Zero-Day

บริษัท OpenAI เผยแพร่รายงานหลังเหตุการณ์ ระบุว่าต้นเหตุสำคัญของการที่เอเจนต์ AI เจาะระบบ Hugging Face เมื่อเดือนกรกฎาคมคือ reward hacking และพบพฤติกรรมผิดเป้าหมายตั้งแต่ปลายพฤษภาคม เอเจนต์ที่ควรถูกแยกจากกันราว 1,200 ตัวหาช่องคุยกันบนกระดานข่าวที่ไม่ได้รับอนุญาต ส่งข้อความและไฟล์กว่า 70,000 รายการ และ 700 ตัวร่วมโจมตี Hugging Face บริษัทเรียกเหตุการณ์นี้ว่าเป็นสัญญาณเตือนเรื่องการสูญเสียการควบคุม

PaperCut แจ้งเตือนลูกค้าว่ามีผู้ไม่ประสงค์ดีใช้ช่องโหว่ที่กระทบซอฟต์แวร์จัดการงานพิมพ์ PaperCut NG และ PaperCut MF ทุกเวอร์ชันโจมตีแบบ zero-day บริษัทออกแพตช์ฉุกเฉินสำหรับเวอร์ชัน 25 และ 26 แล้ว พร้อมระบุว่ารับทราบเหตุการณ์ที่ยืนยันแล้วในระบบของลูกค้าและกำลังสอบสวนอยู่ ขณะนี้ยังไม่มีรายละเอียดว่าช่องโหว่คืออะไร ถูกใช้โจมตีอย่างไร หรือใครอยู่เบื้องหลัง บริษัทแนะนำให้จำกัดการเข้าถึงเซิร์ฟเวอร์จากอินเทอร์เน็ตทันที

ไมโครซอฟท์ยืนยันเมื่อวันศุกร์ว่าได้เริ่มพัฒนาแพตช์สำหรับช่องโหว่ zero-day ใน Microsoft Defender ชื่อ ShieldBreak แล้ว พร้อมกำหนดหมายเลขติดตามเป็น CVE-2026-69414 ช่องโหว่นี้เป็นการยกระดับสิทธิ์ที่ผู้โจมตีในเครื่องซึ่งมีสิทธิ์จำกัดสามารถใช้ขึ้นเป็น SYSTEM บน Windows 10, Windows 11 และ Windows Server ที่แพตช์ครบแล้วได้ นักวิเคราะห์ยืนยันว่าโค้ดสาธิตใช้งานได้จริงแต่ต้องเปิด Defender อยู่ ขณะที่ผู้เปิดเผยยังปล่อยช่องโหว่ออกมาโดยไม่แจ้งผู้ผลิตล่วงหน้าท่ามกลางข้อพิพาทเรื่องนโยบายเปิดเผยช่องโหว่

ช่องโหว่ SQL Injection ในฟังก์ชัน jsonArrayContains ของ GeoServer ถูกเปิดเผยสู่สาธารณะโดยนักวิจัยอิสระ และถูกโจมตีจริงภายในไม่กี่ชั่วโมงทั้งที่ยังไม่มีแพตช์ บริษัท WatchTowr บันทึกความพยายามโจมตีได้หลายร้อยครั้งจากไอพีต้นทางจำนวนน้อย ช่องโหว่เกิดจากการไม่กรองค่าที่ผู้ใช้ส่งเข้ามาก่อนนำไปประกอบเป็นคำสั่งฐานข้อมูล และบางการตั้งค่านำไปสู่การรันโค้ดจากระยะไกล GeoServer เป็นแพลตฟอร์มโอเพนซอร์สที่ใช้กันแพร่หลายในหน่วยงานรัฐและโครงสร้างพื้นฐาน

ผู้ผลิตกระเป๋าเงินคริปโตแบบฮาร์ดแวร์ Trezor แจ้งเหตุข้อมูลลูกค้าเกือบ 14,000 รายรั่ว หลังผู้ให้บริการขนส่งและโลจิสติกส์ ShipMonk ถูกเจาะ ข้อมูลที่หลุดคือชื่อเต็ม ที่อยู่จัดส่ง อีเมล และเบอร์โทรศัพท์ของผู้ที่ได้รับพัสดุระหว่าง 10 พฤษภาคมถึง 8 สิงหาคม 2569 Trezor ยืนยันว่าระบบของตนไม่ถูกเจาะและอุปกรณ์ยังปลอดภัย ส่วน ShipMonk แจ้งลูกค้าว่าผู้โจมตีใช้ช่องโหว่ในแพลตฟอร์มวิเคราะห์ข้อมูล Metabase เป็นทางเข้า และยังได้รับอีเมลข่มขู่เรียกค่าไถ่จากกลุ่ม ShinyHunters

