Xss

บริษัท Proofpoint เปิดเผยกลุ่มจารกรรมที่คาดว่าเชื่อมโยงจีน UNK_MassTraction โจมตีเว็บเมล Roundcube ของภาควิชาฟิสิกส์และวิศวกรรมในมหาวิทยาลัยสหรัฐฯ และแคนาดา ใช้ช่องโหว่ XSS CVE-2024-42009 ที่เพียงเปิดอีเมลก็ถูกเจาะ ปล่อยมัลแวร์ IceCube ขโมย credential, 2FA และคุกกี้ แล้วต่อยอดช่องโหว่ RCE CVE-2025-49113 ฝัง web shell SquareShell หรือ VShell ในหน่วยความจำ นับเป็นครั้งแรกที่กลุ่มจีนถูกโยงกับการเจาะ Roundcube ซึ่งเดิมเป็นแนวถนัดของกลุ่มรัสเซีย

บริษัท IBM ออกประกาศเตือนช่องโหว่สามรายการใน WebSphere Application Server เวอร์ชัน 8.5 และ 9.0 ที่ระบบ integrated help ของคอนโซลผู้ดูแล สองรายการเป็น XSS (CVE-2026-11712, CVE-2026-11708) คะแนน CVSS สูงถึง 9.3 และอีกหนึ่งรายการเป็น path traversal (CVE-2026-11595) CVSS 4.3 ผู้โจมตีหลอกผู้ดูแลที่ล็อกอินให้คลิกลิงก์อันตรายเพื่อรันสคริปต์หรือเข้าถึงไฟล์จำกัด IBM ไม่มี workaround ต้องอัปเดต fix pack เท่านั้น

GitLab ออกอัปเดตความปลอดภัยให้ทั้ง Community Edition และ Enterprise Edition ปิดช่องโหว่รวม 13 รายการ โดยมี 3 รายการระดับความรุนแรงสูง ตัวที่ร้ายแรงที่สุดคือ CVE-2026-10086 ซึ่งเป็น XSS ใน Analytics dashboard ของ GitLab EE ตามด้วย CVE-2026-10712 ที่เป็น XSS ใน Web IDE ซึ่งผู้โจมตีที่ไม่ต้องยืนยันตัวตนใช้ประโยชน์ได้ และ CVE-2026-12053 ที่เปิดให้เข้าถึงข้อมูลสำคัญ แพตช์อยู่ในเวอร์ชัน 19.1.1, 19.0.3 และ 18.11.6

นักวิจัยจากบริษัท Rebora Security พบช่องโหว่ร้ายแรงในส่วนขยาย Chrome ยอดนิยม SiderAI และ MaxAI ที่ติดตั้งบนอุปกรณ์กว่า 10 ล้านเครื่อง ช่องโหว่ชื่อ Spyder และ MaXSS เกิดจากการจัดการการสื่อสารระหว่างเว็บเพจกับ content script ที่ไม่ปลอดภัย เปิดทางให้เว็บอันตรายสั่ง action สิทธิ์สูง เปิดแท็บซ่อน จับภาพหน้าจอ เข้าถึง Gmail/Calendar และดูดบทสนทนา AI ได้โดยเหยื่อไม่รู้ตัวเพียงแค่เข้าเว็บอันตราย ผู้ผลิตไม่ตอบกลับจึงเปิดเผยสู่สาธารณะ

บริษัท Apache Software Foundation ปล่อย Apache HTTP Server เวอร์ชัน 2.4.68 เมื่อ 8 มิถุนายน 2569 แก้ 13 ช่องโหว่ครอบคลุมหลายโมดูล ทั้ง use-after-free 2 ตัวใน mod_ldap และ mod_http2, XSS ใน mod_proxy_ftp, heap overflow 4 ตัว และ DoS ที่หมดหน่วยความจำผ่าน HTTP/2 กระทบทุกเวอร์ชันตั้งแต่ 2.4.0 ถึง 2.4.67 ผู้ดูแลควรอัปเกรดทันทีเพราะส่วนใหญ่ไม่มี workaround

Microsoft เตือนช่องโหว่ Zero-Day CVE-2026-42897 (CVSS 8.1) ใน Exchange Server ถูกใช้โจมตีจริงแล้ว ผู้โจมตีส่งอีเมลปลอมเพื่อรัน JavaScript บน OWA — กระทบ Exchange 2016, 2019 และ SE ที่ติดตั้ง On-Prem ทั้งหมด ยังไม่มีแพตช์แก้ไข มีเพียง mitigation ชั่วคราว