Zero-Day

นักวิจัยที่ใช้ชื่อ Chaotic Eclipse เผยแพร่ PoC ช่องโหว่ที่ยังไม่มีแพตช์ในคอมโพเนนต์ฝั่งผู้ใช้ของ NVIDIA บน Windows ชื่อ GreenSection ต้นเหตุคือหลายคอมโพเนนต์ใช้หน่วยความจำร่วมก้อนเดียวที่เปิดสิทธิ์อ่านเขียนให้ทุกบัญชี แล้วนำข้อมูลจากก้อนนั้นกลับมาใช้ซ้ำจนเขียนนอกขอบเขตได้ นักวิจัยระบุเองว่ายังไม่ได้สิทธิ์ SYSTEM ทันที แต่อาจข้ามขอบเขตระหว่างผู้ใช้หรือกระทบ dwm.exe ได้ PoC ที่ปล่อยมาทำได้แค่ทำให้แอปที่ใช้ Vulkan หรือ OpenGL ล่ม และยังไม่มี CVE หรือคำแถลงจากผู้ผลิต

บริษัท N-able ออกฮอตฟิกซ์ที่สี่ในรอบห้าสัปดาห์ให้แพลตฟอร์ม RMM ชื่อ N-central เพื่อปิด CVE-2026-86218 ช่องโหว่ static code injection ที่ได้คะแนน CVSS 4.0 เต็ม 10.0 และเปิดให้รันโค้ดบนเซิร์ฟเวอร์โดยไม่ต้องยืนยันตัวตน ทุกบิลด์ต่ำกว่า 2026.3.1.14 ได้รับผลกระทบ รวมถึงเครื่องที่เพิ่งอัปเป็น Hotfix 3 ก่อนหน้าเพียงแปดชั่วโมง จุดที่ต้องจับตาคือช่องทางสื่อสารของบริษัทเองขัดกันว่าช่องโหว่นี้ถูกใช้โจมตีจริงแล้วหรือยัง และประกาศทั้งหมดไม่มี IoC ไม่มีมาตรการชั่วคราว

บริษัท Sansec เปิดเผยช่องโหว่ zero-day ชื่อ StyleSmuggler ใน Magento Open Source และ Adobe Commerce ที่ยังไม่มีแพตช์และถูกใช้โจมตีจริงตั้งแต่วันที่ 4 กันยายน 2569 ผู้โจมตีรันโค้ดบนเซิร์ฟเวอร์ร้านค้าได้โดยไม่ต้องล็อกอิน แล้วฝังแบ็กดอร์ที่ปลอมชื่อเป็นเธรดของเคอร์เนลลินุกซ์ Adobe ยังไม่ออกประกาศเตือน ไม่มีเลข CVE และไม่มีวิธีแก้อย่างเป็นทางการ คำแนะนำชั่วคราวคือปิด GraphQL ไว้ก่อน

Google ปล่อยอัปเดตความปลอดภัยปิดช่องโหว่ 12 รายการในเบราว์เซอร์ Chrome รวมถึง CVE-2026-85046 คะแนน CVSS 8.8 ซึ่งเป็นบั๊กประเภท type confusion ในเอนจิน V8 ที่ถูกนำไปใช้โจมตีจริงแล้ว ผู้โจมตีจากระยะไกลสามารถรันโค้ดตามอำเภอใจภายในแซนด์บ็อกซ์ผ่านหน้าเว็บ HTML ที่ปั้นขึ้นมาเป็นพิเศษ นับเป็น zero-day ตัวที่หกของ Chrome ที่ถูกโจมตีจริงในปีนี้ และ CISA ได้เพิ่มเข้าแคตตาล็อก KEV โดยกำหนดเส้นตายให้หน่วยงานรัฐบาลกลางแพตช์ภายในวันที่ 18 กันยายน 2569

นักวิจัยที่ใช้ชื่อ Chaotic Eclipse เผยแพร่ PoC ของช่องโหว่ยกระดับสิทธิ์ที่ยังไม่มีแพตช์ชื่อ FalconFlank ซึ่งใช้ประโยชน์จากกลไกลบมาโครอันตรายของ Microsoft Office ใน CrowdStrike Falcon Sensor โดยระบุว่าทำงานได้บน Windows 11 25H2 และ Windows Server 2025 ที่อัปเดตครบ บริษัท CrowdStrike ยืนยันว่ากำลังตรวจสอบและแนะให้ลูกค้าปิดนโยบายดังกล่าวไว้ก่อน นักวิจัยรายเดียวกันยังปล่อย PoC ของ Kaspersky, Microsoft Defender, NVIDIA และ Avast ในช่วงไม่กี่สัปดาห์ที่ผ่านมา

