อัปเดตล่าสุด วันศุกร์ที่ 23 ต.ค. 2569
CVE-2026-114625 | CVSS 9.9 | SQL Injection → Privilege Escalation
🗓22 ต.ค. 2569Vulnerability & Patchยืนยันแล้ว
📅22 ต.ค. 2569 Arista ออก Security Advisory 0199 พร้อมแพตช์และ IOC | 22 ต.ค. 2569 BleepingComputer รายงานการโจมตีจริง
ช่องโหว่ต้องอาศัยบัญชีที่ล็อกอินได้ก่อน และยังไม่มีข้อมูลสาธารณะว่าผู้โจมตีคือใครหรือมีเหยื่อกี่ราย
Arista ออก Security Advisory 0199 แก้ช่องโหว่ SQL Injection (CWE-89) ใน VeloCloud Orchestrator (VCO) แบบ On-Prem ซึ่ง Arista ระบุว่าถูกโจมตีจริงแล้ว ผู้ใช้ที่ล็อกอินได้แม้มีเพียงสิทธิ์ Enterprise Read Only สามารถยกระดับเป็นสิทธิ์ operator และสวมรอยเป็น local superuser operator ได้
เวอร์ชันที่ได้รับผลกระทบ: 5.2.x ก่อน 5.2.3.18, 6.1.x ก่อน 6.1.3.10, 6.4.x ก่อน 6.4.2.12 — ให้อัปเดตเป็น 5.2.3.18 / 6.1.3.10 / 6.4.2.12 ขึ้นไป
ระหว่างรอแพตช์: จำกัดการเข้าถึง web interface ของ VCO เฉพาะเครือข่ายที่เชื่อถือได้ ตรวจ access log หา URL ผิดปกติ/encoded characters และทราฟฟิกจาก IP 74.82.197.86, 38.54.50.151 ตามที่ Arista เผยแพร่
เป็น zero-day ตัวที่ 4 ของ Arista ที่ถูกโจมตีจริงในปี 2026 ตามรายงานของ BleepingComputer
CVE-2026-109618 / CVE-2026-109619 | แจ้งหน่วยงานรัฐ + CII + Sectoral CERT | อว. สั่งตรวจระบบ
🗓22 ต.ค. 2569ประเทศไทยประกาศ/แจ้งเตือนจากผู้ผลิต
📅22 ต.ค. 2569 ThaiCERT ออกแจ้งเตือนระดับชาติ | 22 ต.ค. 2569 กระทรวง อว. สั่งหน่วยงานในสังกัดตรวจระบบ PHP
ยังไม่มีรายงานสาธารณะว่ามีหน่วยงานไทยถูกเจาะผ่านช่องโหว่นี้ และไม่พบเอกสารแจ้งเตือนฉบับเต็มบนหน้า cyber-alert ของ ThaiCERT ณ เวลาที่ตรวจ
เช้าวันที่ 22 ต.ค. 2569 ThaiCERT ภายใต้ สกมช. ออกการแจ้งเตือนภัยคุกคามระดับชาติเรื่องช่องโหว่ PHP2Shell ไปยังหน่วยงานรัฐ หน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (CII) และเครือข่าย Sectoral CERT ให้ตรวจสอบและแก้ไขระบบโดยเร่งด่วน
มาตรการ 4 ข้อ: (1) แจ้งเตือนระดับชาติ (2) ประเมินความเสี่ยงระบบสำคัญ เน้นเว็บไซต์/บริการที่เปิดสู่อินเทอร์เน็ต (3) เฝ้าระวังและตรวจจับการโจมตี (4) ติดตามและรายงานผลการติดตั้งแพตช์/ความผิดปกติ
วันเดียวกัน กระทรวง อว. สั่งมหาวิทยาลัย โรงเรียนแพทย์ และหน่วยงานในสังกัดเร่งตรวจระบบที่ใช้ PHP โดยให้ความสำคัญกับระบบที่มีข้อมูลผู้ป่วยและนักศึกษา
แจ้งเหตุ/ขอคำแนะนำ ThaiCERT โทร 02-114-3531 (24 ชม.) หรือ thaicert@ncsa.or.th — รายละเอียดทางเทคนิคดูข่าว 2026-10-21-php-critical-patch และฉบับอัปเดต
