Windows

นักวิจัยที่ใช้ชื่อ Chaotic Eclipse เผยแพร่ PoC ของช่องโหว่ยกระดับสิทธิ์ที่ยังไม่มีแพตช์ชื่อ FalconFlank ซึ่งใช้ประโยชน์จากกลไกลบมาโครอันตรายของ Microsoft Office ใน CrowdStrike Falcon Sensor โดยระบุว่าทำงานได้บน Windows 11 25H2 และ Windows Server 2025 ที่อัปเดตครบ บริษัท CrowdStrike ยืนยันว่ากำลังตรวจสอบและแนะให้ลูกค้าปิดนโยบายดังกล่าวไว้ก่อน นักวิจัยรายเดียวกันยังปล่อย PoC ของ Kaspersky, Microsoft Defender, NVIDIA และ Avast ในช่วงไม่กี่สัปดาห์ที่ผ่านมา

หน่วยวิจัยภัยคุกคามของบริษัท Acronis เตือนว่าโทรจันธนาคาร Grandoreiro ยังเคลื่อนไหวต่อเนื่องและแคมเปญล่าสุดเทน้ำหนักการโจมตีไปที่ประเทศเม็กซิโก ตัวอย่างรุ่นใหม่อาศัยการโหลด DLL ผ่านโปรแกรมหาไฟล์ซ้ำที่ถูกกฎหมายเพื่อให้โค้ดอันตรายทำงานกลมกลืนกับซอฟต์แวร์ปกติ พร้อมชุดตรวจจับสภาพแวดล้อมวิเคราะห์ที่ทำงานก่อนติดต่อเซิร์ฟเวอร์สั่งการ รายงานฉบับเดียวกันยังกล่าวถึงมัลแวร์แอนดรอยด์ Manic และ ToxicPanda 2.0 ที่เว็บไซต์เคยรายงานไปแล้ว

นักวิจัยจากบริษัท Check Point เปิดเผยเทคนิคที่ใช้ไดรเวอร์ BTR.sys ของ Microsoft Defender เอง ซึ่งมีลายเซ็นถูกต้องและเป็นคอมโพเนนต์บังคับของวินโดวส์ มาสั่งลบไฟล์และคีย์รีจิสทรีระดับเคอร์เนลได้ตามอำเภอใจ ตั้งแต่ Windows 7 ถึง Windows 11 25H2 โดยไม่ต้องอาศัยช่องโหว่ใด การสาธิตบนเวที Black Hat ลบชุด Defender ออกจากเครื่องที่เปิด Tamper Protection ได้ทั้งหมด เงื่อนไขคือผู้โจมตีต้องมีสิทธิ์ผู้ดูแลระบบพร้อม SeLoadDriverPrivilege อยู่ก่อน ไมโครซอฟท์ระบุว่ายังไม่เข้าเกณฑ์ต้องแก้ไขทันที

นักวิจัยจาก Securelist พบว่ากลุ่ม HoneyMyte อัปเกรดแบ็กดอร์ CoolClient ด้วยไดรเวอร์รูตคิตระดับเคอร์เนลบนวินโดวส์ที่ซ่อนโปรเซส ไฟล์ คีย์รีจิสทรี และการเชื่อมต่อ C2 ได้พร้อมกัน เป้าหมายคือองค์กรในปากีสถาน มองโกเลีย เมียนมา และรัสเซีย รวมถึงหน่วยงานรัฐ ห่วงโซ่การติดเชื้อเริ่มจาก PlugX แล้วต่อด้วยการ sideload ไฟล์ DLL ผ่านโปรแกรมจริงของ Sangfor ที่เปลี่ยนชื่อเป็น defender.exe ไดรเวอร์มีลายเซ็นของบริษัทจีนที่หมดอายุไปหลายปีแล้ว ซึ่งไม่ใช่หลักฐานความปลอดภัยแต่อย่างใด

ไมโครซอฟท์ยืนยันเมื่อวันศุกร์ว่าได้เริ่มพัฒนาแพตช์สำหรับช่องโหว่ zero-day ใน Microsoft Defender ชื่อ ShieldBreak แล้ว พร้อมกำหนดหมายเลขติดตามเป็น CVE-2026-69414 ช่องโหว่นี้เป็นการยกระดับสิทธิ์ที่ผู้โจมตีในเครื่องซึ่งมีสิทธิ์จำกัดสามารถใช้ขึ้นเป็น SYSTEM บน Windows 10, Windows 11 และ Windows Server ที่แพตช์ครบแล้วได้ นักวิเคราะห์ยืนยันว่าโค้ดสาธิตใช้งานได้จริงแต่ต้องเปิด Defender อยู่ ขณะที่ผู้เปิดเผยยังปล่อยช่องโหว่ออกมาโดยไม่แจ้งผู้ผลิตล่วงหน้าท่ามกลางข้อพิพาทเรื่องนโยบายเปิดเผยช่องโหว่

