Wiz

Drupal เตือนว่าช่องโหว่ CVE-2026-118539 ในโมดูล Commerce Core ระดับ Highly Critical กำลังถูกโจมตีจริง ช่องโหว่เกิดจากโมดูลไม่ป้องกันบาง route และฟิลด์ของ entity มากพอ จนผู้โจมตีข้ามสิทธิ์และอาจสร้างความเสียหายทางการเงินกับร้านค้า กระทบเวอร์ชันก่อน 2.41 และ 3.0.0 ถึง 3.3.13 Drupal ไม่เผยลักษณะหรือขนาดของการโจมตี ในช่วงเดียวกัน Wiz รายงานว่าการยิง PHP2Shell ยังทำงานไม่เสถียรบนเซิร์ฟเวอร์จริง ผู้ดูแลร้านค้าบน Drupal ควรอัปเกรด Commerce Core และตรวจคำสั่งซื้อผิดปกติ

Wiz เปิดโปง Gheist แคมเปญอัตโนมัติที่ใช้ GitHub token ที่ขโมยมาจาก 850 บัญชีสร้าง branch กว่า 13,500 อัน เพื่อรัน workflow พิมพ์ secret ทุกตัวของ repo ลงล็อก GitHub Actions แบบเข้ารหัส base32 จนหลุดการปิดบัง แล้วดาวน์โหลดล็อกและลบรันทิ้ง ระบบกักรันน่าสงสัยของ GitHub หยุดได้ทุกรันใน repo สาธารณะ แต่ไม่คุ้มครอง repo ส่วนตัวและ GitHub Enterprise Server ซึ่งถูกดูดสำเร็จ ยังไม่ทราบว่ามีกี่องค์กรที่ secret รั่ว ผู้ดูแลควรค้นหา branch ชื่อ ci-sync- แล้วเปลี่ยน secret ทั้งหมดและเพิกถอน token ที่ใช้ push

บริษัท Wiz เปิดเผยการโจมตีจริงช่วง 15 สิงหาคม–8 กันยายน 2569 ที่ต่อช่องโหว่สองตัวใน JFrog Artifactory ยึดสิทธิ์แอดมินบนเซิร์ฟเวอร์ที่ติดตั้งเอง CVE-2026-42018 ปล่อยโทเคนผู้ใช้นิรนามให้ผู้ที่ยังไม่ล็อกอิน แล้ว CVE-2026-42016 ใช้แลกเป็นโทเคนสิทธิ์แอดมิน ผู้โจมตีสร้างบัญชีแอดมิน ฝังปลั๊กอิน Groovy และวางแบ็กดอร์ Rust ส่วน CVE-2026-82329 ถูกใช้แยกและกระทบเวอร์ชันใหม่กว่า

บริษัท Wiz เปิดเผยช่องโหว่ GitHub Actions workflow injection ในรีโปสาธารณะของ Snowflake ที่เปิดทางให้ issue ซึ่งปั้นขึ้นเป็นพิเศษสั่งรันคำสั่งใน workflow ที่ถือ credential ของ Jira ภายในองค์กร ต้นเหตุคือไฟล์ jira_issue.yml เอาค่าหัวเรื่องและเนื้อ issue ยัดตรงเข้าบล็อก run และตรวจเงื่อนไขผู้ส่งด้วยพร็อพเพอร์ตี้ที่ไม่มีอยู่จริง Wiz ได้โทเคน Jira ที่อ่านโปรเจกต์วิศวกรรมและ bug bounty ได้ Snowflake แก้ในวันเดียวกับที่รับรายงานและหมุนโทเคนแล้ว โดยระบุว่าไม่พบหลักฐานการเข้าถึงโดยไม่ได้รับอนุญาต

บริษัท Wiz เปิดเผยช่องโหว่ CosmosEscape ใน Azure Cosmos DB ที่เปิดทางให้ผู้โจมตีหนีออกจาก sandbox ของ Gremlin query engine แล้วรันโค้ดบนเกตเวย์ที่ใช้ร่วมกันหลายผู้เช่า จนได้กุญแจลงนามระดับแพลตฟอร์มที่ดึงคีย์หลักของบัญชี Cosmos DB รายใดก็ได้ ผู้โจมตีต้องมีเพียงบัญชี Azure ทั่วไปกับฐานข้อมูล Gremlin ของตัวเองเท่านั้น Microsoft ปิดช่องทางภายใน 48 ชั่วโมงและแก้ครบทุกภูมิภาคเมื่อกรกฎาคม 2569 พร้อมยืนยันว่าไม่พบหลักฐานว่ามีลูกค้าได้รับผลกระทบ