ข่าวไซเบอร์ วันพุธที่ 21 ต.ค. 2569
6 ข่าว · ← วันก่อน · วันถัดไป →
PyPI + Docker Hub + GHCR | ~2 ชม. | ขโมย cloud/AI API keys | Safe: 1.106.2
🗓21 ต.ค. 2569Threat & Malwareยืนยันแล้ว
📅21 ต.ค. 2569 เผยแพร่เวอร์ชันอันตราย 1.107.0 บน PyPI/Docker | 21 ต.ค. 2569 PyPI ถอดแพ็กเกจ 13:23 UTC และถอด image ตามมา | 22 ต.ค. 2569 BleepingComputer รายงาน
ยังไม่มีตัวเลขยืนยันว่ามีกี่องค์กรที่ติดตั้งเวอร์ชันอันตรายในช่วงเวลาดังกล่าว
21 ต.ค. ผู้โจมตีใช้ credential ของนักพัฒนา (คาดว่าเป็น GitHub CLI OAuth token ที่ถูกขโมย) เข้าไปแก้ release pipeline ของ LiteLLM แล้วเผยแพร่ litellm==1.107.0 ที่มี payload ทั้ง 7 wheels บน PyPI และ image v1.107.0 / latest / main-latest / main-stable บน Docker Hub และ GHCR
Payload ประกอบด้วย cook.pth, cook.py (ขโมย credential) และ sitecustomize.py (loader ที่ตรวจ GitHub dead drop ทุกชั่วโมงเพื่อดาวน์โหลดโค้ดมารัน) เป้าหมายคือ AWS/Azure/GCP, Kubernetes, Docker, SSH/GPG, GitHub token, ข้อมูลเบราว์เซอร์ และฐานข้อมูล proxy ที่เก็บ API key ของผู้ให้บริการ AI ส่งออกแบบเข้ารหัสไปยัง litellm[.]dev
PyPI wheels อยู่ระหว่าง 11:39–13:23 UTC และ Docker image ราว 11:46–14:20 UTC
แนวทาง: ตรวจหา 1.107.0 ใน venv/container/CI, หยุด loader, ลบไฟล์ payload โดยไม่รัน pip, rebuild environment, rotate secrets ทั้งหมด, บล็อกโดเมน litellm[.]dev และใช้ 1.106.2
CVE-2026-110264 | CVSS 10.0 | Unauthenticated RCE | กระทบตั้งแต่ 7.0
🗓21 ต.ค. 2569Vulnerability & Patchประกาศ/แจ้งเตือนจากผู้ผลิต
📅21 ต.ค. 2569 GitLab ออก patch release 19.5.1 และเวอร์ชันย้อนหลัง | 22 ต.ค. 2569 BleepingComputer รายงาน
ณ วันที่รายงานยังไม่มีหลักฐานสาธารณะว่าถูกโจมตีจริง และยังไม่อยู่ใน CISA KEV
GitLab ออก patch release 19.5.1 เมื่อ 21 ต.ค. แก้ช่องโหว่ 12 รายการ ตัวร้ายแรงสุดคือ CVE-2026-110264 (CVSS 10.0) integer overflow ในการคอมไพล์ regular expression ที่ทำให้ผู้ไม่ยืนยันตัวตนรันโค้ดบนเซิร์ฟเวอร์ GitLab ได้
กระทบ GitLab CE/EE ตั้งแต่ 7.0 ก่อน 18.11.13, 19.0 ก่อน 19.0.10, 19.1 ก่อน 19.1.9, 19.2 ก่อน 19.2.9, 19.3 ก่อน 19.3.6, 19.4 ก่อน 19.4.3 และ 19.5 ก่อน 19.5.1
เวอร์ชันที่แก้แล้ว: 18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3, 19.5.1 — รอบนี้ยังแก้ช่องโหว่ High อีก 2 รายการ (CVE-2026-15723 OmniAuth-to-LDAP CVSS 8.2, CVE-2026-112212 OAuth/OIDC cache poisoning CVSS 7.5)
BleepingComputer ระบุว่าเป็น RCE ระดับสูงสุดตัวที่ 2 จากนักวิจัยคนเดียวกันในรอบ 10 วัน
SVD-2026-1007 + SVD-2026-1008 | 16 CVE | สูงสุด CVSS 9.9 Critical
🗓21 ต.ค. 2569Vulnerability & Patchประกาศ/แจ้งเตือนจากผู้ผลิต
📅21 ต.ค. 2569 ออก Advisory
เวอร์ชันต่ำกว่า 9.4 (เช่น 9.2/9.3) ไม่อยู่ในตารางแก้ไข — ถือว่าไม่ได้รับแพตช์ ต้องวางแผนอัปเกรด
Splunk ออก advisory 2 ฉบับเมื่อ 21 ต.ค.: SVD-2026-1007 (12 CVE สูงสุด 8.8) เช่น CVE-2026-76298 hard-coded key ใน PostgreSQL sidecar → รันคำสั่ง OS เป็น user splunk, CVE-2026-76291 ข้าม safeguard ของ scheduled search, CVE-2026-76293 RCE ผ่าน Web Manager XML (7.2) และ SVD-2026-1008 (4 CVE) ที่มี CVE-2026-76299 และ CVE-2026-76302 ระดับ 9.9 Critical
