เมนูแนะนำวันนี้…ข้าวคลุกยำปลาทูมัน อร่อยๆ มาให้ลองทานค่ะ รับประกันความแซ่บเว่อร์

⭕️ น่าทานมากกกกกกค่าาา

แบบบรรจุแพ็คสวยงาม
ปลาทูมัน แพ็ค 5 ตัว มีรสเค็ม ใน TikTok
https://vt.tiktok.com/ZSMoV6tpc/

ปลาทูมัน แพ็ค 5 ตัว มีรสเค็ม ใน Shopee
https://th.shp.ee/rT65DWe

ปลาทูหอม แพ็ค 5 ตัว มีรสเค็มกว่า ใน TikTok
https://vt.tiktok.com/ZSMoVDXyt/

ปลาทูหอม แพ็ค 5 ตัว มีรสเค็มกว่า ใน Shopee
https://th.shp.ee/rhcGm9D

เลือกชมสินค้าอื่นๆของเราได้ทั้งสองช่องทาง
1. Shopee : shopee.co.th/kinjubjibshop
2. TikTok : https://www.tiktok.com/@kinjubjibshop?_t=ZS-8txYHQWejyM&_r=1

ช้อปได้ตามความชอบและคูปองของแต่ละช่องทางได้เลยค่ะ

TP-Link เจอช่องโหว่ร้ายแรง – โค้ดดีบั๊กเก่ากลับมาอีกครั้ง เปิดช่องให้แฮกเกอร์เข้าถึง root ได้

TP-Link กำลังเผชิญกับปัญหาด้านความปลอดภัยครั้งใหญ่ เมื่อมีการค้นพบช่องโหว่ใหม่ 2 รายการในเราเตอร์รุ่น Omada และ Festa ซึ่งเปิดช่องให้แฮกเกอร์สามารถเข้าถึงระบบในระดับ root ได้ ช่องโหว่เหล่านี้ถูกติดตามในชื่อ CVE-2025-7850 และ CVE-2025-7851 โดยทีมวิจัยจาก Forescout’s Vedere Labs

CVE-2025-7851 เกิดจากโค้ดดีบั๊กเก่าที่เคยถูกใช้ในช่องโหว่ CVE-2024-21827 แม้ TP-Link จะเคยออกแพตช์แก้ไขไปแล้ว แต่กลับมีโค้ดบางส่วนหลงเหลืออยู่ และสามารถถูกเรียกใช้งานได้อีกครั้งหากมีไฟล์ชื่อ image_type_debug อยู่ในระบบ ทำให้แฮกเกอร์สามารถเข้าสู่ระบบด้วยสิทธิ์ root ได้

ช่องโหว่อีกตัวคือ CVE-2025-7850 เกิดจากการจัดการข้อมูลในฟิลด์ private key ของ WireGuard VPN ไม่ดีพอ ทำให้ผู้ใช้ที่ผ่านการยืนยันตัวตนสามารถ inject คำสั่งเข้าสู่ระบบได้ และเมื่อใช้ร่วมกับช่องโหว่แรก จะสามารถควบคุมอุปกรณ์ได้อย่างสมบูรณ์

การค้นพบนี้ยังนำไปสู่การตรวจสอบเพิ่มเติม ซึ่งพบช่องโหว่อีก 15 รายการในอุปกรณ์ TP-Link รุ่นอื่นๆ ที่กำลังอยู่ในกระบวนการเปิดเผยและแก้ไขภายในต้นปี 2026

ช่องโหว่ใหม่ในเราเตอร์ TP-Link
CVE-2025-7851: โค้ดดีบั๊กเก่ากลับมาใช้งานได้อีกครั้ง
CVE-2025-7850: ช่องโหว่ใน WireGuard VPN ที่เปิดให้ inject คำสั่ง
ใช้ร่วมกันแล้วสามารถควบคุมอุปกรณ์ได้แบบ root access
พบในรุ่น Omada และ Festa

การตรวจสอบเพิ่มเติม
พบช่องโหว่อีก 15 รายการในอุปกรณ์ TP-Link รุ่นอื่น
อยู่ในกระบวนการเปิดเผยและแก้ไขภายในต้นปี 2026
แสดงถึงปัญหาการจัดการโค้ดและการแพตช์ที่ไม่สมบูรณ์

คำแนะนำจากผู้เชี่ยวชาญ
ควรอัปเดตเฟิร์มแวร์ทันทีเมื่อมีแพตช์ออก
ปิดการเข้าถึงจากระยะไกลหากไม่จำเป็น
ตรวจสอบ log เครือข่ายเพื่อหาสัญญาณการโจมตี

ข้อควรระวังและความเสี่ยง
ช่องโหว่ CVE-2025-7850 อาจถูกโจมตีจากระยะไกลโดยไม่ต้องยืนยันตัวตน
การแพตช์ที่ไม่สมบูรณ์อาจเปิดช่องให้โค้ดเก่ากลับมาใช้งานได้อีก
อุปกรณ์ที่ดูเหมือนปลอดภัยอาจยังมีช่องโหว่ซ่อนอยู่
การใช้ VPN โดยไม่ตรวจสอบความปลอดภัยอาจกลายเป็นช่องทางโจมตี

https://www.techradar.com/pro/security/hidden-debug-code-returns-from-the-dead-as-tp-link-routers-face-a-wave-of-new-critical-root-access-flaws

ทำไม CISO ต้อง “ปราบมังกรไซเบอร์” เพื่อให้ธุรกิจเคารพ?

ในโลกธุรกิจยุคดิจิทัล ตำแหน่ง CISO (Chief Information Security Officer) กลายเป็นหนึ่งในบทบาทที่สำคัญที่สุด แต่กลับเป็นตำแหน่งที่มักถูกมองข้ามหรือกลายเป็น “แพะรับบาป” เมื่อเกิดเหตุการณ์โจมตีทางไซเบอร์ บทความจาก CSO Online ได้สำรวจว่าเหตุใด CISO จึงต้องเผชิญกับความท้าทายมหาศาลเพื่อให้ได้รับความเคารพจากผู้บริหารและเพื่อนร่วมงาน

การรับมือกับเหตุการณ์ไซเบอร์ เช่น ransomware attack ไม่เพียงแต่เป็นบททดสอบด้านเทคนิค แต่ยังเป็นจุดเปลี่ยนของชื่อเสียงและอำนาจภายในองค์กร จากการสำรวจของ Cytactic พบว่า 65% ของ CISO ที่เคยนำทีมรับมือเหตุการณ์สำเร็จ ได้รับความเคารพเพิ่มขึ้น ขณะที่ 25% ถูกปลดออกจากตำแหน่งหลังเกิดเหตุการณ์

Michael Oberlaender อดีต CISO ที่เคยผ่านวิกฤตใหญ่เล่าว่า หลังจากป้องกันการโจมตีได้สำเร็จ เขาได้รับอำนาจเต็มในการตัดสินใจทางการเงิน และเสียงของเขาในที่ประชุมก็ได้รับการรับฟังอย่างจริงจังมากขึ้น

อย่างไรก็ตาม ผู้เชี่ยวชาญหลายคนชี้ว่า การได้รับความเคารพไม่ควรต้องแลกกับการเผชิญภัยคุกคามเสมอไป Jeff Pollard จาก Forrester กล่าวว่า “ถ้าเราไม่เห็นภัยเกิดขึ้น เราก็ไม่เห็นคุณค่าของการป้องกัน” และ Chris Jackson เปรียบ CISO กับโค้ชกีฬา: “ต่อให้ชนะทุกเกม แต่ถ้าไม่ได้แชมป์ ก็อาจถูกปลดได้”

สรุปประเด็นสำคัญจากบทความ

1️⃣ เหตุการณ์ไซเบอร์คือจุดเปลี่ยนของ CISO
ผลกระทบจากการรับมือเหตุการณ์
65% ของ CISO ที่รับมือเหตุการณ์สำเร็จ ได้รับความเคารพเพิ่มขึ้น
25% ถูกปลดหลังเกิด ransomware attack
การรับมือที่โปร่งใสและมีประสิทธิภาพช่วยยกระดับภาพลักษณ์ของทีมรักษาความปลอดภัย

คำเตือน
หากรับมือผิดพลาด อาจกลายเป็น “แพะรับบาป”
การไม่เตรียมซ้อมรับมือเหตุการณ์ล่วงหน้า อาจทำให้ทีมล้มเหลว

2️⃣ ความเคารพต้องแลกด้วย “การพิสูจน์ตัวเอง”
ตัวอย่างจากผู้มีประสบการณ์
Michael Oberlaender ได้รับอำนาจเต็มหลังป้องกันเหตุการณ์สำเร็จ
Finance และผู้บริหารให้ความเชื่อมั่นมากขึ้น
เสียงของเขาในที่ประชุมได้รับการรับฟังอย่างจริงจัง

