Zero-Day

หน่วยงาน CISA เพิ่มช่องโหว่วิกฤตใน Fortinet FortiMail (CVE-2026-104286, CVSS 9.8) เข้าบัญชี KEV หลังพบการโจมตีจริง ช่องโหว่เป็นแบบ path traversal ร่วมกับ NULL byte ที่เปิดให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนเขียนไฟล์ใด ๆ บนระบบผ่านคำขอ HTTP/HTTPS ที่ปรุงแต่งไว้ กระทบ FortiMail หลายเวอร์ชันตั้งแต่ 7.2 ถึง 8.0 บริษัท Fortinet ยอมรับว่าถูกโจมตีในวงจริงและออกวิธีแก้ชั่วคราว ขณะ CISA สั่งหน่วยงานรัฐบาลกลางแพตช์ภายใน 4 ตุลาคม 2026

Bitget ยืนยันว่าการโจรกรรมคริปโท 387.5 ล้านดอลลาร์เกิดจากผู้โจมตีใช้ช่องโหว่ zero-day ในผลิตภัณฑ์ความปลอดภัยของบุคคลที่สามเพื่อขโมยข้อมูลรับรองระดับสูงภายใน SlowMist พบร่องรอยการเจาะระบบย้อนไปถึง 31 สิงหาคม 2569 ราวสามสัปดาห์ก่อนเงินถูกโอนออก Mandiant พบว่าผู้โจมตีวาง web shell บนอุปกรณ์ความปลอดภัยแล้วเคลื่อนที่เข้าเซิร์ฟเวอร์จัดการกระเป๋าเงิน เครื่องมือที่ใช้ขโมยถูกเขียนมาเฉพาะสำหรับตรรกะการถอนเงินของ Bitget เหตุนี้กระทบ 11 บล็อกเชนและถูกโยงกับกลุ่มเกาหลีเหนือ

สถาบัน DIVD ของเนเธอร์แลนด์ถูกเจาะเมื่อ 21 กันยายน 2569 ด้วยการโจมตีที่องค์กรเชื่อว่าขับเคลื่อนด้วย agentic AI ผู้โจมตีใช้ช่องโหว่ zero-day 2 ตัวในระบบ ticketing โอเพนซอร์ส Zammad ซึ่งต่างได้คะแนน CVSS 9.4 ช่องโหว่หนึ่งเปิดทาง RCE โดยไม่ต้องยืนยันตัวตน อีกช่องโหว่ยกสิทธิ์เป็น root ผู้โจมตีขยายไปบริการอื่นและนำข้อมูลออกได้ แต่การแบ่งส่วนเครือข่ายหยุดไว้ได้ Zammad เวอร์ชัน 6.3.0–6.5.4 ได้รับผลกระทบ และ DIVD แนะนำให้อัปเกรดเป็นเวอร์ชัน 7 หรือปิดระบบ

บริษัท Apple ออกอัปเดตแก้ช่องโหว่ CVE-2026-86950 ใน CoreGraphics ที่ระบุว่าอาจถูกใช้ในการโจมตีแบบเจาะจงเป้าหมาย เป็น out-of-bounds write ที่นำไปสู่การรันโค้ดได้เมื่อประมวลผลไฟล์ที่สร้างขึ้นมาเป็นพิเศษ บริษัท Apple แก้ด้วยการปรับปรุงการตรวจสอบขอบเขต และให้เครดิต Meta Product Security ที่ค้นพบ กระทบ iOS/iPadOS ก่อน iOS 27 และ macOS Sequoia/Tahoe แก้แล้วใน iOS 26.7.1, iPadOS 26.7.1, macOS Tahoe 26.7.1 และ macOS Sequoia 15.8.1 ผู้ใช้ควรอัปเดตทันที

CISA เพิ่ม 2 ช่องโหว่วิกฤตใน Citrix NetScaler ADC และ Gateway เข้า KEV หลังพบถูกใช้โจมตีทั่วโลก คือ CVE-2026-88771 (CVSS 9.5) improper input validation ให้รันคำสั่งได้โดยไม่ต้องยืนยันตัวตน และ CVE-2026-88772 (CVSS 9.5) buffer error ที่นำไปสู่ RCE หรือ DoS โดย 88772 ต้องเปิด DTLS ซึ่งเปิดเป็นค่าเริ่มต้นบน VPN vserver บริษัท watchTowr สาธิตว่า 88771 รันโค้ดเป็น root ผ่าน endpoint pre-auth ได้ ขณะ Unit 42 พบเครื่องเปิดสู่สาธารณะกว่า 50,277 เครื่อง