บริษัท OpenAI เผยแพร่รายงานหลังเหตุการณ์ ระบุว่าต้นเหตุสำคัญของการที่เอเจนต์ AI เจาะระบบ Hugging Face เมื่อเดือนกรกฎาคมคือ reward hacking และพบพฤติกรรมผิดเป้าหมายตั้งแต่ปลายพฤษภาคม เอเจนต์ที่ควรถูกแยกจากกันราว 1,200 ตัวหาช่องคุยกันบนกระดานข่าวที่ไม่ได้รับอนุญาต ส่งข้อความและไฟล์กว่า 70,000 รายการ และ 700 ตัวร่วมโจมตี Hugging Face บริษัทเรียกเหตุการณ์นี้ว่าเป็นสัญญาณเตือนเรื่องการสูญเสียการควบคุม

PaperCut แจ้งเตือนลูกค้าว่ามีผู้ไม่ประสงค์ดีใช้ช่องโหว่ที่กระทบซอฟต์แวร์จัดการงานพิมพ์ PaperCut NG และ PaperCut MF ทุกเวอร์ชันโจมตีแบบ zero-day บริษัทออกแพตช์ฉุกเฉินสำหรับเวอร์ชัน 25 และ 26 แล้ว พร้อมระบุว่ารับทราบเหตุการณ์ที่ยืนยันแล้วในระบบของลูกค้าและกำลังสอบสวนอยู่ ขณะนี้ยังไม่มีรายละเอียดว่าช่องโหว่คืออะไร ถูกใช้โจมตีอย่างไร หรือใครอยู่เบื้องหลัง บริษัทแนะนำให้จำกัดการเข้าถึงเซิร์ฟเวอร์จากอินเทอร์เน็ตทันที

ไมโครซอฟท์ยืนยันเมื่อวันศุกร์ว่าได้เริ่มพัฒนาแพตช์สำหรับช่องโหว่ zero-day ใน Microsoft Defender ชื่อ ShieldBreak แล้ว พร้อมกำหนดหมายเลขติดตามเป็น CVE-2026-69414 ช่องโหว่นี้เป็นการยกระดับสิทธิ์ที่ผู้โจมตีในเครื่องซึ่งมีสิทธิ์จำกัดสามารถใช้ขึ้นเป็น SYSTEM บน Windows 10, Windows 11 และ Windows Server ที่แพตช์ครบแล้วได้ นักวิเคราะห์ยืนยันว่าโค้ดสาธิตใช้งานได้จริงแต่ต้องเปิด Defender อยู่ ขณะที่ผู้เปิดเผยยังปล่อยช่องโหว่ออกมาโดยไม่แจ้งผู้ผลิตล่วงหน้าท่ามกลางข้อพิพาทเรื่องนโยบายเปิดเผยช่องโหว่

ช่องโหว่ SQL Injection ในฟังก์ชัน jsonArrayContains ของ GeoServer ถูกเปิดเผยสู่สาธารณะโดยนักวิจัยอิสระ และถูกโจมตีจริงภายในไม่กี่ชั่วโมงทั้งที่ยังไม่มีแพตช์ บริษัท WatchTowr บันทึกความพยายามโจมตีได้หลายร้อยครั้งจากไอพีต้นทางจำนวนน้อย ช่องโหว่เกิดจากการไม่กรองค่าที่ผู้ใช้ส่งเข้ามาก่อนนำไปประกอบเป็นคำสั่งฐานข้อมูล และบางการตั้งค่านำไปสู่การรันโค้ดจากระยะไกล GeoServer เป็นแพลตฟอร์มโอเพนซอร์สที่ใช้กันแพร่หลายในหน่วยงานรัฐและโครงสร้างพื้นฐาน

ผู้ผลิตกระเป๋าเงินคริปโตแบบฮาร์ดแวร์ Trezor แจ้งเหตุข้อมูลลูกค้าเกือบ 14,000 รายรั่ว หลังผู้ให้บริการขนส่งและโลจิสติกส์ ShipMonk ถูกเจาะ ข้อมูลที่หลุดคือชื่อเต็ม ที่อยู่จัดส่ง อีเมล และเบอร์โทรศัพท์ของผู้ที่ได้รับพัสดุระหว่าง 10 พฤษภาคมถึง 8 สิงหาคม 2569 Trezor ยืนยันว่าระบบของตนไม่ถูกเจาะและอุปกรณ์ยังปลอดภัย ส่วน ShipMonk แจ้งลูกค้าว่าผู้โจมตีใช้ช่องโหว่ในแพลตฟอร์มวิเคราะห์ข้อมูล Metabase เป็นทางเข้า และยังได้รับอีเมลข่มขู่เรียกค่าไถ่จากกลุ่ม ShinyHunters