คำเตือน
ความเคารพอาจเกิดขึ้นเฉพาะหลังเกิดวิกฤตเท่านั้น
หากไม่มีเหตุการณ์ให้ “โชว์ฝีมือ” CISO อาจถูกมองข้าม

3️⃣ ปัญหาการสื่อสารและการมองเห็นคุณค่า
มุมมองจากผู้เชี่ยวชาญ
Brian Levine ชี้ว่า การเพิ่มงบประมาณหลังเหตุการณ์ ไม่ใช่เพราะเคารพ CISO แต่เพราะต้องเสริมระบบ
Jeff Pollard ชี้ว่า “ถ้าไม่เห็นภัย ก็ไม่เห็นคุณค่าของการป้องกัน”
Erik Avakian แนะนำให้ใช้ KPI เพื่อแสดงคุณค่าทางธุรกิจ เช่น การลด spam email

คำเตือน
การสื่อสารไม่ชัดเจน อาจทำให้ความสำเร็จถูกมองข้าม
การไม่แสดงผลลัพธ์เป็นตัวเลข อาจทำให้ผู้บริหารไม่เข้าใจคุณค่าของงานรักษาความปลอดภัย

4️⃣ ปัญหาการจ้างงาน CISO ในตลาดปัจจุบัน
ความเห็นจาก Oberlaender
บริษัทควรจ้าง CISO ที่มีประสบการณ์จริง
ปัจจุบันหลายบริษัทเลือกจ้าง “virtual CISO” ที่ขาดความรู้ลึก
ส่งผลให้เกิดการจัดการเหตุการณ์ผิดพลาดและข้อมูลรั่วไหล

คำเตือน
การจ้างงานราคาถูกอาจนำไปสู่ความเสียหายที่มีต้นทุนสูง
การละเลยคุณสมบัติด้านประสบการณ์ อาจทำให้องค์กรเสี่ยงต่อภัยไซเบอร์

https://www.csoonline.com/article/4074994/why-must-cisos-slay-a-cyber-dragon-to-earn-business-respect.html

Google Fi อัปเกรดครั้งใหญ่! เพิ่ม AI, รองรับหลายอุปกรณ์ และโปรแรงสุดครึ่งราคา

Google Fi Wireless กำลังพลิกโฉมบริการเครือข่ายมือถือด้วยการอัปเกรดครั้งใหญ่ที่เน้นความเร็ว ความสะดวก และการใช้ AI เพื่อยกระดับประสบการณ์ผู้ใช้ โดยเฉพาะผู้ใช้ Android ที่ต้องการเครือข่ายที่ลื่นไหลและฉลาดขึ้น

หนึ่งในฟีเจอร์เด่นคือการขยายเครือข่าย Wi-Fi Auto Connect+ ไปยังสนามบินและศูนย์การค้าทั่วสหรัฐฯ ซึ่งช่วยให้โทรศัพท์สลับไปยังเครือข่ายที่เร็วกว่าโดยอัตโนมัติเมื่อสัญญาณเริ่มช้า นอกจากนี้ยังรองรับการใช้งานหลายอุปกรณ์ เช่น แท็บเล็ตและแล็ปท็อป ที่สามารถโทร ส่งข้อความ และรับวิดีโอได้โดยไม่ต้องอยู่ใกล้โทรศัพท์

AI ก็เข้ามามีบทบาทสำคัญ โดยช่วยลดเสียงรบกวนระหว่างการโทรแม้ปลายสายใช้โทรศัพท์บ้าน และยังสามารถสรุปบิลรายเดือน การปรับแผน และค่าใช้จ่ายผ่านแอป Google Fi ได้อีกด้วย

Google Fi ยังจัดโปรแรงสุดสำหรับผู้ใช้ใหม่: ลด 50% นาน 15 เดือน เมื่อสมัคร Unlimited Essentials ($60/เดือน) หรือ Unlimited Standard ($80/เดือน) ก่อนวันที่ 4 พฤศจิกายน 2025

การอัปเกรดเครือข่าย
ขยาย Wi-Fi Auto Connect+ ไปยังสนามบินและศูนย์การค้า
สลับเครือข่ายอัตโนมัติเมื่อสัญญาณช้า

รองรับหลายอุปกรณ์
โทร ส่งข้อความ รับวิดีโอจากแท็บเล็ตหรือแล็ปท็อป
ไม่จำเป็นต้องอยู่ใกล้โทรศัพท์

ฟีเจอร์ AI ใหม่
ลดเสียงรบกวนระหว่างการโทร แม้ปลายสายใช้โทรศัพท์บ้าน
สรุปบิลรายเดือนและข้อมูลแผนผ่านแอป Google Fi

โปรโมชันพิเศษ
ลด 50% นาน 15 เดือน สำหรับผู้ใช้ใหม่
ใช้ได้กับ Unlimited Essentials ($60/เดือน) และ Unlimited Standard ($80/เดือน)
หมดเขตวันที่ 4 พฤศจิกายน 2025

ความเห็นจากผู้ใช้
WhistleOut ให้คะแนน 4.0/5 สำหรับความเร็วและความคุ้มค่า
เหมาะกับผู้ใช้ที่เดินทางบ่อยและต้องการเครือข่ายที่ยืดหยุ่น

คำเตือนจากรีวิว Trustpilot
คะแนนต่ำเพียง 1.1/5 จากกว่า 400 รีวิว
ปัญหาด้านบริการลูกค้าและบิลที่สับสน
ปัญหาการเชื่อมต่อในพื้นที่ที่เคยมีสัญญาณดี

คำแนะนำก่อนสมัคร
ตรวจสอบพื้นที่ที่คุณใช้งานว่ารองรับสัญญาณ Google Fi หรือไม่
อ่านเงื่อนไขโปรโมชันอย่างละเอียดก่อนสมัคร
เปรียบเทียบกับผู้ให้บริการอื่นเพื่อดูว่าคุ้มค่าจริงหรือไม่

https://www.slashgear.com/2005515/google-fi-wireless-upgrade-new-ai-features/

เจาะระบบ FIA: นักวิจัยเผยช่องโหว่ที่เข้าถึงข้อมูลลับของนักแข่ง F1 รวมถึง Max Verstappen

ในโลกของ Formula 1 ที่เต็มไปด้วยเทคโนโลยีและความเร็ว มีอีกด้านหนึ่งที่ไม่ค่อยถูกพูดถึง—ด้านความปลอดภัยไซเบอร์ ล่าสุดนักวิจัยด้านความปลอดภัย Ian Carroll, Sam Curry และ Gal Nagli ได้เปิดเผยช่องโหว่ร้ายแรงในระบบ Driver Categorisation ของ FIA ซึ่งทำให้สามารถเข้าถึงข้อมูลส่วนตัวของนักแข่ง F1 ได้ รวมถึงพาสปอร์ตและข้อมูลของ Max Verstappen!

ช่องโหว่นี้เกิดจากการออกแบบ API ที่ไม่ปลอดภัย โดยระบบอนุญาตให้ผู้ใช้ส่ง HTTP PUT request เพื่ออัปเดตโปรไฟล์ของตนเอง แต่กลับไม่มีการตรวจสอบสิทธิ์อย่างเหมาะสม ทำให้นักวิจัยสามารถแนบข้อมูล “roles” เพื่อยกระดับสิทธิ์เป็น “ADMIN” ได้สำเร็จ เมื่อเข้าสู่ระบบใหม่ พวกเขาก็สามารถเข้าถึง dashboard สำหรับผู้ดูแลระบบ ซึ่งเปิดให้ดูข้อมูลลับของนักแข่งทุกคน

ข้อมูลที่สามารถเข้าถึงได้รวมถึง hash ของรหัสผ่าน, อีเมล, เบอร์โทรศัพท์, พาสปอร์ต, ประวัติการแข่งขัน และแม้แต่การตัดสินภายในของคณะกรรมการ FIA นักวิจัยยืนยันว่าไม่ได้ดาวน์โหลดหรือเก็บข้อมูลใดๆ และได้แจ้งเตือน FIA ตั้งแต่เดือนมิถุนายน 2025 ซึ่งทาง FIA ได้ตอบรับและแก้ไขระบบแล้ว

ช่องโหว่ที่ค้นพบ
อยู่ในระบบ Driver Categorisation ของ FIA
ใช้ HTTP PUT request เพื่ออัปเดตโปรไฟล์โดยไม่มีการตรวจสอบสิทธิ์
สามารถแนบ “roles” เพื่อยกระดับสิทธิ์เป็น ADMIN ได้

ข้อมูลที่สามารถเข้าถึงได้
พาสปอร์ต, อีเมล, เบอร์โทรศัพท์, hash ของรหัสผ่าน
ประวัติการแข่งขันและเอกสารประกอบ
ข้อมูลการตัดสินภายในของคณะกรรมการ FIA

