Zyxel ได้ออกแพตช์แก้ไขช่องโหว่ Zero-Day ใน Network Switch ตระกูล GS1900 ซึ่งกำลังถูก Hacker นำไปใช้โจมตีอุปกรณ์เกือบ 1,000 เครื่องทั่วโลก เพื่อขโมย configuration files และข้อมูล Credentials

CVE-2026-107441 (คะแนน CVSS8.8/10 ความรุนแรงระดับ High) เป็นช่องโหว่ Out-of-bounds write ใน Web Management Interface ของ Switch ซึ่งทำให้ Hacker ที่ไม่มีสิทธิ์เข้าถึงระบบแต่สามารถเชื่อมต่อกับเครือข่ายได้ สามารถสั่งรันคำสั่งในระบบปฏิบัติการผ่านการส่ง HTTP requests ที่ถูกสร้างขึ้นมาเป็นพิเศษ

ช่องโหว่นี้ส่งผลกระทบต่อ Network Switch ตระกูล GS1900 จำนวน 10 รุ่น โดย Zyxel ได้ปล่อยอัปเดตความปลอดภัยเมื่อวันที่ 22 ตุลาคม 2026 และเผยแพร่ประกาศแจ้งเตือนด้านความปลอดภัยเมื่อวันที่ 3 พฤศจิกายน 2026

อย่างไรก็ตาม ในช่วงแรกช่องโหว่นี้ถูกเข้าใจผิดว่าเป็นช่องโหว่เก่าที่ Zyxel ได้แก้ไขไปแล้วหลายเดือนก่อนที่การโจมตีจะเริ่มต้นขึ้น

การโจมตีที่เชื่อมโยงกับช่องโหว่ Zero-Day

เมื่อวันที่ 16 มิถุนายน 2026 Zyxel ได้ปล่อยอัปเดตความปลอดภัยเพื่อแก้ไขช่องโหว่ CVE-2026-7273 ซึ่งเป็นช่องโหว่ประเภท Buffer overflow ก่อนการยืนยันตัวตน (Pre-authentication) โดยส่งผลกระทบต่อ Network Switch รุ่น GS1900 กลุ่มเดียวกันนี้

ต่อมาในช่วงวันที่ 17 สิงหาคม 2026 บริษัทด้านความปลอดภัยไซเบอร์ GreyNoise ตรวจพบกลุ่ม Hacker ที่คาดว่าเป็นชาวจีน ซึ่งมีชื่อเรียกในระบบติดตามว่า "Kapibala" กำลังโจมตี Network Switch ของ Zyxel โดยพบว่ามีอุปกรณ์ถูกโจมตีไปแล้ว 996 เครื่องใน 48 ประเทศ

กลุ่ม Hacker ใช้ช่องโหว่ดังกล่าวเพื่อสั่งรันคำสั่งที่เป็นอันตรายจากระยะไกล ก่อนจะดาวน์โหลดสคริปต์ที่ทำหน้าที่รวบรวมข้อมูลการตั้งค่าอุปกรณ์ ข้อมูล credentials ระดับ Root (ในรูปแบบ hash) และข้อมูลเครือข่าย

GreyNoise ระบุว่ากลุ่ม Kapibala มีความเชื่อมโยงกับแคมเปญการโจมตีที่ชื่อว่า "Red Heron" ซึ่งก่อนหน้านี้ Acronis เคยรายงานว่า กลุ่มดังกล่าวได้ใช้ช่องโหว่ระดับ critical ใน Gitea (self-hosted Git service) มาก่อน

เมื่อ GreyNoise เปิดเผยข้อมูลเกี่ยวกับแคมเปญนี้ในวันที่ 21 กันยายน 2026 ทางบริษัทระบุว่า การโจมตีดังกล่าวเกี่ยวข้องกับช่องโหว่ CVE-2026-7273 ซึ่งเป็นช่องโหว่ที่ Zyxel ได้แก้ไขไปแล้วตั้งแต่เดือนมิถุนายน 2026