11.7M records | อีเมล + IP ล่าสุด + ข้อมูลล็อกอิน | 196 บัญชีถูกเปลี่ยนรหัสผ่าน
🗓22 ต.ค. 2569Breach & Incidentยืนยันแล้ว
📅19 ต.ค. 2569 ตรวจพบและยืนยันการเข้าถึงโดยไม่ได้รับอนุญาต | 21 ต.ค. 2569 แจ้งตำรวจและ PPC ญี่ปุ่น | 22 ต.ค. 2569 ประกาศต่อสาธารณะ
Capcom ยังไม่เปิดเผยวิธีการเจาะระบบ และยังไม่มีกลุ่มใดอ้างความรับผิดชอบต่อสาธารณะ
Capcom ประกาศ 22 ต.ค. ว่ามีบุคคลที่สามเข้าถึงข้อมูลสมาชิก CAPCOM ID โดยไม่ได้รับอนุญาต กระทบมากกว่า 11.7 ล้านบัญชี ข้อมูลที่หลุดคืออีเมล วันที่สร้างบัญชี เวลา/จำนวนครั้งล็อกอิน และ IP ของการล็อกอินครั้งล่าสุด บางบัญชี (43 บัญชี) มีวันเกิด เพศ ชื่อเล่น ประเทศ
ผู้โจมตีพยายามเปลี่ยนรหัสผ่านราว 196 บัญชี ซึ่ง Capcom รีเซ็ตแล้ว บริษัทระบุว่ารหัสผ่านของสมาชิกรายอื่นและข้อมูลบัตรเครดิตไม่รั่วไหล
ตรวจพบ 19 ต.ค. และแจ้งตำรวจ/คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลของญี่ปุ่นเมื่อ 21 ต.ค. — ทีม SOC ควรระวังฟิชชิงที่อ้าง Capcom ไปยังอีเมลพนักงาน
PyPI + Docker Hub + GHCR | ~2 ชม. | ขโมย cloud/AI API keys | Safe: 1.106.2
🗓21 ต.ค. 2569Threat & Malwareยืนยันแล้ว
📅21 ต.ค. 2569 เผยแพร่เวอร์ชันอันตราย 1.107.0 บน PyPI/Docker | 21 ต.ค. 2569 PyPI ถอดแพ็กเกจ 13:23 UTC และถอด image ตามมา | 22 ต.ค. 2569 BleepingComputer รายงาน
ยังไม่มีตัวเลขยืนยันว่ามีกี่องค์กรที่ติดตั้งเวอร์ชันอันตรายในช่วงเวลาดังกล่าว
21 ต.ค. ผู้โจมตีใช้ credential ของนักพัฒนา (คาดว่าเป็น GitHub CLI OAuth token ที่ถูกขโมย) เข้าไปแก้ release pipeline ของ LiteLLM แล้วเผยแพร่ litellm==1.107.0 ที่มี payload ทั้ง 7 wheels บน PyPI และ image v1.107.0 / latest / main-latest / main-stable บน Docker Hub และ GHCR
Payload ประกอบด้วย cook.pth, cook.py (ขโมย credential) และ sitecustomize.py (loader ที่ตรวจ GitHub dead drop ทุกชั่วโมงเพื่อดาวน์โหลดโค้ดมารัน) เป้าหมายคือ AWS/Azure/GCP, Kubernetes, Docker, SSH/GPG, GitHub token, ข้อมูลเบราว์เซอร์ และฐานข้อมูล proxy ที่เก็บ API key ของผู้ให้บริการ AI ส่งออกแบบเข้ารหัสไปยัง litellm[.]dev
PyPI wheels อยู่ระหว่าง 11:39–13:23 UTC และ Docker image ราว 11:46–14:20 UTC
แนวทาง: ตรวจหา 1.107.0 ใน venv/container/CI, หยุด loader, ลบไฟล์ payload โดยไม่รัน pip, rebuild environment, rotate secrets ทั้งหมด, บล็อกโดเมน litellm[.]dev และใช้ 1.106.2
CVE-2026-110264 | CVSS 10.0 | Unauthenticated RCE | กระทบตั้งแต่ 7.0