นักวิจัยที่ค้นพบ
Ian Carroll, Sam Curry, Gal Nagli
ได้แจ้งเตือน FIA ตั้งแต่วันที่ 3 มิถุนายน 2025
FIA ตอบรับและแก้ไขระบบภายใน 1 สัปดาห์

ความสำคัญของระบบ Driver Categorisation
ใช้จัดระดับนักแข่งเป็น Bronze/Silver/Gold/Platinum
แยกจากระบบ Super Licence แต่มีข้อมูลนักแข่งร่วมกัน
รองรับการอัปโหลดเอกสารสำคัญ เช่น พาสปอร์ตและประวัติการแข่งขัน

คำเตือนสำหรับองค์กรที่ใช้ระบบออนไลน์
การไม่ตรวจสอบสิทธิ์ใน API อาจเปิดช่องให้เกิด privilege escalation
การใช้ HTTP PUT โดยไม่มีการกรองข้อมูล อาจทำให้เกิด mass assignment
ข้อมูลส่วนตัวของบุคคลสำคัญอาจถูกเข้าถึงได้โดยไม่ได้รับอนุญาต

คำแนะนำเพิ่มเติม
ควรตรวจสอบการใช้งาน API ทุกจุดที่มีการอัปเดตข้อมูล
หลีกเลี่ยงการเปิดให้ผู้ใช้แนบข้อมูลที่ควบคุมสิทธิ์ได้เอง
ควรมีระบบแจ้งเตือนและตรวจสอบการเปลี่ยนแปลงสิทธิ์แบบ real-time

https://ian.sh/fia

สหรัฐฯ ปิดเว็บไซต์ร้องเรียนสิทธิมนุษยชนของกองกำลังต่างชาติที่ได้รับอาวุธจากอเมริกา

รัฐบาลสหรัฐฯ ได้ยุติการให้บริการเว็บไซต์ที่เคยเปิดให้ประชาชนทั่วโลกสามารถร้องเรียนการละเมิดสิทธิมนุษยชนโดยกองกำลังต่างชาติที่ได้รับการสนับสนุนด้านอาวุธจากสหรัฐฯ เว็บไซต์นี้เคยเป็นช่องทางสำคัญในการตรวจสอบการใช้อาวุธของสหรัฐฯ ว่าถูกนำไปใช้ในทางที่ละเมิดสิทธิหรือไม่ โดยเฉพาะในประเทศที่มีความขัดแย้งหรือการปราบปรามประชาชน

การปิดเว็บไซต์ดังกล่าวเกิดขึ้นในช่วงที่รัฐบาลสหรัฐฯ เพิ่มการสนับสนุนทางทหารแก่พันธมิตรหลายประเทศ เช่น อิสราเอล, ยูเครน และฟิลิปปินส์ ซึ่งบางประเทศถูกวิจารณ์ว่ามีประวัติการละเมิดสิทธิมนุษยชนอย่างต่อเนื่อง

นักสิทธิมนุษยชนและองค์กรระหว่างประเทศแสดงความกังวลว่า การปิดเว็บไซต์นี้อาจลดความโปร่งใสในการตรวจสอบการใช้อาวุธ และเปิดช่องให้เกิดการละเมิดโดยไม่มีการตรวจสอบหรือรับผิดชอบ

การเปลี่ยนแปลงจากรัฐบาลสหรัฐฯ
ปิดเว็บไซต์สำหรับร้องเรียนการละเมิดสิทธิมนุษยชนโดยกองกำลังต่างชาติ
เว็บไซต์เคยเปิดให้ประชาชนทั่วโลกส่งข้อมูลการละเมิดที่เกี่ยวข้องกับอาวุธสหรัฐฯ
เป็นส่วนหนึ่งของระบบตรวจสอบการใช้ความช่วยเหลือทางทหาร

บริบททางการเมือง
เกิดขึ้นในช่วงที่สหรัฐฯ เพิ่มการสนับสนุนอาวุธแก่พันธมิตร
ประเทศที่ได้รับอาวุธบางแห่งมีประวัติละเมิดสิทธิมนุษยชน
การปิดเว็บไซต์อาจลดแรงกดดันต่อพันธมิตรของสหรัฐฯ

ความเห็นจากนักสิทธิมนุษยชน
กังวลเรื่องความโปร่งใสในการใช้อาวุธ
การไม่มีช่องทางร้องเรียนอาจทำให้เหยื่อไม่มีที่พึ่ง
อาจส่งผลต่อภาพลักษณ์ของสหรัฐฯ ในฐานะผู้สนับสนุนสิทธิมนุษยชน

คำเตือนเกี่ยวกับผลกระทบ
การปิดเว็บไซต์อาจทำให้การละเมิดสิทธิมนุษยชนไม่ถูกเปิดเผย
อาจลดแรงจูงใจในการตรวจสอบการใช้อาวุธของพันธมิตร
เหยื่อในประเทศที่มีการปราบปรามอาจไม่มีช่องทางร้องเรียน

คำแนะนำเพิ่มเติม
ควรมีช่องทางอื่นในการตรวจสอบการใช้อาวุธจากสหรัฐฯ
องค์กรระหว่างประเทศควรเพิ่มบทบาทในการรับเรื่องร้องเรียน
ประชาชนควรตระหนักถึงความสำคัญของการตรวจสอบความช่วยเหลือทางทหาร

https://www.bbc.com/news/articles/cqx30vnwd4do

KDE Plasma 6.5 มาแล้ว! อัปเกรดครั้งใหญ่เพื่อประสบการณ์ที่ลื่นไหลและฉลาดขึ้น

หลังจากหลายสัปดาห์ของการพัฒนา KDE Plasma 6.5 ได้เปิดตัวอย่างเป็นทางการ พร้อมฟีเจอร์ใหม่ที่เน้นความลื่นไหล ความสามารถในการปรับแต่ง และการเข้าถึงที่ดีขึ้นสำหรับผู้ใช้ทุกระดับ ไม่ว่าจะเป็นผู้ใช้ทั่วไปหรือสาย power user

การอัปเดตครั้งนี้มาพร้อมกับการเปลี่ยนแปลงในหลายด้าน ตั้งแต่การปรับปรุงหน้าตา UI ไปจนถึงการเพิ่มฟีเจอร์ใหม่ที่ช่วยให้การใช้งานสะดวกขึ้น เช่น การสลับธีมอัตโนมัติตามเวลา การปักหมุดข้อความใน clipboard และการค้นหาแบบ fuzzy ใน KRunner ที่ช่วยให้ค้นหาแอปได้แม้พิมพ์ผิด

นอกจากนี้ยังมีการปรับปรุงระบบ widget ให้ยืดหยุ่นมากขึ้น เช่น sticky notes ที่ปรับขนาดได้และเปลี่ยนสีพื้นหลังได้ทันที รวมถึงการเพิ่มโหมด “โปร่งใส” สำหรับผู้ชอบความเรียบง่าย

ด้านเสียงก็มีการปรับปรุงเช่นกัน เช่น การเตือนเมื่อเปิดเสียงสูงสุดนานเกินไป และการ mute ไมโครโฟนแบบรวมทุกตัวในระบบ

สำหรับผู้ที่อยากลอง KDE Plasma 6.5 สามารถติดตั้งผ่าน KDE Neon หรือคอมไพล์จากซอร์สได้โดยตรง

ฟีเจอร์ใหม่ใน KDE Plasma 6.5
สลับธีมอัตโนมัติตามเวลา
ปักหมุดข้อความใน clipboard
ค้นหาแบบ fuzzy ใน KRunner
รองรับการตั้งค่าปากกาและแท็บเล็ตแบบ rotary dial และ touch ring
เพิ่ม grayscale filter และปรับปรุง screen reader สำหรับผู้พิการ

การปรับปรุง UI
หน้าต่าง Breeze มีมุมโค้งทั้ง 4 ด้าน
หน้า Wi-Fi & Networking แสดงเครือข่ายทันที
แชร์ Wi-Fi ผ่าน QR code พร้อมรหัสผ่าน
หน้า Flatpak Permissions เปลี่ยนเป็น Application Permissions

การปรับปรุง widget
Sticky notes ปรับขนาดได้และเปลี่ยนสีพื้นหลังได้
เพิ่มโหมด “โปร่งใส” สำหรับ widget
KRunner แสดงผลตั้งแต่พิมพ์ตัวแรก พร้อมเรียงลำดับใหม่

การปรับปรุงระบบเสียง
เตือนเมื่อเปิด “Raise maximum volume” นานเกินไป
ปรับพฤติกรรม mute ไมโครโฟนให้รวมทุกตัว
ปรับระดับเสียงขณะ mute จะ unmute อัตโนมัติ

คำเตือนสำหรับผู้ใช้เวอร์ชันเก่า
หากยังใช้ Plasma 5 อาจไม่รองรับฟีเจอร์ใหม่เหล่านี้
การอัปเดตจากซอร์สต้องมีความรู้ด้านการคอมไพล์
การเปลี่ยนธีมอัตโนมัติอาจไม่ทำงานหากตั้งค่าผิด