ในวันเดียวกันนั้น CISA ได้เพิ่ม CVE-2026-7273 เข้าไปในรายการช่องโหว่ที่กำลังถูกนำไปใช้ในการโจมตีจริง (Known Exploited Vulnerabilities catalog) ซึ่งกำหนดให้หน่วยงานรัฐบาลกลางสหรัฐฯ ต้องดำเนินการแก้ไขช่องโหว่ดังกล่าว อย่างไรก็ตาม นักวิจัยจากบริษัทรักษาความปลอดภัยเฟิร์มแวร์ Binarly ค้นพบว่า ช่องโหว่ที่ใช้ในการโจมตีนั้นมุ่งเป้าไปที่ช่องโหว่อื่นที่ไม่เคยมีใครรู้จักมาก่อน และยังไม่ได้รับการแก้ไข

ในระหว่างการตรวจสอบโครงสร้างพื้นฐานของ Red Heron ที่เชื่อมโยงกับ JITTERLY backdoor และ SIXZUT rootkit นักวิจัยของ Binarly พบไฟล์ archive ซึ่งมี Python exploit ที่เข้ารหัสไว้เพื่อโจมตี Network Switch Zyxel GS1900

หลังจากวิเคราะห์ exploit แล้ว นักวิจัยพบว่ามันตรวจสอบเฉพาะเวอร์ชันเฟิร์มแวร์ที่ได้รับการแก้ไขสำหรับ CVE-2026-7273 ซึ่งบ่งชี้ว่า exploit นี้ได้รับการพัฒนา หรืออัปเดตเพื่อโจมตีเวอร์ชันเหล่านั้น

Binarly ยืนยันเมื่อวันที่ 28 กันยายนว่า exploit ยังคงมีประสิทธิภาพกับเฟิร์มแวร์ทั้งสิบเวอร์ชันที่ได้รับการแก้ไขสำหรับ CVE-2026-7273

นักวิจัยพบว่า การอัปเดตความปลอดภัยก่อนหน้านี้ได้เพิ่มการตรวจสอบเพื่อป้องกัน buffer overflow แต่ Hacker สามารถ bypass ได้ โดยการทำให้ตัวนับพารามิเตอร์เสียหายก่อนที่จะได้รับการตรวจสอบ

ช่องโหว่นี้ทำให้สามารถเขียนทับหน่วยความจำ และเรียกใช้คำสั่งโดยไม่ต้องมีการยืนยันตัวตน แม้แต่ใน Network Switch ที่ใช้การอัปเดตความปลอดภัยรุ่นก่อนหน้าก็ตาม

Binarly รายงานสิ่งที่ค้นพบให้ Zyxel ทราบเมื่อวันที่ 29 กันยายน 2026 และ Zyxel ยืนยันช่องโหว่ใหม่นี้เมื่อวันที่ 11 ตุลาคม 2026 โดยกำหนดหมายเลข CVE-2026-107441 ให้

Zyxel จัดประเภทช่องโหว่นี้ว่าเป็นช่องโหว่แยกต่างหาก เนื่องจากช่องโหว่นี้ยังใช้ประโยชน์จากการตรวจสอบความยาวของพารามิเตอร์ HTTP ด้วย

เมื่อวันที่ 22 ตุลาคม 2026 Zyxel ได้ออกเฟิร์มแวร์อัปเดตใหม่ที่จำกัดขนาดของพารามิเตอร์ และตรวจสอบจำนวนพารามิเตอร์ก่อนที่จะคัดลอกข้อมูลลงในหน่วยความจำ ซึ่งป้องกันเทคนิคการโจมตีนี้ได้

แม้ว่า exploit ที่กู้คืนได้จะมุ่งเป้าไปที่เฟิร์มแวร์ที่ได้รับการแก้ไขสำหรับ CVE-2026-7273 โดยเฉพาะ แต่ก็ยังไม่ชัดเจนว่า exploit นี้ถูกพัฒนาขึ้นโดยเจตนาเพื่อหลีกเลี่ยงการอัปเดตเหล่านั้น หรือใช้ประโยชน์จากช่องโหว่ที่เกี่ยวข้องซึ่งการแก้ไขก่อนหน้านี้ไม่สามารถแก้ไขได้

ขอแนะนำให้ผู้ดูแลระบบของ Network Switch Zyxel GS1900 ที่ได้รับผลกระทบ ติดตั้งเฟิร์มแวร์เวอร์ชันล่าสุดเพื่อป้องกันการโจมตีช่องโหว่ CVE-2026-107441 โดยด่วน

ที่มา : bleepingcomputer.