🗓21 ต.ค. 2569Vulnerability & Patchประกาศ/แจ้งเตือนจากผู้ผลิต
📅21 ต.ค. 2569 GitLab ออก patch release 19.5.1 และเวอร์ชันย้อนหลัง | 22 ต.ค. 2569 BleepingComputer รายงาน
ณ วันที่รายงานยังไม่มีหลักฐานสาธารณะว่าถูกโจมตีจริง และยังไม่อยู่ใน CISA KEV
GitLab ออก patch release 19.5.1 เมื่อ 21 ต.ค. แก้ช่องโหว่ 12 รายการ ตัวร้ายแรงสุดคือ CVE-2026-110264 (CVSS 10.0) integer overflow ในการคอมไพล์ regular expression ที่ทำให้ผู้ไม่ยืนยันตัวตนรันโค้ดบนเซิร์ฟเวอร์ GitLab ได้
กระทบ GitLab CE/EE ตั้งแต่ 7.0 ก่อน 18.11.13, 19.0 ก่อน 19.0.10, 19.1 ก่อน 19.1.9, 19.2 ก่อน 19.2.9, 19.3 ก่อน 19.3.6, 19.4 ก่อน 19.4.3 และ 19.5 ก่อน 19.5.1
เวอร์ชันที่แก้แล้ว: 18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3, 19.5.1 — รอบนี้ยังแก้ช่องโหว่ High อีก 2 รายการ (CVE-2026-15723 OmniAuth-to-LDAP CVSS 8.2, CVE-2026-112212 OAuth/OIDC cache poisoning CVSS 7.5)
BleepingComputer ระบุว่าเป็น RCE ระดับสูงสุดตัวที่ 2 จากนักวิจัยคนเดียวกันในรอบ 10 วัน
SVD-2026-1007 + SVD-2026-1008 | 16 CVE | สูงสุด CVSS 9.9 Critical
🗓21 ต.ค. 2569Vulnerability & Patchประกาศ/แจ้งเตือนจากผู้ผลิต
📅21 ต.ค. 2569 ออก Advisory
เวอร์ชันต่ำกว่า 9.4 (เช่น 9.2/9.3) ไม่อยู่ในตารางแก้ไข — ถือว่าไม่ได้รับแพตช์ ต้องวางแผนอัปเกรด
Splunk ออก advisory 2 ฉบับเมื่อ 21 ต.ค.: SVD-2026-1007 (12 CVE สูงสุด 8.8) เช่น CVE-2026-76298 hard-coded key ใน PostgreSQL sidecar → รันคำสั่ง OS เป็น user splunk, CVE-2026-76291 ข้าม safeguard ของ scheduled search, CVE-2026-76293 RCE ผ่าน Web Manager XML (7.2) และ SVD-2026-1008 (4 CVE) ที่มี CVE-2026-76299 และ CVE-2026-76302 ระดับ 9.9 Critical
กระทบ 10.4.0–10.4.3, 10.2.0–10.2.7, 10.0.0–10.0.10, 9.4.0–9.4.15 — แก้ใน 10.4.4, 10.2.8, 10.0.11, 9.4.16
CVE-2026-109618 / CVE-2026-109619 | CVSS 9.2 | Unauthenticated RCE
🗓21 ต.ค. 2569Vulnerability & Patchยืนยันแล้ว
📅20 ต.ค. 2569 ประกาศล่วงหน้า (php.announce) | 21 ต.ค. 2569 ออกแพตช์ 21:00 น. ไทย
Rapid7 (22 ต.ค.) ระบุมี PoC หลายตัวแต่ยังไม่เสถียร ใช้ได้เฉพาะบางชุด OS/PHP/web server — ยังไม่มีรายงานการโจมตีจริงในวงกว้าง
ทีม PHP ประกาศล่วงหน้า 20 ต.ค. ว่าจะออกแพตช์แก้ช่องโหว่ Critical 2 รายการ (CVSS v4 9.2) และออกจริงตามกำหนด 21 ต.ค. 14:00 UTC (21:00 น. ไทย): CVE-2026-109618 (memory corruption ระหว่างจัดการ out-of-memory) และ CVE-2026-109619 (use-after-free จาก stale global state เมื่อ worker process ถูกใช้ซ้ำ) ทั้งคู่เปิดทางให้ RCE โดยไม่ต้องยืนยันตัวตน ด้วยสิทธิ์ของ web worker ครอบคลุม PHP-FPM, mod_php, CGI
