Zero-Day

Black Lotus Labs ของ Lumen เปิดโปง Silent Train เครือข่ายแฝงที่ Volt Typhoon กลุ่มจารกรรมสายจีนใช้มาตั้งแต่ปลายปี 2566 เครือข่ายนี้ร้อยเราเตอร์ อุปกรณ์ IoT และอุปกรณ์องค์กรที่ถูกเจาะเป็นสายส่งต่อแบบใช้ครั้งเดียว แล้วลบร่องรอยหลังแต่ละเซสชัน กลุ่มนี้ใช้ Silent Train ใน zero-day 4 แคมเปญ ได้แก่ Versa Director, N-able N-central, Cisco SD-WAN และ Arista VeloCloud เหยื่อหลายร้อยรายอยู่ในโทรคมนาคม รัฐ กลาโหม และโครงสร้างพื้นฐานสำคัญ ผู้ดูแลควรปิดหน้าจัดการระบบเหล่านี้จากอินเทอร์เน็ตและแพตช์ให้ครบ

Zero Day Initiative เผยว่า CVE-2026-35273 ช่องโหว่ Oracle PeopleSoft ที่ ShinyHunters ใช้เจาะมาตั้งแต่พฤษภาคม แท้จริงเป็น 3 ช่องโหว่ต่อกันที่ Oracle แก้รวมไว้ใต้หมายเลขเดียว จุดเริ่ม คือ SSRF ใน Integration Gateway ที่ยิงไปยัง 127.0.0.1 ซึ่ง Environment Management Hub เชื่อใจตั้งแต่ติดตั้ง จากนั้นเขียน web shell หรือไฟล์ XML เพื่อรันโค้ดโดยไม่ต้องล็อกอิน Mandiant พบผู้โจมตีหลบกฎ WAF ด้วยการเข้ารหัส URL ตัวอักษรเดียว ควรแพตช์ ปิด PSEMHUB ถ้ายังแพตช์ไม่ได้ และเปลี่ยนข้อมูลยืนยันตัวตนทั้งหมด

บริษัท Apple ออก iOS 27.2 และ iPadOS 27.2 แก้ช่องโหว่ 163 รายการ และออก iOS 18.7.11 ย้อนแพตช์ zero-day CoreGraphics CVE-2026-86950 ให้ iPhone XS, XR และรุ่นเก่า กลุ่มที่ร้ายแรงสุดอยู่ใน WebKit ซึ่งหน้าเว็บที่สร้างขึ้นพิเศษอาจรันโค้ดบนเครื่องได้ และมีช่องโหว่หลุดจาก sandbox อีก 2 รายการ Apple ไม่ได้ระบุว่าช่องโหว่ใน iOS 27.2 ถูกโจมตีแล้ว แต่ CVE-2026-86950 อาจถูกใช้โจมตีเป้าหมายเฉพาะ ผู้ใช้ควรอัปเดตเป็น iOS 27.2, 26.7.2 หรือ 18.7.11 ตามรุ่นเครื่องโดยเร็ว

Arista เตือนว่าช่องโหว่ SQL injection CVE-2026-114625 ใน VeloCloud Orchestrator ระบบจัดการกลางของ SD-WAN ถูกใช้โจมตีจริงเป็น zero-day ช่องโหว่มีคะแนน CVSS 9.9 ผู้ที่ล็อกอินได้แม้เป็นบัญชีลูกค้าระดับอ่านอย่างเดียวก็ยกสิทธิ์เป็น operator ซึ่งเป็นระดับควบคุมสูงสุดได้ แพตช์อยู่ใน VCO 5.2.3.18, 6.1.3.10 และ 6.4.2.12 ส่วนแบบ Hosted และ Dedicated แก้แล้ว นี่เป็นช่องโหว่ VCO ตัวที่ 3 ที่ถูกโจมตีตั้งแต่ปลายกรกฎาคม และ Arista พบ IP โจมตี 2 รายการ

Armory Castle กลุ่มจารกรรมที่โยงกับจีน (เดิม UNC5221) ใช้ช่องโหว่ CVE-2026-102764 ใน BeyondTrust Remote Support เป็น zero-day ตั้งแต่ 29 ส.ค. 2569 ช่องโหว่คะแนน CVSS 9.3 เกิดจากคอมโพเนนต์ภายในไม่ตรวจต้นทางของข้อความ ทำให้ผู้โจมตีจากระยะไกลดำเนินการกับไฟล์บนอุปกรณ์ได้ Mandiant พบการฝังเว็บเชลล์ SAWFLY ยกสิทธิ์เป็น root ขโมยข้อมูลรับรองจากคลังความลับ แล้วใช้ Jump Items กระโดดเข้าเครื่องปลายทาง ลูกค้า SaaS ได้แพตช์แล้ว ส่วนแบบติดตั้งเองต้องอัปเดตด้วยตัวเอง