การโจมตีแบบ Large language model hijacking หรือที่รู้จักกันในชื่อ LLMjacking กำลังสร้างค่าใช้จ่ายบนระบบ Cloud ที่ผิดปกติจำนวนมหาศาล โดยส่งผลให้บางองค์กรต้องสูญเสียเงินมากกว่า 100,000 ดอลลาร์ต่อวัน

จากเหตุการณ์ที่นักวิจัยของกลุ่ม Threat Intelligence Group (GTIG) จาก Google และ Mandiant ได้วิเคราะห์พบว่า บริษัทต่าง ๆ อาจมีค่าใช้จ่ายพุ่งสูงถึง 1 ล้านดอลลาร์อันเนื่องมาจากการเรียกใช้งาน API ที่ผิดปกติโดยใช้ API key ที่ถูกขโมยไป

จากการสังเกตการณ์พบว่า มี "กลุ่มปฏิบัติการสองกลุ่มที่ทำงานประสานกันเพื่อเจาะระบบ และหาเงินจากโครงสร้างพื้นฐาน LLM ขององค์กร"

นักวิจัยระบุประเภทของผู้ไม่หวังดีไว้ 2 กลุ่ม คือ กลุ่มที่สแกนหา Endpoint ของ LLM ที่มีการเปิดการเชื่อมต่อสู่สาธารณะ และกลุ่มที่ขโมย API key ที่ใช้งานได้จากเครื่องที่ไม่มีการป้องกัน

หลังจากเข้าถึงระบบในขั้นต้นได้แล้ว ผู้โจมตีจะนำสิทธิ์การเข้าถึงไปขายต่อให้กับบริการที่เรียกว่า "LLM mixers" ซึ่งเป็นบริการที่ให้สมาชิกสามารถเข้าถึง LLM ได้โดยไม่ได้รับอนุญาต

เมื่อสิทธิ์การเข้าถึงถูกขายต่อ ปริมาณการเรียกใช้งานจะพุ่งสูงขึ้นอย่างกะทันหัน ซึ่งบางครั้งอาจสูงกว่า 1,000 request ต่อวินาที ผู้ให้บริการ Cloud จะบันทึกการเรียกใช้งานเหล่านี้ว่าเป็นการใช้งานที่ถูกต้อง และเรียกเก็บเงินค่า Tokens จากองค์กรที่เป็นเหยื่อ

GTIG และ Mandiant สังเกตเห็นว่า กิจกรรมประเภทนี้เพิ่มสูงขึ้นในปีนี้ โดยมีค่าใช้จ่ายที่ผิดปกติสูงกว่า 100,000 ดอลลาร์ในวันเดียว และในบางองค์กรมีค่าใช้จ่ายสะสมแตะระดับ 1,000,000 ดอลลาร์

LLM mixers เสนอสิทธิ์การเข้าถึงทรัพยากร AI ในราคาที่ถูกมาก โดยใช้โครงสร้างพื้นฐานแบบ Proxy ของตนเองเพื่อส่งต่อ Prompts ของลูกค้าไปยังบริการที่ถูก Hijacked ผ่านทาง API key ที่ถูกขโมยมา

นักวิจัยพบตัวอย่างของโครงสร้างพื้นฐานเพื่อการส่งต่อข้อมูลดังกล่าวหลายแห่ง เช่น Jet Night ที่ขาย "แพ็กเกจใช้งานแบบไม่จำกัด" ในราคา 60 ดอลลาร์/เดือน รวมถึงบริการ newapi[.]pro

Google ระบุว่า "ผู้ไม่หวังดีอีกรายหนึ่งซึ่งทำการเรียกใช้ LLM API มากกว่า 500,000 ครั้งในเวลาไม่ถึงแปดชั่วโมง ได้ใช้ API key ของ Third-party ที่ถูกขโมยมาเพื่อขับเคลื่อน Token routing service ของ jet-night.