คำแนะนำเพิ่มเติม
ใช้ KDE Neon เพื่อทดลอง Plasma 6.5 ได้ง่ายที่สุด
ตรวจสอบการตั้งค่าธีมและ wallpaper ให้ตรงกับช่วงเวลาที่ต้องการ
ลองใช้ฟีเจอร์ clipboard ปักหมุดเพื่อเพิ่มประสิทธิภาพการทำงาน

https://news.itsfoss.com/kde-plasma-6-5-release/

AI Sidebar Spoofing: SquareX เตือนภัยส่วนขยายปลอมที่แอบอ้างเป็น Sidebar ของ AI Browser

SquareX บริษัทด้านความปลอดภัยเบราว์เซอร์ ได้เปิดเผยการโจมตีรูปแบบใหม่ที่เรียกว่า “AI Sidebar Spoofing” ซึ่งใช้ส่วนขยายเบราว์เซอร์ที่เป็นอันตรายในการปลอมแปลงหน้าต่าง Sidebar ของ AI browser เช่น Comet, Brave, Edge และ Firefox เพื่อหลอกผู้ใช้ให้ทำตามคำสั่งที่เป็นอันตรายโดยเข้าใจผิดว่าเป็นคำแนะนำจาก AI จริง

การโจมตีนี้อาศัยความไว้วางใจของผู้ใช้ที่มีต่อ AI browser ซึ่งมักใช้ Sidebar เป็นช่องทางหลักในการโต้ตอบกับ AI โดยผู้โจมตีจะสร้างส่วนขยายที่สามารถแสดง Sidebar ปลอมได้อย่างแนบเนียน เมื่อผู้ใช้พิมพ์คำถามหรือขอคำแนะนำ Sidebar ปลอมจะตอบกลับด้วยคำแนะนำที่แฝงคำสั่งอันตราย เช่น ลิงก์ฟิชชิ่ง, คำสั่ง reverse shell หรือ OAuth phishing

SquareX ยกตัวอย่างกรณีศึกษาหลายกรณี เช่น การหลอกให้ผู้ใช้เข้าสู่เว็บไซต์ Binance ปลอมเพื่อขโมยคริปโต, การแนะนำเว็บไซต์แชร์ไฟล์ที่เป็น OAuth trap เพื่อเข้าถึง Gmail และ Google Drive, หรือการแนะนำคำสั่งติดตั้ง Homebrew ที่แฝง reverse shell เพื่อยึดเครื่องของเหยื่อ

ที่น่ากังวลคือ ส่วนขยายเหล่านี้ใช้สิทธิ์พื้นฐานที่พบได้ทั่วไปในส่วนขยายยอดนิยม เช่น Grammarly หรือ password manager ทำให้ยากต่อการตรวจจับ และสามารถทำงานได้บนเบราว์เซอร์ทุกชนิดที่มี Sidebar AI โดยไม่จำกัดเฉพาะ AI browser

ลักษณะของการโจมตี AI Sidebar Spoofing
ใช้ส่วนขยายเบราว์เซอร์ปลอมแปลง Sidebar ของ AI browser
หลอกผู้ใช้ให้ทำตามคำสั่งที่เป็นอันตรายโดยเข้าใจผิดว่าเป็นคำแนะนำจาก AI
สามารถทำงานได้บนเบราว์เซอร์ทั่วไปที่มี Sidebar AI เช่น Edge, Brave, Firefox

ตัวอย่างการโจมตี
ลิงก์ฟิชชิ่งปลอมเป็น Binance เพื่อขโมยคริปโต
OAuth phishing ผ่านเว็บไซต์แชร์ไฟล์ปลอม
reverse shell แฝงในคำสั่งติดตั้ง Homebrew

จุดอ่อนของระบบ
ส่วนขยายใช้สิทธิ์พื้นฐานที่พบได้ทั่วไป ทำให้ยากต่อการตรวจจับ
ไม่มีความแตกต่างด้านภาพหรือการทำงานระหว่าง Sidebar จริงกับ Sidebar ปลอม
ส่วนขยายสามารถแฝงตัวและรอจังหวะที่เหมาะสมในการโจมตี

การป้องกันจาก SquareX
เสนอเครื่องมือ Browser Detection and Response (BDR)
มีระบบตรวจจับและวิเคราะห์พฤติกรรมส่วนขยายแบบ runtime
เสนอการตรวจสอบส่วนขยายทั้งองค์กรฟรี

คำเตือนสำหรับผู้ใช้งานเบราว์เซอร์ที่มี AI Sidebar
อย่าติดตั้งส่วนขยายจากแหล่งที่ไม่เชื่อถือ
อย่าทำตามคำแนะนำจาก Sidebar โดยไม่ตรวจสอบความถูกต้อง
ระวังคำสั่งที่เกี่ยวข้องกับการเข้าสู่ระบบ, การติดตั้งโปรแกรม หรือการแชร์ข้อมูล

คำแนะนำเพิ่มเติม
ใช้เบราว์เซอร์ที่มีระบบตรวจสอบส่วนขยายแบบละเอียด
ตรวจสอบสิทธิ์ของส่วนขยายก่อนติดตั้ง
อัปเดตเบราว์เซอร์และส่วนขยายให้เป็นเวอร์ชันล่าสุดเสมอ

https://securityonline.info/ai-sidebar-spoofing-attack-squarex-uncovers-malicious-extensions-that-impersonate-ai-browser-sidebars/

Windows 11 ปรับระบบความปลอดภัย: ปิดการแสดงตัวอย่างไฟล์ที่ดาวน์โหลดจากเว็บ

Microsoft ได้ออกอัปเดตใหม่สำหรับ Windows 11 ที่มุ่งเน้นการเพิ่มความปลอดภัยของผู้ใช้งาน โดยเฉพาะในส่วนของ File Explorer ซึ่งตอนนี้จะไม่แสดงตัวอย่างไฟล์ที่ดาวน์โหลดจากอินเทอร์เน็ตโดยอัตโนมัติอีกต่อไป การเปลี่ยนแปลงนี้เกิดขึ้นจากการค้นพบช่องโหว่ที่อาจเปิดทางให้แฮกเกอร์ขโมยข้อมูลสำคัญ เช่น NTLM authentication hashes ผ่านการ preview ไฟล์ HTML ที่มีการอ้างอิงไปยัง path ภายนอก

เมื่อผู้ใช้พยายามเปิด preview ไฟล์ที่มี “web mark” หรือถูกระบุว่ามาจากอินเทอร์เน็ต ระบบจะแสดงคำเตือนว่า “ไฟล์นี้อาจเป็นอันตรายต่อคอมพิวเตอร์ของคุณ” และแนะนำให้เปิดไฟล์ด้วยความระมัดระวัง หากผู้ใช้มั่นใจว่าไฟล์ปลอดภัย ก็สามารถคลิกขวา เลือก Properties แล้วกด “Unblock” เพื่อเปิด preview ได้ตามปกติ

การปรับปรุงนี้ครอบคลุม Windows 11, Windows 10 (รวมเวอร์ชัน ESU), Windows Server 2012/2012 R2/2016/2019/2025 และ Windows Server version 23H2

การเปลี่ยนแปลงใน File Explorer
ปิดการแสดง preview สำหรับไฟล์ที่ดาวน์โหลดจากเว็บ
แสดงคำเตือนเมื่อพยายาม preview ไฟล์ที่มี “web mark”
ผู้ใช้สามารถ “Unblock” ไฟล์เพื่อเปิด preview ได้

เหตุผลด้านความปลอดภัย
ป้องกันการรั่วไหลของ NTLM authentication hashes
ช่องโหว่เกิดจากการ preview ไฟล์ HTML ที่อ้างอิง path ภายนอก
ลดความเสี่ยงจากการเปิดไฟล์อันตรายโดยไม่ตั้งใจ

ระบบที่ได้รับผลกระทบ
Windows 11 และ Windows 10 ทุกเวอร์ชัน
Windows Server 2012 ถึง 2025 รวมถึงเวอร์ชัน 23H2

คำเตือนสำหรับผู้ใช้งาน
อย่าเปิด preview ไฟล์จากอินเทอร์เน็ตโดยไม่ตรวจสอบแหล่งที่มา
ไฟล์ HTML ที่มีการอ้างอิงภายนอกอาจเป็นช่องทางโจมตี
การเปิด preview โดยไม่ “Unblock” อาจทำให้ระบบแสดงคำเตือนหรือปิดการทำงานบางส่วน

คำแนะนำเพิ่มเติม
ตรวจสอบแหล่งที่มาของไฟล์ก่อนเปิดใช้งาน
ใช้ฟีเจอร์ “Unblock” เฉพาะเมื่อมั่นใจว่าไฟล์ปลอดภัย
อัปเดตระบบให้เป็นเวอร์ชันล่าสุดเพื่อรับการป้องกันเต็มรูปแบบ

https://securityonline.info/security-first-windows-11-disables-file-previews-for-web-downloads/