CISA เร่งให้องค์กรอัปเดต Ivanti Connect Secure ทันที หลัง CVE-2026-104935 ช่องโหว่ข้ามการยืนยันตัวตน CVSS 8.6 ถูกใช้เป็น zero-day เพื่อรันคำสั่งโดยไม่ต้องล็อกอิน แล้วขโมยข้อมูลรับรองและข้อมูลออก CISA ใส่ช่องโหว่นี้ใน KEV และให้หน่วยงานรัฐบาลกลางแพตช์ภายใน 16 ต.ค. 2569 Previdian พบความพยายามโจมตี honeypot 105 ครั้งจาก 50 IP Volexity พบกลุ่ม UTA0576 ใช้ช่องโหว่นี้ร่วมกับบั๊กยกระดับสิทธิ์ได้ root ตั้งแต่ 3 ต.ค. แล้วขโมยรหัส Kerberoast และค้น BitLocker recovery key

Microsoft ออกแพตช์ประจำเดือนตุลาคม 2569 แก้ 1,413 ช่องโหว่ มากที่สุดเป็นประวัติการณ์ ในจำนวนนี้มี CVE-2026-96951 ใน Windows Shell ที่ใช้ข้ามการป้องกัน Mark of the Web และถูกโจมตีจริงแล้ว CISA เพิ่มเข้า KEV และสั่งหน่วยงานรัฐบาลกลางแพตช์ภายใน 16 ตุลาคม อีกตัวที่ต้องเร่งคือ CVE-2026-108398 ใน .NET Framework ซึ่งเปิดเผยต่อสาธารณะแล้ว ใช้ข้าม WDAC ได้ Microsoft ยังเปิดตัวการจัดกลุ่ม risk cohort เพื่อช่วยจัดลำดับแพตช์

บริษัท Binary Defense พบผู้โจมตีใช้ช่องโหว่ zero-day รหัส CVE-2026-88771 และ CVE-2026-88772 ใน Citrix NetScaler ADC และ Gateway ฝัง Platypus เครื่องมือควบคุมระยะไกลโอเพนซอร์สที่ถูกดัดแปลงและคอมไพล์สำหรับ FreeBSD โดยปลอมเป็นไฟล์ .pl ช่องโหว่ command injection ทำงานผ่านล็อก จึงอาจรันคำสั่งช้าได้ถึง 24 ชั่วโมง การติดตั้งแพตช์ไม่ลบ implant ที่ฝังไว้แล้ว อุปกรณ์ที่เปิดสู่อินเทอร์เน็ตก่อนแพตช์ควรถือว่าอาจถูกบุกรุก ยังไม่มีการระบุกลุ่มผู้โจมตี

การแข่งขัน Pwn2Own Ireland 2026 ที่เมืองคอร์ก มี 3 ทีมเจาะ Google Pixel 10 ที่แพตช์ครบจากระยะไกลได้สำเร็จเมื่อ 8 ตุลาคม 2569 รวมเงินรางวัล 562,500 ดอลลาร์ Ikotas Labs ได้รางวัลสูงสุด 300,000 ดอลลาร์และตำแหน่ง Master of Pwn อย่างน้อย 2 ใน 3 ผลงานใช้บั๊กที่เคยมีผู้รายงานมาก่อน ZDI ยังไม่เปิดเผยวิธีเจาะ และ Google ยังไม่มีแพตช์ Galaxy S26 ถูกเจาะครบ 7 ครั้ง ส่วนทั้งงานสำเร็จ 51 จาก 63 ครั้ง รางวัลรวมกว่า 1.2 ล้านดอลลาร์

บริษัท Huntress พบผู้โจมตีใช้ช่องโหว่ 2 รายการในซอฟต์แวร์สำรองข้อมูล AhsayCBS ร่วมกัน คือ CVE-2026-105133 ข้ามการยืนยันตัวตน และ CVE-2026-105134 command injection (CVSS 9.3) เพื่อรันคำสั่งระยะไกล การโจมตีเริ่ม 7 ต.ค. และกระทบแล้ว 5 องค์กร ผู้โจมตีฝังเว็บเชลล์และตัวขุด XMRig ที่ปลอมชื่อเป็น edge.exe แม้ NVD ระบุว่าแก้แล้วในเวอร์ชัน 10.3.4 แต่ Huntress ยืนยันว่าเวอร์ชันนี้ยังโดน ช่องโหว่ทั้งคู่จึงเป็นซีโรเดย์ที่ยังไม่มีแพตช์