ช่องโหว่การตรวจสอบ Certificate ระดับ Critical ใน LXD และ Incus อาจทำให้ผู้โจมตีจากภายนอกสามารถ Bypass การตรวจสอบการเข้าสู่ระบบ และเข้าควบคุม Cluster รวมถึง Virtual Machine ที่อยู่ภายใต้การจัดการได้

ช่องโหว่นี้ส่งผลกระทบต่อ HTTPS Management Listener ทำให้ระบบ Linux ที่เปิดให้เข้าถึงจากภายนอกมีความเสี่ยง โดยผู้โจมตีไม่จำเป็นต้องใช้รหัสผ่าน Private Key ที่ขโมยมา หรืออาศัยการดำเนินการใด ๆ จากผู้ใช้ โดย Incus จัดระดับความรุนแรงของช่องโหว่นี้เป็น Critical โดยมีคะแนน CVSS 10.0

ประกาศด้านความปลอดภัยของ Incus ที่เผยแพร่เมื่อวันที่ 29 ตุลาคม ระบุว่า ช่องโหว่นี้มีอยู่ตั้งแต่โครงการเปิดตัวครั้งแรก ขณะที่ Canonical เผยแพร่ข้อมูลช่องโหว่ที่เกี่ยวข้องใน LXD ภายใต้หมายเลข CVE-2026-112816 เมื่อวันที่ 30 ตุลาคม แม้ Ubuntu จะจัดลำดับความสำคัญของช่องโหว่นี้ไว้ที่ระดับ Medium แต่รายละเอียดระบุว่า ผู้โจมตีสามารถเข้าถึง Cluster และ Virtual Machine ได้อย่างสมบูรณ์โดยไม่ต้องผ่าน Authentication

ช่องโหว่การตรวจสอบ Certificate ใน LXD และ Incus

ช่องโหว่นี้เกิดจากวิธีที่ Service ตรวจสอบ Certificate ที่ Client ส่งมาระหว่างการเชื่อมต่อ HTTPS โดยกระบวนการ TLS Handshake จะพิสูจน์ว่า Client ครอบครอง Private Key ของ Certificate แรกที่ส่งมา แต่ Certificate อื่น ๆ ที่อยู่ใน Chain เดียวกันสามารถถูกควบคุมโดย Client และไม่ได้ผ่านการตรวจสอบ

จากนั้นกระบวนการ Authentication จะนำ Certificate ทุกใบใน Chain ที่ส่งมาไปเปรียบเทียบกับ Trust Store ของเซิร์ฟเวอร์ ทำให้เกิดช่องว่างระหว่างการพิสูจน์ความเป็นเจ้าของ Certificate กับการยอมรับตัวตนที่ Certificate นั้นอ้างถึง ผู้โจมตีจึงสามารถนำส่วน Public ของ Certificate ที่ได้รับความเชื่อถือมาต่อท้าย Certificate Chain ของตนเอง และทำให้ระบบยอมรับว่าผู้โจมตีเป็นเจ้าของ Certificate ดังกล่าวได้ แม้จะไม่มี Private Key ที่ตรงกันก็ตาม

Public Certificate ไม่ใช่ข้อมูลลับ เนื่องจากเซิร์ฟเวอร์จะส่ง Certificate ของตนกลับมาในระหว่างกระบวนการ TLS Handshake ทำให้ผู้โจมตีสามารถรับ Certificate ได้โดยไม่จำเป็นต้องมีบัญชีผู้ใช้อยู่ก่อน ตามประกาศด้านความปลอดภัย การส่ง Certificate ของเซิร์ฟเวอร์เองจะทำให้เข้าถึง Database Gateway ได้ ส่วนการนำเสนอ Certificate ของสมาชิก Cluster รายอื่นจะทำให้เข้าถึงระบบภายใน Cluster และ Bypass การ Authentication ได้ทั้งหมด