เวอร์ชันที่แก้แล้ว: 8.5.12, 8.4.27, 8.3.36, 8.2.35 (7.4/8.0/8.1 มี backport เฉพาะ source)
PaaS | API keys / DB / registry credentials | แนะนำ rotate ทั้งหมด | หยุด deploy ชั่วคราว
🗓21 ต.ค. 2569Cloud & Identityอยู่ระหว่างสอบสวน
📅21 ต.ค. 2569 Railway ตรวจพบและเผยแพร่ security disclosure | 22 ต.ค. 2569 ออกคำแนะนำตรวจสอบ GCP/AWS เพิ่มเติม
ขอบเขตผู้ได้รับผลกระทบและวิธีที่ผู้โจมตีเข้าถึงยังอยู่ระหว่างสอบสวน — Railway ระบุว่าเบื้องต้นกระทบเพียงบางส่วนของผู้ใช้
21 ต.ค. แพลตฟอร์ม PaaS Railway ประกาศพบกิจกรรมผิดปกติในระบบที่เก็บ environment variables ของลูกค้า โดยระบุว่าบุคคลที่สามอาจเข้าถึง environment variables ที่เข้ารหัส และบางส่วนได้เนื้อหาที่ถอดรหัสแล้ว ซึ่งอาจมี API key, credential ฐานข้อมูล และ registry credential
Railway เชื่อมโยงเหตุนี้กับชุดการโจมตีที่มุ่งเจาะแพลตฟอร์มเพื่อเข้าถึงผู้ให้บริการ AI inference และได้แจ้งผู้ให้บริการปลายทางให้เพิกถอนคีย์ หยุด deployment ทั้งหมดชั่วคราว และออกคำแนะนำเพิ่มเติมเรื่องการตรวจการเข้าถึง GCP/AWS เมื่อ 22 ต.ค.
แนวทาง: rotate environment variables/API key/registry credential ทั้งหมดที่เคยเก็บใน Railway และตรวจ log ของบริการที่เกี่ยวข้อง รวมถึงบัญชี AI provider และ cloud
ML-KEM-1024 | LPEClient / TechHub / Cubridge | เป้าหมายเกาหลีใต้
🗓21 ต.ค. 2569Threat & Malwareยืนยันแล้ว
📅21 ต.ค. 2569 Kaspersky เผยแพร่รายงาน
เป้าหมายที่ยืนยันอยู่ในเกาหลีใต้และพึ่งซอฟต์แวร์เฉพาะของเกาหลี ยังไม่มีรายงานการโจมตีในไทย
Kaspersky เผยแพร่รายงาน Operation FlashHole ของกลุ่ม Lazarus ที่โจมตีองค์กรในเกาหลีใต้อย่างน้อย 3 แห่งในกลุ่มซอฟต์แวร์ ก่อสร้าง และผลิตอุปกรณ์สื่อสาร หลักฐานแรกสุดย้อนไปถึง ก.ค. 2025
เริ่มจากหน้า phishing ที่พาไปยัง GitHub page ที่โหลด JavaScript อันตราย แล้วใช้ซอฟต์แวร์ความปลอดภัย INISAFE CrossWeb EX รัน shellcode ฉีด TechHub เข้า fsquirt.exe ต่อด้วย TouchHub, TouchShift, ClientHub, LPEClient โดยมี Cubridge เป็นตัวควบคุม และโซ่การทำงานช่วงแรกอยู่ในหน่วยความจำเท่านั้น
LPEClient ใช้ ML-KEM-1024 (post-quantum KEM ที่ NIST กำหนดมาตรฐาน) แลกกุญแจกับ C2 เพื่อปกป้อง payload ขั้นถัดไป ทำให้การวิเคราะห์ทราฟฟิกยากขึ้น