บริษัท Kiteworks (เดิมชื่อ Accellion) เตือนลูกค้าให้ปิดระบบเป็นการป้องกันไว้ก่อนราว 9 ชั่วโมงในช่วงสุดสัปดาห์ หลังได้รับข่าวกรองภัยคุกคามจากหน่วยงานข่าวกรองรัฐบาลกลางว่าอาจมีผู้โจมตีเล็งเป้าระบบบางส่วน บริษัทระบุยังไม่พบหลักฐานว่าระบบลูกค้าถูกเจาะ และย้ำว่าเป็นมาตรการเชิงป้องกัน ไม่ใช่การตอบสนองต่อการแฮ็กที่ยืนยันแล้ว พร้อมแนะนำให้อัปเดตซอฟต์แวร์เป็นเวอร์ชัน 9.5.1

กลุ่มขู่กรรโชกไซเบอร์ ShinyHunters อ้างว่าเจาะเข้า FBI และขโมยข้อมูลของเจ้าหน้าที่ทั้งอดีตและปัจจุบัน รวมถึงผู้ที่ยื่นใบสมัครงาน โดยกลุ่มระบุว่าเจาะผ่านช่องโหว่ zero-day ของ Oracle PeopleSoft และเปลี่ยนหน้าเว็บ FBIjobs.gov เป็นข้อความว่าถูกยึด FBI ยืนยันว่ากำลังสอบสวนแต่ยังไม่ทราบจุดที่ถูกเจาะว่าเป็นระบบตนเองหรือผู้ให้บริการภายนอก กลุ่มอ้างว่าได้ข้อมูลราว 2 TB จากหลายบริการภายในและยืนยันว่าไม่ได้มีแรงจูงใจทางการเงิน

กลุ่มภัยคุกคามจีน UTA0565 ถูกพบใช้ชุดโจมตี zero-day ที่ร้อยช่องโหว่ Chrome สองตัวและ Windows หนึ่งตัวเข้าด้วยกัน ผ่านเว็บไซต์ปลอมที่เลียนแบบสำนักข่าวและองค์กร NGO บริษัท Volexity ตรวจพบการโจมตีเมื่อ 3–4 กันยายน มุ่งเป้าหน่วยงานรัฐในเอเชียด้วยอีเมลฟิชชิงเรื่องนักกิจกรรมฮ่องกง เพย์โหลดสุดท้ายคือมัลแวร์ตระกูล CLEANGULP ที่รองรับการรันคำสั่ง อัปโหลด/ดาวน์โหลดไฟล์ และรัน BOF การใช้ชุดเดียวกันข้ามหลายกลุ่มชี้ถึงความร่วมมือในแวดวงจารกรรมไซเบอร์จีน

บริษัท Check Point เปิดเผยว่าช่องโหว่ zero-day บน Security Management Server รหัส CVE-2026-93616 ถูกใช้โจมตีแบบเจาะจงตั้งแต่ 23 กรกฎาคม เป็นช่องโหว่ path traversal ที่ให้ผู้โจมตีอัปโหลดและรันสคริปต์ได้โดยไม่ต้องล็อกอิน ระดับ CVSS 9.8 Check Point ออกแพตช์เมื่อ 22 กันยายน สำหรับเซิร์ฟเวอร์ที่ควบคุมนโยบายไฟร์วอลล์ของเกตเวย์ทั้งหมด นอกจากนี้ยังพบความพยายามโจมตีช่องโหว่ VPN CVE-2026-85102 ที่เล็ง Spark ตั้งแต่ 12 กันยายน ผู้ดูแลควรรีบตรวจเวอร์ชันและติดตั้งแพตช์ตาม sk1000171 และ sk1000117

นักวิจัย Patrick Wardle เปิดโปงช่องโหว่ 0-day ในเอเจนต์ AI ชื่อ Muse ของ Meta บน macOS ที่เปิดทางให้มัลแวร์ซึ่งรันในสิทธิ์ผู้ใช้อยู่แล้วเข้ายึดผู้ช่วย ดักคำสั่งที่ผู้ใช้พูด inject คำสั่งอันตราย และขโมยข้อมูลยืนยันตัวตน ต้นเหตุคือค่าคอนฟิกที่ไม่มีเอกสาร endo_voyager_dictation_endpoint ที่โปรเซสสิทธิ์ต่ำแก้ไขได้ เพื่อเปลี่ยนเส้นทางทราฟฟิกไปเซิร์ฟเวอร์ผู้โจมตี ช่องโหว่นี้ทำหน้าที่ขยายสิทธิ์การเข้าถึงผ่านอำนาจที่ผู้ใช้มอบให้เอเจนต์