Zero-Day

CISA เพิ่มช่องโหว่ระดับร้ายแรงสูงสุด 2 รายการในส่วนขยาย iCagenda และ Balbooa Forms ของ Joomla เข้าแคตตาล็อก KEV หลังมีรายงานการโจมตีแบบ Zero-day ทั้งคู่ได้ CVSS 10.0 CVE-2026-48939 ใน iCagenda เปิดให้อัปโหลดไฟล์ตามอำเภอใจจนรันโค้ด PHP ถูกโจมตีตั้งแต่ 15 มิ.ย. 2569 ผ่านฟอร์ม Submit an Event ส่วน CVE-2026-56291 ใน Balbooa Forms เปิดให้อัปโหลดไฟล์โดยไม่ต้องล็อกอิน ไม่มี CSRF token และไม่เช็กชนิดไฟล์ นำไปสู่ RCE แบบไม่ต้องยืนยันตัวตน หน่วยงานรัฐกลางสหรัฐฯ ต้องแพตช์ภายใน 13 ก.ค. 2569

หน่วยงาน CISA ยืนยันว่ากลุ่มแรนซัมแวร์เริ่มใช้ช่องโหว่ BlueHammer (CVE-2026-33825) ใน Windows Defender โจมตีจริงแล้ว หลังช่องโหว่นี้ถูกนักวิจัย Nightmare Eclipse ปล่อย PoC สู่สาธารณะตั้งแต่เมษายนเพื่อประท้วงการจัดการของ Microsoft ช่องโหว่เปิดทางให้ผู้โจมตีที่มีสิทธิ์ต่ำเข้าถึงฐานข้อมูล SAM แล้วยกระดับเป็น SYSTEM ได้ Microsoft แพตช์แล้วตั้งแต่เมษายน แต่เครื่องที่ยังไม่อัปเดตยังเสี่ยงถูกแรนซัมแวร์โจมตี

Microsoft ยืนยันอย่างเป็นทางการว่าช่องโหว่ RoguePlanet ใน Microsoft Defender ได้รับหมายเลข CVE-2026-50656 คะแนน CVSS 7.8 เป็นช่องโหว่ยกระดับสิทธิ์ใน Malware Protection Engine และกำลังพัฒนาแพตช์แก้ไข นักวิจัย Chaotic Eclipse ผู้ค้นพบเปิดเผยเพิ่มเติมว่า exploit ทำงานได้แม้ปิด real-time protection นับเป็นช่องโหว่ Defender ตัวที่ 4 ต่อจาก BlueHammer, UnDefend และ RedSun ที่ได้รับแพตช์แล้วทั้งหมด

Cisco ออกแพตช์แก้ไขช่องโหว่ CVE-2026-20262 ใน Catalyst SD-WAN Manager ที่ถูกใช้โจมตีจริงแล้ว ช่องโหว่เกิดจากการตรวจสอบ Input ไม่เพียงพอระหว่างอัปโหลดไฟล์ ทำให้ผู้โจมตีที่มีสิทธิ์ระดับต่ำสามารถสร้างหรือเขียนทับไฟล์ในระบบแล้วยกระดับเป็น Root ได้ กระทบทุกรูปแบบการติดตั้งทั้ง On-Prem และคลาวด์ นับเป็นช่องโหว่ SD-WAN ตัวที่ 6 ที่ถูก Exploit ในปีนี้

กลุ่มแฮ็กเกอร์ ShinyHunters ใช้ช่องโหว่ zero-day CVE-2026-35273 (CVSS 9.8) ใน ระบบ Oracle PeopleSoft เจาะระบบมหาวิทยาลัยหลายแห่ง ด้าน Mandiant แจ้งเตือนกว่า 100 องค์กรที่ได้รับผลกระทบ โดย 68% เป็นสถาบันอุดมศึกษา University of Nottingham ยืนยันข้อมูลรั่วไหลรวมอีเมล 455,000 รายการพร้อมข้อมูลส่วนบุคคลของนักศึกษาและศิษย์เก่า