ช่องโหว่นี้แตกต่างจากช่องโหว่ Container Escape ที่ Cyber Security News เคยรายงานไว้ในข่าวช่องโหว่ของ runc เนื่องจากไม่ได้อาศัยการ escape ออกจาก Workload ที่ถูกแยกสภาพแวดล้อม แต่เป็นการโจมตี Management Layer ที่ได้รับความเชื่อถือ ซึ่งมีหน้าที่ควบคุมการเข้าถึงสภาพแวดล้อมดังกล่าว

ประกาศของ Incus ระบุว่า ผู้โจมตีสามารถปลอมตัวโดยใช้ Certificate ของ Client, Metrics หรือ Server ที่ได้รับความเชื่อถือได้ หากมี Public Certificate ที่เกี่ยวข้อง ช่องโหว่เดียวกันนี้ยังเปิดทางให้ต่ออายุ หรือลบรายการใน Trust Store ผ่านช่องทาง Self-service ได้ รวมถึงส่งผลกระทบต่อกระบวนการ Authentication สำหรับการเชื่อมต่อ Agent ระหว่างโฮสต์กับ Virtual Machine

อีกส่วนที่ได้รับผลกระทบคือ Authorization Scriptlet ซึ่งเป็น Script ที่ใช้ตัดสินใจเกี่ยวกับสิทธิ์การเข้าถึง โดย Incus ส่ง Certificate Chain ที่ยังไม่ได้ผ่านการตรวจสอบไปยัง Script นี้ ทำให้ Certificate ที่ผู้โจมตีเลือกสามารถมีอิทธิพลต่อการตัดสินใจด้านสิทธิ์การเข้าถึงได้ ปัญหานี้ยังส่งผลกระทบต่อการเชื่อมต่อที่ใช้ Token หรือ OpenID Connect เนื่องจาก Client เหล่านี้ยังสามารถส่ง Certificate ระหว่างกระบวนการ Handshake ได้เช่นกัน

เวอร์ชันที่แก้ไขช่องโหว่แล้ว และแนวทางป้องกันเร่งด่วน

Incus ระบุว่าเวอร์ชันก่อน 7.6.0 ได้รับผลกระทบจากช่องโหว่นี้ ขณะที่เวอร์ชัน 7.6.0 เป็นต้นไปได้รับการแก้ไขแล้ว ส่วนประกาศของ Canonical สำหรับ LXD ระบุว่า มีการแก้ไขช่องโหว่ในเวอร์ชัน 4.0.15, 5.0.11, 5.21.9 และ 6.10.1 สำหรับสายเวอร์ชันที่ได้รับผลกระทบ ผู้ดูแลระบบควรตรวจสอบเวอร์ชันที่ติดตั้งอยู่ และเปรียบเทียบกับประกาศด้านความปลอดภัยจากผู้พัฒนาที่เกี่ยวข้อง

ระหว่างที่ยังไม่ได้ติดตั้งอัปเดต Incus แนะนำให้จำกัดการเข้าถึง HTTPS Listener เฉพาะโฮสต์ที่เชื่อถือได้ เนื่องจากไม่มีวิธีแก้ไขชั่วคราวด้วยการปรับ Configuration ที่สามารถแก้ปัญหาการตรวจสอบ Certificate ซึ่งเป็นต้นเหตุของช่องโหว่ได้ การจำกัดการเข้าถึงผ่านเครือข่ายช่วยลดความเสี่ยงจากการถูกโจมตี แต่ไม่สามารถใช้ทดแทนการติดตั้ง Patch ได้