YouTube เปิดตัว “Likeness Detection Tool” ป้องกันครีเอเตอร์จากภัย Deepfake

ในยุคที่เทคโนโลยี AI ก้าวหน้าอย่างรวดเร็ว การปลอมแปลงใบหน้าและเสียงของบุคคลในวิดีโอหรือเสียงกลายเป็นเรื่องง่ายดายอย่างน่าตกใจ โดยเฉพาะกับเหล่าครีเอเตอร์ที่มีชื่อเสียงซึ่งตกเป็นเป้าหมายของการสร้างเนื้อหาเทียม (deepfake) เพื่อหลอกลวงหรือทำลายชื่อเสียง ล่าสุด YouTube ได้เปิดตัวเครื่องมือใหม่ที่ชื่อว่า “Likeness Detection Tool” เพื่อช่วยให้ครีเอเตอร์สามารถตรวจจับและจัดการกับวิดีโอที่ใช้ใบหน้าหรือเสียงของตนโดยไม่ได้รับอนุญาต

เครื่องมือนี้เริ่มเปิดให้ใช้งานในเดือนตุลาคม 2025 โดยจำกัดเฉพาะสมาชิกในโปรแกรม YouTube Partner Program (YPP) ก่อน และจะขยายให้ครอบคลุมครีเอเตอร์ที่มีรายได้ทั้งหมดภายในเดือนมกราคม 2026

การใช้งานเริ่มต้นด้วยการยืนยันตัวตนผ่านการอัปโหลดบัตรประชาชนและวิดีโอเซลฟี จากนั้นระบบจะสแกนวิดีโอใหม่ๆ บนแพลตฟอร์มเพื่อหาการใช้ใบหน้าหรือเสียงของครีเอเตอร์โดยไม่ได้รับอนุญาต หากพบวิดีโอที่น่าสงสัย ครีเอเตอร์จะได้รับการแจ้งเตือนผ่านแท็บ “Likeness” ใน YouTube Studio และสามารถเลือกดำเนินการ เช่น ส่งคำขอลบวิดีโอ หรือยื่นเรื่องละเมิดลิขสิทธิ์ได้ทันที

แม้เครื่องมือนี้จะยังไม่สามารถตรวจจับการปลอมแปลงเสียงเพียงอย่างเดียวได้ แต่ก็ถือเป็นก้าวสำคัญในการปกป้องสิทธิ์ของครีเอเตอร์ และลดการแพร่กระจายของข้อมูลเท็จหรือการแอบอ้างตัวตนในโลกออนไลน์

เครื่องมือใหม่จาก YouTube
ชื่อว่า “Likeness Detection Tool”
ใช้ AI ตรวจจับวิดีโอที่ใช้ใบหน้าหรือเสียงของครีเอเตอร์โดยไม่ได้รับอนุญาต
แสดงวิดีโอที่ตรวจพบในแท็บ “Likeness” ของ YouTube Studio

ขั้นตอนการใช้งาน
ต้องยืนยันตัวตนด้วยบัตรประชาชนและวิดีโอเซลฟี
ระบบจะเริ่มสแกนวิดีโอใหม่ๆ เพื่อหาการปลอมแปลง
ครีเอเตอร์สามารถส่งคำขอลบวิดีโอหรือยื่นเรื่องละเมิดลิขสิทธิ์ได้

กลุ่มผู้ใช้งาน
เริ่มเปิดให้เฉพาะสมาชิก YouTube Partner Program
จะขยายให้ครีเอเตอร์ที่มีรายได้ทั้งหมดภายในเดือนมกราคม 2026

เป้าหมายของเครื่องมือ
ปกป้องตัวตนของครีเอเตอร์จาก deepfake
ลดการเผยแพร่ข้อมูลเท็จและการแอบอ้างตัวตน
เพิ่มความน่าเชื่อถือของเนื้อหาบนแพลตฟอร์ม

ข้อควรระวังและข้อจำกัด
ยังไม่สามารถตรวจจับการปลอมแปลงเสียงเพียงอย่างเดียวได้
อาจมี false positive – ตรวจพบวิดีโอที่ใช้ใบหน้าจริงของครีเอเตอร์แต่ไม่ใช่ deepfake
การใช้งานต้องยอมรับการให้ข้อมูลส่วนตัว เช่น ใบหน้าและบัตรประชาชน

คำแนะนำเพิ่มเติม
ครีเอเตอร์ควรตรวจสอบวิดีโอที่ถูกแจ้งเตือนอย่างละเอียดก่อนดำเนินการ
ควรติดตามการอัปเดตของ YouTube เกี่ยวกับการขยายขอบเขตการใช้งาน
ควรพิจารณาความเป็นส่วนตัวก่อนสมัครใช้งานเครื่องมือนี้

https://securityonline.info/deepfake-defense-youtube-rolls-out-ai-tool-to-protect-creator-likeness/

DNS ระเบิดเวลา: ช่องโหว่ร้ายแรงใน BIND 9 เสี่ยงโจมตีแบบ Cache Poisoning และ DoS

ถ้าคุณดูแลระบบ DNS ด้วย BIND 9 อยู่ล่ะก็ ข่าวนี้คือสัญญาณเตือนภัยไซเบอร์ที่คุณไม่ควรมองข้าม! Internet Systems Consortium (ISC) ได้ออกแพตช์อุดช่องโหว่ร้ายแรงถึง 3 รายการใน BIND 9 ซึ่งอาจเปิดทางให้แฮกเกอร์โจมตีแบบ cache poisoning และทำให้ระบบล่มได้แบบไม่ต้องยืนยันตัวตน

ช่องโหว่ที่ร้ายแรงที่สุดคือ CVE-2025-40780 ซึ่งเกิดจากการใช้ pseudo-random number generator ที่ไม่ปลอดภัยในการเลือก source port และ query ID ทำให้แฮกเกอร์สามารถเดา transaction ID ได้ และส่งข้อมูลปลอมเข้าไปใน cache ของ DNS resolver ได้สำเร็จ

อีกช่องโหว่หนึ่งคือ CVE-2025-40778 ที่เกิดจากการที่ BIND ยอมรับ resource records ที่ไม่ได้ร้องขอใน DNS response มากเกินไป ทำให้แฮกเกอร์สามารถแทรกข้อมูลปลอมเข้าไปใน cache ได้เช่นกัน

ช่องโหว่สุดท้ายคือ CVE-2025-8677 ที่สามารถทำให้ CPU ของเซิร์ฟเวอร์หมดแรงได้ ด้วยการส่ง DNSKEY records ที่ถูกออกแบบมาอย่างเจาะจงให้ระบบทำงานหนักจนล่ม

แม้ช่องโหว่เหล่านี้จะไม่กระทบกับ authoritative servers แต่ recursive resolvers กลับตกอยู่ในความเสี่ยงสูง และสามารถถูกโจมตีจากระยะไกลได้ทันทีหากยังไม่ได้อัปเดตแพตช์

ช่องโหว่ที่ค้นพบใน BIND 9
CVE-2025-40780: ใช้ pseudo-random ที่ไม่ปลอดภัย ทำให้เดา query ID ได้
CVE-2025-40778: ยอมรับ resource records ที่ไม่ได้ร้องขอมากเกินไป
CVE-2025-8677: ส่ง DNSKEY records ที่ทำให้ CPU ทำงานหนักจนล่ม

เวอร์ชันที่ได้รับผลกระทบ
BIND 9.11.0 → 9.16.50
BIND 9.18.0 → 9.18.39
BIND 9.20.0 → 9.20.13
BIND 9.21.0 → 9.21.12

วิธีการโจมตี
ไม่ต้องยืนยันตัวตน
ส่งข้อมูลปลอมผ่าน DNS response
ใช้ zone ที่ออกแบบมาให้ทำให้ CPU ทำงานหนัก

การแก้ไขจาก ISC
ออกแพตช์ใหม่: 9.18.41, 9.20.15, 9.21.14
แนะนำให้อัปเดตทันที

คำเตือนสำหรับผู้ดูแลระบบ DNS
หากยังไม่อัปเดต BIND อาจถูกโจมตีจากระยะไกลได้ทันที
Cache poisoning อาจทำให้ผู้ใช้ถูก redirect ไปยังเว็บไซต์ปลอม
การโจมตีแบบ CPU exhaustion อาจทำให้ DNS resolver ล่มทั้งระบบ

คำแนะนำเพิ่มเติม
ตรวจสอบว่าใช้เวอร์ชันที่ได้รับผลกระทบหรือไม่
อัปเดตเป็นเวอร์ชันที่ได้รับการแก้ไขโดยเร็ว
เฝ้าระวังการเปลี่ยนแปลงใน DNS cache และการทำงานของ CPU

https://securityonline.info/isc-patches-multiple-high-severity-bind-vulnerabilities-enabling-cache-poisoning-and-denial-of-service-attacks/

“Microsoft ใช้เกมของคุณฝึก AI – Gaming Copilot แอบเก็บข้อมูลโดยเปิดไว้เป็นค่าเริ่มต้น!”

