Zero-Click

ESET รายงานว่ากลุ่มที่สอดคล้องกับรัสเซียกำลังเจาะเมลเซิร์ฟเวอร์ MDaemon ในยูเครนโดยไม่ต้องให้ใครเปิดอีเมล MDaemon ใช้ ClamAV สแกนไฟล์แนบแต่ยังพก libclamunrar.dll รุ่นเก่าที่มีช่องโหว่ WinRAR CVE-2025-8088 ผู้โจมตีเพียงส่งไฟล์ RAR ที่สร้างมาเฉพาะไปยังที่อยู่ใดก็ได้บนเซิร์ฟเวอร์ การสแกนจะเขียน DLL อันตรายลงระบบไฟล์ CERT-UA ติดตามมัลแวร์ที่ใช้ในชื่อ HELLAGE และ HELLTAG และ ESET ยังระบุกลุ่มไม่ได้ ผู้ดูแลควรอัปเกรด MDaemon เป็น 26.0.4 ขึ้นไป

นาย Saifeldeen Aziz นักวิจัยความปลอดภัย อ้างว่าพบช่องโหว่ zero-click ใหม่ในสติกเกอร์ Telegram และนำไปบรรยายที่งาน OffensiveCon โตเกียว 28 ตุลาคม เขาใช้ LLM ช่วย fuzz ไลบรารี rlottie จนพบบั๊กหน่วยความจำ แล้วร้อยกับช่องโหว่เชิงตรรกะจนรันโค้ดบน iOS ได้ คำอ้างนี้ค้านจุดยืนของ Telegram ที่ว่าเซิร์ฟเวอร์กรองสติกเกอร์ไว้หมดแล้ว ขณะที่ ZDI เผยแพร่ CVE-2026-111105 ใน rlottie ที่ยังไม่มีแพตช์ บทคัดย่อยังไม่มีหลักฐานเทคนิค จึงยังไม่ยืนยัน ผู้ใช้ควรอัปเดตแอปและจำกัดคนที่ส่งข้อความหรือเพิ่มเข้ากลุ่มได้

Citizen Lab ยืนยันด้วยความมั่นใจสูงว่าไอโฟนของนาย Vladan Đokić อธิการบดีมหาวิทยาลัยเบลเกรด ติดสปายแวร์ Pegasus ของ NSO Group แบบ zero-click ในปี 2569 การเปิดเผยเกิดขึ้น 6 วันก่อนเลือกตั้งรัฐสภาเซอร์เบียวันที่ 25 ตุลาคม อีกรายคืออัยการผู้เคยทำคดีทุจริต Generalštab ที่ได้รับคำเตือนภัยจาก Apple 2 ครั้งในเดือนสิงหาคม รายงานไม่ระบุผู้อยู่เบื้องหลัง ช่องโหว่ที่ใช้ หรือข้อมูลที่ถูกขโมย ยอดผู้ถูกเล็งเป้าในภาคประชาสังคมเซอร์เบียปีนี้เพิ่มเป็นอย่างน้อย 16 ราย

Citizen Lab เผยหลักฐานทางเทคนิคครั้งแรกว่าสปายแวร์รับจ้างถูกส่งเข้าอุปกรณ์จริงผ่านโฆษณาออนไลน์แบบเจาะกลุ่ม โดยเชื่อมโยงบริษัทโฆษณา Discover-Tech ของอิสราเอลกับผู้ผลิตสปายแวร์ Candiru อุปกรณ์ของ Al Jazeera อย่างน้อย 45 เครื่องถูกโจมตีแบบ zero-click ระหว่างปี 2567-2568 โค้ดในโฆษณาส่ง advertising ID และ IP กลับไปให้เซิร์ฟเวอร์คัดเลือกเป้าหมายก่อนส่งโค้ดโจมตี โฆษณาของบริษัทนี้ปรากฏในเว็บไซต์ 120,000 แห่งและแอป 75,000 แอป Google และ IAB Europe ถอดบริษัทออกแล้ว

บริษัท Google ออกแพตช์เดือนกันยายน 2569 แก้ช่องโหว่ยกระดับสิทธิ์ในโมเด็มมือถือของ Pixel รหัส CVE-2026-58704 คะแนน CVSS 8.0 พร้อมระบุว่าพบสัญญาณการโจมตีแบบจำกัดวงและเจาะจงเป้าหมาย ช่องโหว่เกิดจากข้อผิดพลาดเชิงตรรกะที่ทำให้ข้ามการตรวจสิทธิ์ได้จากระยะประชิดโดยไม่ต้องให้เหยื่อกดอะไรเลย (zero-click) ต่อมา CISA เพิ่มช่องโหว่นี้เข้าแคตตาล็อก KEV เมื่อ 16 กันยายน สั่งหน่วยงานรัฐบาลกลางแพตช์ภายใน 19 กันยายน ผู้ใช้ควรอัปเดตให้ถึงระดับแพตช์ 5 กันยายน 2569 หรือใหม่กว่า