คู่มือความปลอดภัยของ Linux Container จาก Cyber Security News ให้ข้อมูลเพิ่มเติมเกี่ยวกับการปกป้อง Container โดยทั่วไป แต่สำหรับช่องโหว่นี้ สิ่งที่ต้องให้ความสำคัญโดยตรงคือการอัปเดต Service ที่ได้รับผลกระทบ และจำกัดผู้ที่สามารถเข้าถึง Management Interface ได้ ทั้งนี้ ประกาศด้านความปลอดภัยทั้งสองฉบับที่อ้างถึงยังไม่มีรายงานว่าพบการ Exploit ช่องโหว่นี้ในการโจมตีจริง จึงไม่ควรตีความว่าระบบที่มีความเสี่ยงเป็นระบบที่ได้รับการยืนยันว่าถูกเจาะระบบแล้ว

ที่มา : cybersecuritynews.

 

กลุ่มแฮ็กเกอร์ที่มีความเชื่อมโยงกับรัฐบาลจีนได้ใช้ประโยชน์จากช่องโหว่ Zero-Day บน VMware ESXi เพื่อปกปิดกิจกรรมของตนบนเซิร์ฟเวอร์ที่ถูกบุกรุก ระหว่างปฏิบัติการจารกรรมข้อมูลที่มุ่งเป้าไปยังองค์กรต่าง ๆ ในสหรัฐฯ รวมถึงสำนักงานกฎหมายหลายแห่ง (more…)

 

นักวิจัยด้านความมั่นคงปลอดภัยรายหนึ่งได้เปิดเผยรายละเอียดเชิงลึกของช่องโหว่แบบ Zero-Click บนระบบปฏิบัติการ Android ภายใต้ชื่อ 'SMS of Death' (more…)

 

การโจมตีทางไซเบอร์ต่อระบบทำความเย็นได้สร้างความปั่นป่วนให้กับร้านค้าของเครือซูเปอร์มาร์เก็ตหลายแห่งในหลายประเทศทั่วยุโรป หลังจากที่แฮ็กเกอร์ได้เปลี่ยนการตั้งค่าอุณหภูมิของตู้แช่แข็งและระบบทำความเย็นจากระยะไกล

(more…)

แฮกเกอร์เริ่มดำเนินการทดสอบโจมตีช่องโหว่ระดับ Critical บนระบบ Oracle E-Business Suite (EBS) เปิดทางให้ผู้โจมตีสามารถสั่งประมวลผลคำสั่งได้จากระยะไกลได้โดยไม่ต้องเข้าสู่ระบบ โดยบริษัทวิเคราะห์ข่าวกรองด้านภัยคุกคาม Defused รายงานว่าได้ตรวจพบความพยายามในการ (more…)

TeamViewer ได้ปล่อยอัปเดตความปลอดภัยเพื่อแก้ไขช่องโหว่ระดับความรุนแรงสูง จำนวน 3 รายการ เปิดทางให้ผู้โจมตีสามารถสั่งรันโค้ดอันตราย, ทำให้โปรแกรม Remote Desktop หยุดทำงาน หรือยกระดับสิทธิ์เข้าถึงเครื่องสู่ระดับ Root บนระบบปฏิบัติการ macOS โดยช่องโหว่เหล่านี้ส่งผล (more…)

 

นักวิจัยด้านความปลอดภัยจากบริษัท Searchlight Cyber ได้นำช่องโหว่ขนาดเล็กหลายจุดในฟีเจอร์ประมวลผลรูปภาพของ Cloudflare มาเชื่อมโยงเข้าด้วยกัน จนสามารถสั่งรันโค้ด JavaScript บนเว็บไซต์ที่ตั้งค่าความปลอดภัยเพื่อบล็อกการทำงานดังกล่าวได้สำเร็จ (more…)

แฮกเกอร์กำลังใช้โฆษณาที่เป็นอันตรายบน Instagram เพื่อแพร่กระจาย Spyware เข้าสู่อุปกรณ์ iPhone ที่มีช่องโหว่ ในขณะที่ผู้ใช้งานกำลังเลื่อนดูฟีด (more…)