Microsoft เปิดตัวฟีเจอร์ใหม่ชื่อว่า Gaming Copilot AI บน Windows 11 ซึ่งออกแบบมาเพื่อช่วยผู้เล่นเกม เช่น แนะนำกลยุทธ์หรือช่วยแก้ปัญหาในเกม แต่สิ่งที่หลายคนไม่รู้คือ AI ตัวนี้ ฝึกตัวเองจากการเล่นเกมของคุณ โดยอัตโนมัติ — และเปิดใช้งานไว้ตั้งแต่แรก!

ผู้ใช้ในฟอรั่ม ResetEra พบว่า Gaming Copilot ส่ง ภาพหน้าจอและข้อมูลการเล่นเกม กลับไปยัง Microsoft เพื่อใช้ฝึกโมเดล AI โดยไม่แจ้งเตือนชัดเจน และ Wccftech ก็ยืนยันว่าใน Game Bar → Settings → Privacy Settings มีตัวเลือกชื่อว่า “Model training on text” ที่ถูกเปิดไว้ตั้งแต่ต้น

นอกจากนี้ยังมีตัวเลือกให้ AI ฝึกจาก เสียงสนทนาในเกม, ข้อมูล personalization และ memory รวมถึงบทสนทนาที่คุณเคยคุยกับ Gaming Copilot ด้วย แม้บางตัวเลือกจะไม่ได้เปิดไว้ตั้งแต่แรก แต่ก็สามารถเปิดได้โดยไม่รู้ตัว

Microsoft ระบุว่าผู้ใช้สามารถปิดฟีเจอร์เหล่านี้ได้ โดยเข้าไปที่ Game Bar → Gaming Copilot → Settings → Privacy Settings แล้วปิดทุกตัวเลือกที่เกี่ยวกับการฝึกโมเดล

ข่าวนี้ออกมาในช่วงที่ Microsoft ถูกวิจารณ์หนักจากหลายเรื่อง เช่น ขึ้นราคาคอนโซล Xbox และ Game Pass, ปิดโปรแกรม reward และปลดพนักงานกว่า 9,000 คน เพื่อเน้นการลงทุนใน AI — ทำให้หลายคนรู้สึกว่า Microsoft กำลัง “เดิมพันทุกอย่างกับ AI” โดยไม่คำนึงถึงความรู้สึกของผู้ใช้

ฟีเจอร์ Gaming Copilot AI
ช่วยผู้เล่นเกมด้วยคำแนะนำและการวิเคราะห์
ฝึกโมเดลจากข้อมูลการเล่นเกมของผู้ใช้
ส่งภาพหน้าจอและข้อมูลกลับไปยัง Microsoft
เปิดใช้งานไว้เป็นค่าเริ่มต้นโดยไม่แจ้งชัดเจน

ข้อมูลที่ถูกใช้ในการฝึก AI
ภาพหน้าจอและการเล่นเกม
ข้อความและเสียงสนทนาในเกม
ข้อมูล personalization และ memory
บทสนทนากับ Gaming Copilot

วิธีปิดการฝึกโมเดล
เข้า Game Bar → Gaming Copilot → Settings → Privacy Settings
ปิด “Model training on text” และตัวเลือกอื่น ๆ
ตรวจสอบทุกครั้งหลังอัปเดต Windows

บริบทของ Microsoft ในช่วงนี้
ขึ้นราคาคอนโซล Xbox และ Game Pass
ปิดโปรแกรม reward และส่วนลด
ปลดพนักงานกว่า 9,000 คน
เน้นลงทุนใน AI เป็นหลัก

ข้อควรระวังและคำเตือน
หากไม่ปิดฟีเจอร์ อาจถูกเก็บข้อมูลโดยไม่รู้ตัว
การฝึก AI จากข้อมูลส่วนตัวอาจละเมิดความเป็นส่วนตัว
ผู้ใช้บางคนอาจไม่รู้ว่าฟีเจอร์นี้เปิดอยู่
การส่งข้อมูลกลับไปยัง Microsoft อาจเสี่ยงต่อการรั่วไหล
ควรตรวจสอบการตั้งค่าหลังอัปเดต Windows ทุกครั้ง

https://wccftech.com/microsoft-training-gaming-copilot-ai-watching-you-play-games-unless-you-turn-it-off/

“Cooler Master แนะลูกค้า ‘รื้อสายไฟ’ เพื่อเสียบการ์ดจอ – แต่คำแนะนำอาจไม่ช่วย แถมเสี่ยงไฟไหม้!”

เรื่องนี้เกิดขึ้นเมื่อผู้ใช้ Asus RTX 5070 Ti พบว่าไม่สามารถเสียบสายไฟ 12V-2x6 จาก PSU ของ Cooler Master รุ่น MWE Gold V2 1250W ได้ เพราะหัวสายแบบงอ (right-angled) ไม่พอดีกับพอร์ตบนการ์ดจอ ซึ่งมีการออกแบบตำแหน่งพอร์ตไฟเบี้ยวเล็กน้อย

ลูกค้าจึงติดต่อฝ่ายบริการของ Cooler Master เพื่อขอสายแบบตรง แต่สิ่งที่ได้รับกลับมาคือคำแนะนำให้ “รื้อสายไฟ” โดยการถอดคลิปล็อกด้านข้างของหัวสาย เพื่อให้สามารถเสียบเข้าไปได้ — ซึ่งเท่ากับเปลี่ยนสายงอให้กลายเป็นสายตรงแบบ DIY

โชคดีที่ลูกค้าไม่ทำตาม และเลือกซื้อสายจาก Cablemod แทน เพราะการรื้อสายแบบนั้นไม่เพียงแต่ไม่ช่วยแก้ปัญหา แต่ยังเสี่ยงต่อการเสียหายของหัวสาย และอาจเพิ่มความต้านทานไฟฟ้า จนเกิดความร้อนสะสมและไฟไหม้ได้

Igor’s Lab ซึ่งเป็นแหล่งข่าวต้นเรื่อง ได้ทดสอบสาย Cooler Master กับการ์ดจอ MSI RTX 5090 Suprim และพบว่าแม้จะถอดคลิปล็อกแล้ว ก็ยังเสียบไม่สุด เพราะ housing ภายในของสาย Cooler Master สั้นกว่ามาตรฐานของ Nvidia ถึง 3.2 มม. ทำให้ชนกับฮีตซิงก์ของการ์ดจอ

นอกจากนี้ยังเตือนว่า สาย 12V-2x6 เป็นสายที่เปราะบางมาก การงอหรือดัดสายอาจทำให้ขั้วภายในเคลื่อน ส่งผลให้เกิดความร้อนและไฟไหม้ได้ง่าย ซึ่งเคยเกิดขึ้นมาแล้วหลายครั้งกับสาย 16-pin ในอดีต

ปัญหาที่พบ
สายไฟ 12V-2x6 แบบงอของ Cooler Master เสียบไม่พอดีกับ Asus RTX 5070 Ti
พอร์ตไฟบนการ์ดจอมีตำแหน่งเบี้ยว ทำให้สายชนกับฮีตซิงก์
Housing ภายในของสาย Cooler Master สั้นกว่ามาตรฐาน Nvidia 3.2 มม.
แม้ถอดคลิปล็อกแล้วก็ยังเสียบไม่สุด

คำแนะนำจากฝ่ายบริการ
แนะนำให้ลูกค้ารื้อสายโดยถอดคลิปล็อกด้านข้าง
เปลี่ยนสายงอให้กลายเป็นสายตรงแบบ DIY
ลูกค้าเลือกไม่ทำตาม และซื้อสายจาก Cablemod แทน
Igor’s Lab ยืนยันว่าคำแนะนำนี้ไม่ช่วยแก้ปัญหา

ความเสี่ยงจากการแก้ไขสายไฟ
การดัดสายอาจทำให้ขั้วภายในเคลื่อน
เพิ่มความต้านทานไฟฟ้า → ความร้อนสะสม → เสี่ยงไฟไหม้
สาย 12V-2x6 มีประวัติเสียหายจากการใช้งานผิดวิธี
การใช้สายที่ไม่ตรงมาตรฐานอาจทำให้การ์ดจอเสียหาย

https://www.tomshardware.com/pc-components/gpus/cooler-master-tells-customer-to-dismantle-12v2x6-connector-to-fit-asus-rtx-5070-ti-customer-service-offers-dubious-advice-that-might-not-even-fix-issue

“9 เครื่องมือจัดการ Attack Surface ที่องค์กรควรรู้ – ป้องกันภัยไซเบอร์ก่อนถูกเจาะ!”