บริษัทด้านความปลอดภัย Calif สร้างเวิร์มที่ยึดบัญชี WeChat ได้ด้วยสายเรียกเข้าเพียงสายเดียว โดยเป้าหมายไม่ต้องกดรับหรือแตะเครื่องเลย เงื่อนไขเดียวคือผู้โทรต้องอยู่ในรายชื่อผู้ติดต่อของเหยื่อก่อน ซึ่งทำให้บัญชีที่ถูกยึดแล้วกลายเป็นฐานแพร่ต่อไปยังผู้ติดต่อรายอื่นได้เอง นักวิจัยแจ้ง Tencent เมื่อเดือนกรกฎาคมและระบุว่าบริษัทปิดกั้นการโจมตีนี้ให้ผู้ใช้ทุกคนแล้ว แต่ยังไม่มีหมายเลข CVE ไม่มีประกาศจาก Tencent และยังไม่มีการเปิดเผยว่าเวอร์ชันใดได้รับผลกระทบบ้าง

องค์กร Citizen Lab ร่วมกับมูลนิธิ SHARE ยืนยันว่าไอโฟนของสมาชิกขบวนการประท้วงนักศึกษาในเซอร์เบียถูกฝังสปายแวร์ Pegasus ของบริษัท NSO Group ผ่านช่องโหว่ zero-click ทาง iMessage โดยพบร่องรอยการติดเชื้อระดับความเชื่อมั่นสูงในช่วงเดือนธันวาคม 2568 ถึงมกราคม 2569 ทั้งที่ Apple แก้ช่องโหว่นี้ไปแล้วใน iOS 18.4.1 ตั้งแต่เดือนเมษายน 2568 มูลนิธิ SHARE ระบุว่ามีผู้ถูกเล็งเป้าอย่างน้อย 14 รายตั้งแต่ต้นปี 2569 และพบสปายแวร์แอนดรอยด์ตัวใหม่ถูกติดตั้งขณะเจ้าของเครื่องถูกควบคุมตัว

Roundcube ปล่อยเวอร์ชัน 1.7 แก้ช่องโหว่ 6 รายการ รวมถึง Stored XSS ระดับวิกฤต 2 ตัวที่ทำงานแบบ zero-click ไม่ต้องให้เหยื่อคลิก CVE-2026-54432 เกิดจากการแสดงชนิดไฟล์ (MIME type) ของไฟล์แนบโดยไม่กรอง ทำให้สคริปต์รันทันทีที่หน้าเตือนโหลด ส่วน CVE-2026-54433 อยู่ในเอนจินแสดงข้อความแบบ plain-text แค่เปิดอ่านเมลก็ถูกฝังสคริปต์เงียบ ๆ ทั้งคู่เปิดทางขโมย session และเข้าถึงกล่องเมลโดยไม่ต้องมีปฏิสัมพันธ์ นักวิจัยแนะนำให้อัปเดตด่วนกว่ารอบแพตช์ปกติ

Citizen Lab เผยว่า นาย Stelios Kouloglou อดีตสมาชิกรัฐสภายุโรปที่นั่งในคณะกรรมการสอบสวนการใช้สปายแวร์ ถูกเจาะโทรศัพท์ด้วย Pegasus ซ้ำหลายครั้งช่วงปี 2565–2566 ผ่านช่องโหว่ zero-click PWNYOURHOME ใน HomeKit ของ Apple การวิเคราะห์ทางนิติวิทยาศาสตร์ชี้ว่าผู้โจมตีอาจเข้าถึงเอกสารลับและการประชุมของคณะกรรมการ นับเป็นสมาชิก PEGA คนแรกที่ถูกยืนยันว่าเป็นเหยื่อ Pegasus ขณะปฏิบัติหน้าที่

หน่วยงานความมั่นคงกลางรัสเซีย (FSB) อ้างว่าได้ขัดขวางปฏิบัติการจารกรรมไซเบอร์ขนาดใหญ่ที่ฝังสปายแวร์ขั้นสูงในมือถือของเจ้าหน้าที่รัฐระดับสูง โดยกล่าวหาว่าหน่วยข่าวกรองต่างชาติเป็นผู้อยู่เบื้องหลัง มัลแวร์สามารถดึงข้อมูลสำคัญ ดักการสื่อสาร และแอบบันทึกเสียง/วิดีโอ FSB ระบุผู้โจมตีอาศัยโครงสร้างพื้นฐานของผู้ให้บริการ IT และโทรคมนาคมระดับโลก แม้ไม่เปิดเผย IoC หรือชื่อมัลแวร์ แต่ความสามารถสอดคล้องกับสปายแวร์ระดับรัฐอย่าง Pegasus หรือ Predator ที่มักใช้ zero-click exploit