Microsoft ออกแพตช์ประจำเดือนสิงหาคม 2569 อุดช่องโหว่ 400 รายการ ในจำนวนนี้เป็นระดับวิกฤต 42 รายการ และมี zero-day 3 รายการ โดยตัวที่ถูกใช้โจมตีจริงคือ CVE-2026-68820 ในไดรเวอร์ AFD.sys ซึ่ง Check Point ระบุว่ากลุ่ม Lazarus ใช้ยกระดับสิทธิ์เป็น SYSTEM เพื่อปล่อยรูทคิต FudModule รุ่นใหม่ อีกสองรายการถูกเปิดเผยสู่สาธารณะก่อนมีแพตช์ คือ CVE-2026-62832 ที่ตรงกับช่องโหว่ชื่อ LegacyHive และ CVE-2026-72971 ในไดรเวอร์ unionfs.sys

นักวิจัยที่ใช้ชื่อ Chaotic Eclipse ปล่อยโค้ดสาธิตการโจมตีของช่องโหว่ zero-day ตัวใหม่ชื่อ ShieldBreak ซึ่งอยู่ใน Microsoft Defender บน Windows โดยอ้างว่าเป็นการข้ามแพตช์ของ CVE-2026-50656 หรือ RoguePlanet ได้อย่างสมบูรณ์ ช่องโหว่เดิมเป็น race condition ที่เปิดทางให้เรียก shell ด้วยสิทธิ์ระดับ SYSTEM และ Microsoft เพิ่งออกแพตช์หลังถูกเปิดเผยเกือบหนึ่งเดือน นักวิจัยระบุว่าทดสอบบน Windows 11 25H2 และ Windows Server 2025 ได้ผลสำเร็จ 100% ขณะที่ Microsoft ยังไม่ให้ความเห็นต่อข้ออ้างนี้

ทีม Unit 42 ของ Palo Alto Networks เปิดเผยเทคนิคโจมตี 3 รูปแบบต่อ Google Password Manager บน Chrome ที่ทำให้มัลแวร์สิทธิ์ผู้ใช้ทั่วไปเข้าสู่บัญชีที่ป้องกันด้วย passkey ได้โดยไม่ต้องสแกนนิ้วหรือใส่ PIN เทคนิคที่รุนแรงที่สุดคือการดึงกุญแจหลัก Security Domain Secret ขนาด 32 ไบต์ออกจากหน่วยความจำของ Chrome ทั้งสามเส้นทางไม่ได้เจาะตัวการเข้ารหัส แต่เจาะโค้ดรอบ ๆ passkey รายงานไม่มีหมายเลข CVE และยังไม่ยืนยันว่าปิดช่องครบแล้ว ทุกเส้นทางต้องมีมัลแวร์รันอยู่บนเครื่องเหยื่อก่อน

นักวิจัยพบช่องโหว่ยกระดับสิทธิ์ในตัวอัปเดตของ Foxit PDF Reader (CVE-2026-57239) เปิดทางให้ผู้ใช้ Windows ทั่วไปยึดสิทธิ์ระดับ SYSTEM ได้เต็มรูปแบบ ช่องโหว่เกิดจากตัวอัปเดตโหลดไฟล์สไตล์ไดรเวอร์อย่าง winspool.drv โดยไม่ตรวจสอบ ทำให้ side-load ไฟล์ปลอมได้ แล้วเชนกับบริการ FoxitPDFReaderUpdateService.exe ที่รันเป็น SYSTEM ผ่านไฟล์ FoxitData.txt ที่ผู้ใช้สิทธิ์ต่ำเขียนได้ Foxit แก้แล้วในเวอร์ชัน 2026.2 แนะนำอัปเดตทันที แม้ต้องมี foothold บนเครื่องก่อน จึงเหมาะกับสถานการณ์หลังถูกเจาะ

นักวิจัยของบริษัท Fortinet พบ TrickBot สายพันธุ์ใหม่ที่ใช้เทคนิค DNS tunneling แลกคำสั่งกับผู้ควบคุมแทนการเชื่อมต่อ HTTP แบบเดิม มัลแวร์ซ่อนคำสั่งไว้ในคำขอ DNS ที่ส่งผ่านเซิร์ฟเวอร์ DNS สาธารณะของ Google ที่ 8.8.8.8 ทำให้ทราฟฟิกดูเหมือนการค้นชื่อเว็บทั่วไป มันสามารถดาวน์โหลดโมดูลเพิ่ม รันโค้ด PowerShell inject โค้ดเข้ากระบวนการอื่น และตั้ง scheduled task ปลอมเป็นตัวอัปเดตซอฟต์แวร์เพื่อฝังตัว