ในยุคที่ระบบ IT เชื่อมต่อกับโลกภายนอกตลอดเวลา การรู้ว่า “อะไรเปิดเผยอยู่บ้าง” คือกุญแจสำคัญในการป้องกันการโจมตี เครื่องมือประเภท CAASM (Cyber Asset Attack Surface Management) และ EASM (External Attack Surface Management) จึงกลายเป็นหัวใจของการรักษาความปลอดภัยระดับองค์กร

บทความจาก CSO Online ได้รวบรวม 9 เครื่องมือเด่นที่ช่วยค้นหาและจัดการช่องโหว่ในระบบขององค์กร โดยแต่ละตัวมีจุดเด่นต่างกัน เช่น การมองจากมุมของแฮกเกอร์, การเชื่อมต่อกับระบบภายใน, หรือการวิเคราะห์ความเสี่ยงเชิงธุรกิจ

เป้าหมายของเครื่องมือเหล่านี้คือการลด “ข้อมูลที่แฮกเกอร์มองเห็น” ให้เหลือน้อยที่สุด โดยยังคงให้บริการธุรกิจได้ตามปกติ และสามารถตรวจจับการเปลี่ยนแปลงแบบเรียลไทม์ เช่น การเพิ่ม asset ใหม่ หรือการเปลี่ยน config ที่อาจเกิดจาก human error หรือการโจมตี

ความเข้าใจพื้นฐานของ Attack Surface
หมายถึงทรัพยากรทั้งหมดที่เข้าถึงได้จากอินเทอร์เน็ต เช่น IP, domain, application
รวมถึง open ports, SSL, server platform และ protocol ที่ใช้งาน
ช่องโหว่เกิดจาก config ผิดพลาดหรือ software ที่ยังไม่ได้ patch
แม้ asset จะอยู่ใน data center ก็ยังเสี่ยง หากไม่มีการ monitor ที่ดี

ความสามารถของเครื่องมือ CAASM/EASM
ตรวจจับ asset ใหม่และ config drift แบบเรียลไทม์
วิเคราะห์ความเสี่ยงจากทั้งมุมเทคนิคและมุมธุรกิจ
เชื่อมต่อกับระบบภายใน เช่น Jira, ServiceNow, Slack
บางตัวสามารถทำ remediation อัตโนมัติหรือผ่าน playbook

เครื่องมือเด่นที่แนะนำ
Axonius – เน้น asset inventory และ policy compliance เช่น PCI/HIPAA
CrowdStrike Falcon Surface – มองจากมุมแฮกเกอร์ พร้อม remediation ผ่าน integration
CyCognito – วิเคราะห์ความสัมพันธ์ระหว่าง asset และจัดลำดับความเสี่ยง
Informer – ค้นหา asset บน web/API พร้อม pen testing เสริม
JupiterOne – แสดง asset แบบ visual map พร้อม query ขั้นสูง
Microsoft Defender EASM – ค้นหา shadow IT และ probe ทุก layer ของ tech stack
Rapid7 InsightVM – มีสิทธิ์ออก CVE ใหม่ พร้อม dashboard วิเคราะห์แบบเจาะลึก
SOCRadar AttackMapper – ตรวจ SSL, DNS, defacement และ correlate กับวิธีโจมตี
Tenable.asm – วิเคราะห์ asset ด้วย metadata กว่า 200 field พร้อม context เชิงธุรกิจ

ข้อควรระวังและคำเตือน
การ scan แบบ periodic ไม่เพียงพอ ต้องใช้ monitoring แบบต่อเนื่อง
การไม่จัดการ config drift อาจเปิดช่องให้โจมตีโดยไม่รู้ตัว
หากไม่เชื่อมโยง asset กับ context ธุรกิจ อาจจัดลำดับความเสี่ยงผิด
การใช้หลายเครื่องมือโดยไม่มีการบูรณาการ อาจทำให้ข้อมูลกระจัดกระจาย
การไม่ฝึกซ้อม incident response ทำให้ 57% ของเหตุการณ์จริงไม่เคยถูกจำลองมาก่อน

https://www.csoonline.com/article/574797/9-attack-surface-discovery-and-management-tools.html

“ช่องโหว่ CVE-2025-22167 ใน Jira – เขียนไฟล์ลงเซิร์ฟเวอร์ได้ตามใจ! เสี่ยง RCE หากใช้ร่วมกับช่องโหว่อื่น”

Atlassian ออกแพตช์ด่วนหลังพบช่องโหว่ร้ายแรงใน Jira Software และ Jira Service Management ทั้งเวอร์ชัน Data Center และ Server โดยช่องโหว่นี้มีรหัสว่า CVE-2025-22167 และได้คะแนน CVSS สูงถึง 8.7

ช่องโหว่นี้เป็นแบบ Path Traversal + Arbitrary File Write ซึ่งเปิดให้ผู้โจมตีที่เข้าถึง web interface ของ Jira สามารถเขียนไฟล์ใด ๆ ลงใน path ที่ JVM process มีสิทธิ์เขียนได้ โดยไม่ต้องมีสิทธิ์ระดับ admin หรือการยืนยันตัวตนพิเศษ

แม้ช่องโหว่นี้จะไม่ใช่ RCE โดยตรง แต่หากใช้ร่วมกับช่องโหว่อื่น เช่น การอัปโหลดไฟล์ JSP หรือการเปลี่ยน config ก็สามารถนำไปสู่การรันคำสั่งจากระยะไกลได้ทันที

ช่องโหว่นี้ส่งผลกระทบต่อ Jira Software เวอร์ชัน 9.12.0 ถึง 11.0.0 และ Jira Service Management เวอร์ชัน 5.12.0 ถึง 10.3.0 โดย Atlassian ได้ออกแพตช์ในเวอร์ชัน 9.12.28+, 10.3.12+, 11.1.0+ และ 5.12.29+, 10.3.12+ ตามลำดับ

Atlassian แนะนำให้ผู้ใช้รีบอัปเดตทันที หรืออย่างน้อยให้อัปเกรดเป็นเวอร์ชันที่มีแพตช์แล้ว หากไม่สามารถอัปเดตได้ทันที ควรจำกัดสิทธิ์การเขียนของ JVM process และตรวจสอบการเข้าถึง web interface อย่างเข้มงวด

รายละเอียดช่องโหว่ CVE-2025-22167
เป็นช่องโหว่แบบ Path Traversal + Arbitrary File Write
เปิดให้เขียนไฟล์ใด ๆ ลงใน path ที่ JVM process เขียนได้
ไม่ต้องใช้สิทธิ์ admin หรือการยืนยันตัวตนพิเศษ
ได้คะแนน CVSS สูงถึง 8.7
อาจนำไปสู่ RCE หากใช้ร่วมกับช่องโหว่อื่น

ผลกระทบต่อผลิตภัณฑ์ Atlassian
Jira Software เวอร์ชัน 9.12.0–11.0.0
Jira Service Management เวอร์ชัน 5.12.0–10.3.0
แพตช์ออกในเวอร์ชัน 9.12.28+, 10.3.12+, 11.1.0+
และ 5.12.29+, 10.3.12+ สำหรับ Service Management

แนวทางการป้องกัน
อัปเดต Jira เป็นเวอร์ชันที่มีแพตช์ทันที
หากอัปเดตไม่ได้ ควรจำกัดสิทธิ์การเขียนของ JVM
ตรวจสอบการเข้าถึง web interface อย่างเข้มงวด
เฝ้าระวังการเปลี่ยนแปลงไฟล์ config และ JSP

ข้อควรระวังและคำเตือน
ช่องโหว่นี้อาจถูกใช้ร่วมกับช่องโหว่อื่นเพื่อทำ RCE
การเขียนไฟล์ลงใน path สำคัญอาจเปลี่ยนพฤติกรรมของระบบ
ผู้โจมตีสามารถใช้เพื่อฝัง backdoor หรือเปลี่ยน config
หากไม่อัปเดต อาจเสี่ยงต่อการถูกควบคุมระบบทั้งหมด
ควรตรวจสอบ log การเขียนไฟล์ย้อนหลังเพื่อหาพฤติกรรมผิดปกติ

https://securityonline.info/jira-path-traversal-flaw-cve-2025-22167-allows-arbitrary-file-write-on-server-data-center/

“ช่องโหว่ CVE-2025-59287 ใน WSUS – แฮกเกอร์เจาะระบบด้วย Cookie ปลอม! เสี่ยง RCE ระดับ SYSTEM”

ช่องโหว่ใหม่ในระบบ Windows Server Update Services (WSUS) ของ Microsoft ถูกเปิดเผยในเดือนตุลาคม 2025 โดยนักวิจัยจาก HawkTrace ซึ่งระบุว่าเป็นช่องโหว่ระดับ “วิกฤต” รหัส CVE-2025-59287 ได้คะแนน CVSS สูงถึง 9.8 และมี PoC (proof-of-concept) เผยแพร่แล้ว