กระทบ 10.4.0–10.4.3, 10.2.0–10.2.7, 10.0.0–10.0.10, 9.4.0–9.4.15 — แก้ใน 10.4.4, 10.2.8, 10.0.11, 9.4.16
CVE-2026-109618 / CVE-2026-109619 | CVSS 9.2 | Unauthenticated RCE
🗓21 ต.ค. 2569Vulnerability & Patchยืนยันแล้ว
📅20 ต.ค. 2569 ประกาศล่วงหน้า (php.announce) | 21 ต.ค. 2569 ออกแพตช์ 21:00 น. ไทย
Rapid7 (22 ต.ค.) ระบุมี PoC หลายตัวแต่ยังไม่เสถียร ใช้ได้เฉพาะบางชุด OS/PHP/web server — ยังไม่มีรายงานการโจมตีจริงในวงกว้าง
ทีม PHP ประกาศล่วงหน้า 20 ต.ค. ว่าจะออกแพตช์แก้ช่องโหว่ Critical 2 รายการ (CVSS v4 9.2) และออกจริงตามกำหนด 21 ต.ค. 14:00 UTC (21:00 น. ไทย): CVE-2026-109618 (memory corruption ระหว่างจัดการ out-of-memory) และ CVE-2026-109619 (use-after-free จาก stale global state เมื่อ worker process ถูกใช้ซ้ำ) ทั้งคู่เปิดทางให้ RCE โดยไม่ต้องยืนยันตัวตน ด้วยสิทธิ์ของ web worker ครอบคลุม PHP-FPM, mod_php, CGI
เวอร์ชันที่แก้แล้ว: 8.5.12, 8.4.27, 8.3.36, 8.2.35 (7.4/8.0/8.1 มี backport เฉพาะ source)
PaaS | API keys / DB / registry credentials | แนะนำ rotate ทั้งหมด | หยุด deploy ชั่วคราว
🗓21 ต.ค. 2569Cloud & Identityอยู่ระหว่างสอบสวน
📅21 ต.ค. 2569 Railway ตรวจพบและเผยแพร่ security disclosure | 22 ต.ค. 2569 ออกคำแนะนำตรวจสอบ GCP/AWS เพิ่มเติม
ขอบเขตผู้ได้รับผลกระทบและวิธีที่ผู้โจมตีเข้าถึงยังอยู่ระหว่างสอบสวน — Railway ระบุว่าเบื้องต้นกระทบเพียงบางส่วนของผู้ใช้
21 ต.ค. แพลตฟอร์ม PaaS Railway ประกาศพบกิจกรรมผิดปกติในระบบที่เก็บ environment variables ของลูกค้า โดยระบุว่าบุคคลที่สามอาจเข้าถึง environment variables ที่เข้ารหัส และบางส่วนได้เนื้อหาที่ถอดรหัสแล้ว ซึ่งอาจมี API key, credential ฐานข้อมูล และ registry credential
Railway เชื่อมโยงเหตุนี้กับชุดการโจมตีที่มุ่งเจาะแพลตฟอร์มเพื่อเข้าถึงผู้ให้บริการ AI inference และได้แจ้งผู้ให้บริการปลายทางให้เพิกถอนคีย์ หยุด deployment ทั้งหมดชั่วคราว และออกคำแนะนำเพิ่มเติมเรื่องการตรวจการเข้าถึง GCP/AWS เมื่อ 22 ต.ค.
แนวทาง: rotate environment variables/API key/registry credential ทั้งหมดที่เคยเก็บใน Railway และตรวจ log ของบริการที่เกี่ยวข้อง รวมถึงบัญชี AI provider และ cloud
ML-KEM-1024 | LPEClient / TechHub / Cubridge | เป้าหมายเกาหลีใต้
🗓21 ต.ค. 2569Threat & Malwareยืนยันแล้ว
📅21 ต.ค. 2569 Kaspersky เผยแพร่รายงาน
เป้าหมายที่ยืนยันอยู่ในเกาหลีใต้และพึ่งซอฟต์แวร์เฉพาะของเกาหลี ยังไม่มีรายงานการโจมตีในไทย
Kaspersky เผยแพร่รายงาน Operation FlashHole ของกลุ่ม Lazarus ที่โจมตีองค์กรในเกาหลีใต้อย่างน้อย 3 แห่งในกลุ่มซอฟต์แวร์ ก่อสร้าง และผลิตอุปกรณ์สื่อสาร หลักฐานแรกสุดย้อนไปถึง ก.ค. 2025
เริ่มจากหน้า phishing ที่พาไปยัง GitHub page ที่โหลด JavaScript อันตราย แล้วใช้ซอฟต์แวร์ความปลอดภัย INISAFE CrossWeb EX รัน shellcode ฉีด TechHub เข้า fsquirt.exe ต่อด้วย TouchHub, TouchShift, ClientHub, LPEClient โดยมี Cubridge เป็นตัวควบคุม และโซ่การทำงานช่วงแรกอยู่ในหน่วยความจำเท่านั้น
LPEClient ใช้ ML-KEM-1024 (post-quantum KEM ที่ NIST กำหนดมาตรฐาน) แลกกุญแจกับ C2 เพื่อปกป้อง payload ขั้นถัดไป ทำให้การวิเคราะห์ทราฟฟิกยากขึ้น