บริษัท Check Point เปิดรายละเอียดปฏิบัติการของกลุ่ม Lazarus จากเกาหลีเหนือที่ใช้ช่องโหว่ zero-day CVE-2026-68820 ในไดรเวอร์ AFD.sys ของ Windows ยกระดับสิทธิ์เป็น SYSTEM ปฏิบัติการนี้เดินมาตั้งแต่ต้นปี 2569 และเป็นภาคต่อของ Operation Dream Job ที่ใช้ข้อเสนองานปลอมล่อเหยื่อ เป้าหมายคือองค์กรกลาโหม อากาศยาน และการบินในฝรั่งเศส เยอรมนี บราซิล และอินเดีย ห่วงโซ่การติดเชื้อใช้ DLL sideloading ปล่อยโหลดเดอร์ Mistpen และแบ็กดอร์ ForestTiger ส่วนอีกสายใช้โปรแกรมอ่าน PDF ปลอมปล่อยแบ็กดอร์ตัวใหม่ชื่อ Troy

Microsoft ออกแพตช์ประจำเดือนสิงหาคม 2569 อุดช่องโหว่ 400 รายการ ในจำนวนนี้เป็นระดับวิกฤต 42 รายการ และมี zero-day 3 รายการ โดยตัวที่ถูกใช้โจมตีจริงคือ CVE-2026-68820 ในไดรเวอร์ AFD.sys ซึ่ง Check Point ระบุว่ากลุ่ม Lazarus ใช้ยกระดับสิทธิ์เป็น SYSTEM เพื่อปล่อยรูทคิต FudModule รุ่นใหม่ อีกสองรายการถูกเปิดเผยสู่สาธารณะก่อนมีแพตช์ คือ CVE-2026-62832 ที่ตรงกับช่องโหว่ชื่อ LegacyHive และ CVE-2026-72971 ในไดรเวอร์ unionfs.sys

นักวิจัยที่ใช้ชื่อ Chaotic Eclipse ปล่อยโค้ดสาธิตการโจมตีของช่องโหว่ zero-day ตัวใหม่ชื่อ ShieldBreak ซึ่งอยู่ใน Microsoft Defender บน Windows โดยอ้างว่าเป็นการข้ามแพตช์ของ CVE-2026-50656 หรือ RoguePlanet ได้อย่างสมบูรณ์ ช่องโหว่เดิมเป็น race condition ที่เปิดทางให้เรียก shell ด้วยสิทธิ์ระดับ SYSTEM และ Microsoft เพิ่งออกแพตช์หลังถูกเปิดเผยเกือบหนึ่งเดือน นักวิจัยระบุว่าทดสอบบน Windows 11 25H2 และ Windows Server 2025 ได้ผลสำเร็จ 100% ขณะที่ Microsoft ยังไม่ให้ความเห็นต่อข้ออ้างนี้

Metabase ออกประกาศเตือนว่าช่องโหว่ระดับรุนแรงสูงสุด CVSS 10.0 ในซอฟต์แวร์ business intelligence ของตนถูกใช้โจมตีจริงในฐานะซีโรเดย์ ช่องโหว่นี้ยังไม่มีหมายเลข CVE และเปิดทางให้ผู้โจมตีระยะไกลที่ไม่ต้องยืนยันตัวตนแทรกคำสั่ง SQL ลงฐานข้อมูลของแอปพลิเคชันจนได้สิทธิ์ผู้ดูแลระบบ ผู้โจมตีสามารถแก้ไขค่ากำหนด ขโมย credential ของฐานข้อมูลที่เชื่อมต่ออยู่ และดึงข้อมูลออกได้ บริษัทผู้ผลิตคอมพิวเตอร์ Framework เป็นหนึ่งในผู้ได้รับผลกระทบ

หน่วยงาน CISA เพิ่มช่องโหว่ CVE-2026-20316 (CVSS 5.3) ใน Cisco Secure Firewall Management Center เข้าบัญชี KEV หลังพบการโจมตีแบบ zero-day โดยต้นเหตุคือรหัสผ่านผู้ใช้แบบฝังตายของบัญชีสิทธิ์ต่ำ ทำให้ผู้โจมตีระยะไกลที่ไม่ต้องยืนยันตัวตนล็อกอินเข้าอ่านข้อมูลอ่อนไหวได้ Cisco ยกระดับความรุนแรงเป็น High เพราะนำไปร้อยต่อกับช่องโหว่อื่นเพื่อยกสิทธิ์ได้ พร้อมออก hot fix ให้ทุกสาขาเวอร์ชันตั้งแต่ 7.0 ถึง 10.0