Xss

บริษัท Zimbra เร่งให้ลูกค้าอัปเดตแพตช์อุดช่องโหว่ร้ายแรงใน Classic Web Client ที่เปิดทางรันโค้ดโดยพลการได้ ช่องโหว่นี้เป็นแบบ Stored XSS ที่ทำให้อีเมลซึ่งถูกดัดแปลงเป็นพิเศษสามารถรันสคริปต์อันตรายในเซสชันของผู้ใช้เมื่อเปิดอ่าน หากถูกโจมตีสำเร็จอาจเข้าถึงข้อมูลกล่องจดหมาย ข้อมูลเซสชัน หรือการตั้งค่าบัญชีได้ ช่องโหว่ยังไม่ได้รับหมายเลข CVE และแม้ Zimbra ไม่ได้ระบุว่ามีการโจมตีจริง แต่ช่องโหว่ XSS ใน Zimbra เป็นเป้าหมายยอดนิยมของผู้โจมตีมานานหลายปี แนะนำให้อัปเดตเป็นเวอร์ชัน 10.1.19

Roundcube ปล่อยเวอร์ชัน 1.7 แก้ช่องโหว่ 6 รายการ รวมถึง Stored XSS ระดับวิกฤต 2 ตัวที่ทำงานแบบ zero-click ไม่ต้องให้เหยื่อคลิก CVE-2026-54432 เกิดจากการแสดงชนิดไฟล์ (MIME type) ของไฟล์แนบโดยไม่กรอง ทำให้สคริปต์รันทันทีที่หน้าเตือนโหลด ส่วน CVE-2026-54433 อยู่ในเอนจินแสดงข้อความแบบ plain-text แค่เปิดอ่านเมลก็ถูกฝังสคริปต์เงียบ ๆ ทั้งคู่เปิดทางขโมย session และเข้าถึงกล่องเมลโดยไม่ต้องมีปฏิสัมพันธ์ นักวิจัยแนะนำให้อัปเดตด่วนกว่ารอบแพตช์ปกติ

บริษัท Proofpoint เปิดเผยกลุ่มจารกรรมที่คาดว่าเชื่อมโยงจีน UNK_MassTraction โจมตีเว็บเมล Roundcube ของภาควิชาฟิสิกส์และวิศวกรรมในมหาวิทยาลัยสหรัฐฯ และแคนาดา ใช้ช่องโหว่ XSS CVE-2024-42009 ที่เพียงเปิดอีเมลก็ถูกเจาะ ปล่อยมัลแวร์ IceCube ขโมย credential, 2FA และคุกกี้ แล้วต่อยอดช่องโหว่ RCE CVE-2025-49113 ฝัง web shell SquareShell หรือ VShell ในหน่วยความจำ นับเป็นครั้งแรกที่กลุ่มจีนถูกโยงกับการเจาะ Roundcube ซึ่งเดิมเป็นแนวถนัดของกลุ่มรัสเซีย

บริษัท IBM ออกประกาศเตือนช่องโหว่สามรายการใน WebSphere Application Server เวอร์ชัน 8.5 และ 9.0 ที่ระบบ integrated help ของคอนโซลผู้ดูแล สองรายการเป็น XSS (CVE-2026-11712, CVE-2026-11708) คะแนน CVSS สูงถึง 9.3 และอีกหนึ่งรายการเป็น path traversal (CVE-2026-11595) CVSS 4.3 ผู้โจมตีหลอกผู้ดูแลที่ล็อกอินให้คลิกลิงก์อันตรายเพื่อรันสคริปต์หรือเข้าถึงไฟล์จำกัด IBM ไม่มี workaround ต้องอัปเดต fix pack เท่านั้น

GitLab ออกอัปเดตความปลอดภัยให้ทั้ง Community Edition และ Enterprise Edition ปิดช่องโหว่รวม 13 รายการ โดยมี 3 รายการระดับความรุนแรงสูง ตัวที่ร้ายแรงที่สุดคือ CVE-2026-10086 ซึ่งเป็น XSS ใน Analytics dashboard ของ GitLab EE ตามด้วย CVE-2026-10712 ที่เป็น XSS ใน Web IDE ซึ่งผู้โจมตีที่ไม่ต้องยืนยันตัวตนใช้ประโยชน์ได้ และ CVE-2026-12053 ที่เปิดให้เข้าถึงข้อมูลสำคัญ แพตช์อยู่ในเวอร์ชัน 19.1.1, 19.0.3 และ 18.11.6

นักวิจัยจากบริษัท Rebora Security พบช่องโหว่ร้ายแรงในส่วนขยาย Chrome ยอดนิยม SiderAI และ MaxAI ที่ติดตั้งบนอุปกรณ์กว่า 10 ล้านเครื่อง ช่องโหว่ชื่อ Spyder และ MaXSS เกิดจากการจัดการการสื่อสารระหว่างเว็บเพจกับ content script ที่ไม่ปลอดภัย เปิดทางให้เว็บอันตรายสั่ง action สิทธิ์สูง เปิดแท็บซ่อน จับภาพหน้าจอ เข้าถึง Gmail/Calendar และดูดบทสนทนา AI ได้โดยเหยื่อไม่รู้ตัวเพียงแค่เข้าเว็บอันตราย ผู้ผลิตไม่ตอบกลับจึงเปิดเผยสู่สาธารณะ

บริษัท Apache Software Foundation ปล่อย Apache HTTP Server เวอร์ชัน 2.4.68 เมื่อ 8 มิถุนายน 2569 แก้ 13 ช่องโหว่ครอบคลุมหลายโมดูล ทั้ง use-after-free 2 ตัวใน mod_ldap และ mod_http2, XSS ใน mod_proxy_ftp, heap overflow 4 ตัว และ DoS ที่หมดหน่วยความจำผ่าน HTTP/2 กระทบทุกเวอร์ชันตั้งแต่ 2.4.0 ถึง 2.4.67 ผู้ดูแลควรอัปเกรดทันทีเพราะส่วนใหญ่ไม่มี workaround

Microsoft เตือนช่องโหว่ Zero-Day CVE-2026-42897 (CVSS 8.1) ใน Exchange Server ถูกใช้โจมตีจริงแล้ว ผู้โจมตีส่งอีเมลปลอมเพื่อรัน JavaScript บน OWA — กระทบ Exchange 2016, 2019 และ SE ที่ติดตั้ง On-Prem ทั้งหมด ยังไม่มีแพตช์แก้ไข มีเพียง mitigation ชั่วคราว