Microsoft ออกแพตช์มิถุนายน 2569 แก้ช่องโหว่ 206 รายการ มากที่สุดเป็นประวัติการณ์ในรอบเดียว รวม 39 ตัวระดับ Critical และ 3 zero-day ที่ถูกเปิดเผยสู่สาธารณะแล้ว ตัวร้ายแรงสุด CVE-2026-45657 CVSS 9.8 use-after-free ใน Windows Kernel เปิด RCE ผ่าน network packet โดยไม่ต้องล็อกอิน พร้อมบั๊ก HTTP.sys และ DHCP Client ระดับ 9.8 อีกสองตัว Microsoft ระบุจำนวนแพตช์พุ่งเพราะ AI ช่วยค้นช่องโหว่

นักวิจัยนิรนาม Chaotic Eclipse ปล่อย PoC exploit ชื่อ RoguePlanet โจมตี zero-day ใน Microsoft Defender ผ่านเทคนิค race condition ได้ shell สิทธิ์ SYSTEM บน Windows 10/11 ที่ติดตั้งแพตช์มิถุนายน 2569 ครบแล้ว นับเป็นช่องโหว่ Defender ตัวที่ 4 ต่อจาก BlueHammer, UnDefend และ RedSun ซึ่งทั้งหมดถูกโจมตีจริงแล้ว การเปิดเผยแบบไม่ประสานงานนี้เกิดจากความขัดแย้งระหว่างนักวิจัยกับ Microsoft นักวิจัยอิสระยืนยันว่า exploit ใช้งานได้จริง องค์กรควรเฝ้าระวังการยกระดับสิทธิ์ผิดปกติ

บริษัท CISA สั่งหน่วยงานรัฐบาลกลางสหรัฐฯ ปะ Check Point Remote Access VPN ภายใน 11 มิถุนายน 2569 หลัง CVE-2026-50751 ถูก Qilin ransomware ใช้เจาะแบบ zero-day บริษัท Check Point ยืนยันโจมตีเริ่ม 7 พฤษภาคม กระทบ instance ที่เปิด IKEv1 และยอมรับ legacy Remote Access client ไม่ต้องใช้ machine certificate ผู้โจมตี bypass authentication และสร้าง VPN connection ได้โดยไม่ต้องล็อกอิน

บริษัท Google ปล่อยอัปเดตฉุกเฉินแก้ Chrome zero-day CVE-2026-11645 เป็น out-of-bounds read/write ใน V8 JavaScript engine ที่ผู้โจมตีระยะไกลสามารถใช้ HTML ปลอมรันโค้ดใน sandbox ของเบราว์เซอร์และ bypass ASLR ได้ ถือเป็น zero-day ตัวที่ 5 ของ Chrome ที่ถูกโจมตีจริงในปีนี้ ปล่อยเวอร์ชัน 149.0.7827.102/103 บน Windows Mac Linux ผู้ใช้ควรอัปเดตทันที

บริษัท depthfirst ใช้ AI agent อัตโนมัติสแกนซอร์สโค้ด FFmpeg ราว 1.5 ล้านบรรทัด พบ 21 zero-day พร้อม PoC ด้วยต้นทุนเพียงราว 1,000 ดอลลาร์ บางช่องโหว่ฝังตัวมานาน 15-23 ปี ส่วนใหญ่เป็น heap/stack overflow ในสัปดาห์เดียวกัน Google ปล่อย Chrome 149 แพตช์ 429 ช่องโหว่ มากที่สุดในประวัติศาสตร์ ตัวร้ายแรงสุดคือ CVE-2026-10881 (CVSS 9.6) สะท้อนว่า AI กำลังเร่งการค้นพบช่องโหว่เร็วกว่าที่มนุษย์จะตามแก้ไหว