้งเดียว ทุกช่องโหว่แจ้งผู้ผลิตและแพตช์แล้ว แต่บทบาทของคนในแต่ละขั้นยังตรวจสอบไม่ได้ และ CVE บางตัวมีคำอธิบายไม่ตรงกับที่ Anthropic เล่า ควรอัปเดต Chrome 156 และเคอร์เนล Linux

บริษัท Microsoft ออกอัปเดต Windows นอกรอบเมื่อ 26 ตุลาคม 2569 ถอดใบรับรองที่เกี่ยวกับ eMudhra 7 ใบออกจากรายการที่ Windows เชื่อถือ และใช้กับ Edge ตามมาเมื่อ 27 ตุลาคม มาตรการนี้ต่อจากการบล็อก CA ตัวกลาง 8 ใบที่กุญแจส่วนตัวถูกกู้ได้เพราะสร้างกุญแจแบบอ่อน ใน 8 ใบมี 6 ใบสำหรับ TLS ที่ปลอมเว็บไซต์ได้ และ 2 ใบสำหรับ code signing ที่ทำให้มัลแวร์ดูน่าเชื่อถือ Microsoft ยังไม่พบหลักฐานว่ามีการใช้กุญแจโจมตีลูกค้า ผู้ดูแลควรให้อัปเดต trust list ถึงทุกเครื่อง และย้ายใบรับรองที่ต่อสายกับ 7 ใบนี้

Check Point พบ Aokigahara มัลแวร์ขโมยข้อมูลบน Windows ที่ไม่ได้เก็บแค่รหัสผ่านเบราว์เซอร์ คริปโต และ VPN แต่เล็งไฟล์ยืนยันตัวตนและ session ของเครื่องมือ AI อย่าง Claude, ChatGPT Desktop, Codex, Cursor, Windsurf, GitHub Copilot และ Gemini CLI มันยังเก็บข้อมูล Git, กุญแจ SSH และไฟล์คอนฟิก AWS, Azure และ Google Cloud แล้วเข้ารหัสส่งออก ผู้โจมตีนำบัญชี AI ไปขายต่อหรือใช้ประวัติแชตที่มีโค้ดลับข่มขู่เรียกเงินได้ ควรปฏิบัติต่อ session ของเครื่องมือ AI เหมือนความลับระดับองค์กร

Eye Security เปิดเผยปฏิบัติการ Operation IXIM ที่ส่งอัปเดตกว่า 2 ล้านครั้งไปยังเครื่องที่ไม่ใช่ของตัวเอง เพื่อปิด updater ของ Time4Popcorn ซึ่งเป็น Popcorn Time ฉบับที่ถูกทิ้ง updater นี้ติดต่อโดเมนที่หมดอายุผ่านช่องทางไม่เข้ารหัส และติดตั้งทุกอย่างที่ได้รับด้วยสิทธิ์สูงสุดโดยไม่ตรวจผู้ส่ง ช่องโหว่ CVE-2026-30612 คะแนน 9.8 กระทบ Windows ราว 2.5-3 ล้านเครื่องและ Mac 2.5-3.5 แสนเครื่อง ใครจดโดเมนเก่าได้ก็สร้างบอตเน็ตได้ทันที บริษัทแนะนำให้ถอนการติดตั้งแอป

Pillar Security เปิดเผยช่องโหว่ใน OpenCode เอเจนต์เขียนโค้ด AI ที่ให้เซิร์ฟเวอร์ MCP อันตรายรันคำสั่งบนเครื่องนักพัฒนา Windows และ WSL ได้ ช่องโหว่เกิดเมื่อ OpenCode ส่งที่อยู่ OAuth ที่เซิร์ฟเวอร์กำหนดเข้าคำสั่ง PowerShell โดยไม่ escape ระหว่างขั้นตอนล็อกอิน Pillar ให้คะแนนเสนอ 9.8 แต่ Anomaly แก้เงียบในเวอร์ชัน 1.18.33 โดยไม่ขอ CVE หรือออก advisory เวอร์ชัน 1.0.137 ถึง 1.18.32 จึงเสี่ยงโดยสแกนเนอร์ไม่แจ้งเตือน ยังไม่พบการโจมตีจริง

Microsoft ออกแพตช์ประจำเดือนตุลาคม 2569 แก้ 1,413 ช่องโหว่ มากที่สุดเป็นประวัติการณ์ ในจำนวนนี้มี CVE-2026-96951 ใน Windows Shell ที่ใช้ข้ามการป้องกัน Mark of the Web และถูกโจมตีจริงแล้ว CISA เพิ่มเข้า KEV และสั่งหน่วยงานรัฐบาลกลางแพตช์ภายใน 16 ตุลาคม อีกตัวที่ต้องเร่งคือ CVE-2026-108398 ใน .NET Framework ซึ่งเปิดเผยต่อสาธารณะแล้ว ใช้ข้าม WDAC ได้ Microsoft ยังเปิดตัวการจัดกลุ่ม risk cohort เพื่อช่วยจัดลำดับแพตช์

Microsoft เปิดเผย 3 ช่องโหว่ใน Windows BitLocker เมื่อ 13 ต.ค. 2569 ทั้งหมดจัดระดับ Important CVE-2026-85920 เป็น race condition แบบ TOCTOU ที่ยกระดับสิทธิ์ได้ CVSS 7.0 CVE-2026-88070 เป็น out-of-bounds read ที่ยกระดับสิทธิ์ได้ CVSS 7.8 ทั้งคู่ต้องมีสิทธิ์ในเครื่องอยู่ก่อน CVE-2026-83500 ข้ามกลไกป้องกันได้เมื่อเข้าถึงเครื่องทางกายภาพ CVSS 6.1 ยังไม่มีรายงานการโจมตีจริง และต้นฉบับยังไม่ระบุเวอร์ชันที่กระทบ

Doyensec รันโค้ดของตัวเองใน VBS enclave SFAPE.dll ของ Enhanced Phishing Protection ใน SmartScreen ได้ผ่านช่องโหว่ CVE-2026-83498 ระดับ Critical CVSS 7.8 การโจมตีเริ่มจากการเขียนค่า 4 ไบต์ไปยังที่อยู่ที่ไม่ถูกตรวจ แล้วต่อด้วยบั๊กจังหวะเวลาจนเปลี่ยนตารางโค้ดที่ enclave ยอมให้รัน ผู้โจมตีต้องมีโค้ดบนเครื่องอยู่แล้ว และยังไม่พบการโจมตีจริง Microsoft แก้แล้วใน KB5124008 เมื่อ 8 ก.ย. 2569 พร้อมบล็อก enclave เวอร์ชันเก่า แต่ enclave ของ Edge ที่มีช่องโหว่ CVE-2023-36880 ยังโหลดได้