ช่องโหว่นี้เกิดจากการที่ WSUS ใช้ฟังก์ชัน BinaryFormatter.Deserialize() เพื่อถอดรหัสข้อมูลใน AuthorizationCookie โดยไม่มีการตรวจสอบประเภทของ object ที่ถูก deserialize ซึ่งเปิดช่องให้แฮกเกอร์สามารถส่ง cookie ปลอมที่มี payload อันตรายเข้ามาได้

เมื่อ WSUS server ได้รับ cookie ปลอมจาก SOAP request ไปยัง endpoint GetCookie() มันจะถอดรหัสข้อมูลด้วย AES-128-CBC แล้วส่งต่อไปยัง BinaryFormatter.Deserialize() โดยตรง ซึ่งทำให้เกิด Remote Code Execution (RCE) ด้วยสิทธิ์ SYSTEM ได้ทันที โดยไม่ต้องมีการยืนยันตัวตน

ช่องโหว่นี้ส่งผลกระทบต่อ Windows Server ทุกเวอร์ชันตั้งแต่ 2012 ถึง 2025 รวมถึง Server Core editions และอาจนำไปสู่การโจมตีแบบ supply chain หาก WSUS ถูกใช้เพื่อแจกจ่ายอัปเดตให้เครื่องลูกข่ายจำนวนมาก

Microsoft ได้ออกแพตช์ใน October 2025 Patch Tuesday เพื่อแก้ไขช่องโหว่นี้แล้ว และแนะนำให้องค์กรรีบอัปเดตทันที เพราะ WSUS เป็นระบบที่มีสิทธิ์สูงและเชื่อมต่อกับเครื่องลูกข่ายจำนวนมาก หากถูกเจาะ อาจนำไปสู่การควบคุมระบบทั้งหมด

รายละเอียดช่องโหว่ CVE-2025-59287
เกิดจาก unsafe deserialization ใน AuthorizationCookie
ใช้ฟังก์ชัน BinaryFormatter.Deserialize() โดยไม่ตรวจสอบ type
ถอดรหัส cookie ด้วย AES-128-CBC แล้ว deserialize โดยตรง
เปิดให้เกิด Remote Code Execution ด้วยสิทธิ์ SYSTEM
ได้คะแนน CVSS สูงถึง 9.8

พฤติกรรมการโจมตี
ส่ง SOAP request ไปยัง endpoint GetCookie()
ใช้ cookie ปลอมที่มี payload อันตราย
WSUS server ถอดรหัสแล้วรัน payload โดยไม่ตรวจสอบ
สามารถ bypass authentication ได้
PoC exploit ถูกเผยแพร่บน GitHub แล้ว

การตอบสนองจาก Microsoft
ออกแพตช์ใน October 2025 Patch Tuesday
แก้ไขการใช้ BinaryFormatter และเพิ่มการตรวจสอบ type
แนะนำให้อัปเดต WSUS server ทันที
เตือนว่า WSUS เป็นระบบที่มีสิทธิ์สูงและเสี่ยงต่อ supply chain attack

ขอบเขตผลกระทบ
ส่งผลต่อ Windows Server 2012 ถึง 2025 ทุก edition
รวมถึง Server Core installation
อาจนำไปสู่การควบคุมเครื่องลูกข่ายทั้งหมด
เป็นเป้าหมายสำคัญของแฮกเกอร์ระดับองค์กร

https://securityonline.info/critical-wsus-flaw-cve-2025-59287-cvss-9-8-allows-unauthenticated-rce-via-unsafe-cookie-deserialization-poc-available/

“ช่องโหว่ CVE-2025-54469 ใน NeuVector – เสี่ยง RCE ระดับสูงสุด! แฮกเกอร์อาจสั่งรันคำสั่งในคอนเทนเนอร์ได้ทันที”

SUSE Rancher Security ออกประกาศเตือนช่องโหว่ร้ายแรงใน NeuVector ซึ่งเป็นแพลตฟอร์มรักษาความปลอดภัยสำหรับ container โดยช่องโหว่นี้มีรหัสว่า CVE-2025-54469 และได้คะแนน CVSS เต็ม 10.0 หมายถึงความรุนแรงระดับสูงสุด

ช่องโหว่นี้เกิดจากการที่ Enforcer container ใช้ environment variables ชื่อ CLUSTER_RPC_PORT และ CLUSTER_LAN_PORT เพื่อสร้างคำสั่ง shell ผ่านฟังก์ชัน popen() โดยไม่มีการตรวจสอบหรือ sanitize ค่าที่รับเข้ามาเลย ทำให้แฮกเกอร์สามารถ inject คำสั่งอันตรายเข้าไปได้โดยตรง

เมื่อ Enforcer หยุดทำงาน มันจะตรวจสอบสถานะของ subprocess เช่น Consul โดยรันคำสั่ง shell ที่ประกอบจาก environment variables เหล่านี้ หากแฮกเกอร์สามารถควบคุมค่าตัวแปรได้ ก็สามารถสั่งรันคำสั่งใด ๆ ในระบบได้ทันที

ผลกระทบคือแฮกเกอร์อาจได้สิทธิ์ root ภายใน container, เคลื่อนไหวไปยัง container อื่นใน Kubernetes cluster, หรือแม้แต่ปิดระบบ runtime security enforcement ของ NeuVector ได้เลย

SUSE ได้ออกแพตช์ในเวอร์ชัน NeuVector v5.4.7 ซึ่งมีการตรวจสอบค่าตัวแปรก่อนนำไปใช้ในคำสั่ง shell แล้ว ผู้ใช้ควรอัปเดตทันทีเพื่อป้องกันการโจมตี

รายละเอียดช่องโหว่ CVE-2025-54469
เกิดจากการใช้ environment variables โดยไม่ sanitize
ใช้ในคำสั่ง shell ผ่านฟังก์ชัน popen()
ส่งผลให้เกิด command injection ได้
อยู่ใน Enforcer container ของ NeuVector
ได้คะแนน CVSS เต็ม 10.0

ผลกระทบจากช่องโหว่
แฮกเกอร์อาจได้สิทธิ์ root ภายใน container
เคลื่อนไหวไปยัง container อื่นใน cluster ได้
ปิดระบบ runtime security enforcement ของ NeuVector
อาจนำไปสู่การโจมตีระดับ cluster-wide
เสี่ยงต่อการถูกยึดระบบ DevSecOps ทั้งชุด

การตอบสนองจาก SUSE
ออกแพตช์ใน NeuVector v5.4.7
เพิ่มการตรวจสอบค่าตัวแปรก่อนใช้ใน shell command
แนะนำให้อัปเดตทันทีเพื่อป้องกันการโจมตี
เตือนผู้ใช้ให้ตรวจสอบ container ที่มีสิทธิ์สูง

https://securityonline.info/critical-neuvector-rce-flaw-cve-2025-54469-cvss-10-0-allows-command-injection-via-unsanitized-environment-variables/

ดร. สุชาริต ภักดี นักจุลชีววิทยาชื่อดัง ได้ออกแถลงการณ์ที่น่าตกตะลึง โดยระบุว่าวัคซีน mRNA เป็น "อันตรายร้ายแรงที่สุดที่มนุษยชาติเคยเผชิญ" แต่ข้อโต้แย้งล่าสุดของเขาไม่ใช่แค่เรื่องวิทยาศาสตร์เท่านั้น แต่ยังเป็นเรื่องถูกกฎหมายอีกด้วย

เขาชี้ให้เห็นถึงการเปลี่ยนแปลงครั้งใหญ่ในสหรัฐอเมริกา นั่นคือ การที่โรเบิร์ต เอฟ. เคนเนดี จูเนียร์ ยกเลิกคำแนะนำการฉีดวัคซีนสำหรับผู้ที่มีสุขภาพแข็งแรงและไม่มีความเสี่ยง ภักดีโต้แย้งว่า การเปลี่ยนแปลงครั้งนี้ส่งผลกระทบร้ายแรงต่อเกราะป้องกันทางกฎหมายที่ปกป้องผู้ผลิตวัคซีน

นี่คือรายละเอียดสำคัญ:

1. การล่มสลายของเกราะป้องกัน: พระราชบัญญัติความพร้อมรับมือสถานการณ์ฉุกเฉินและความพร้อมรับมือสาธารณะ (PREP) ให้ความคุ้มครองความรับผิดแก่ผู้ผลิตวัคซีน ภักดีโต้แย้งว่าการที่ยกเลิกคำแนะนำอย่างเป็นทางการสำหรับประชากรส่วนใหญ่ (ทั้งคนหนุ่มสาวและคนสุขภาพดี) ทำให้พื้นฐานทางกฎหมายสำหรับการคุ้มครองนี้ "หมดไปแล้ว"

2. การพิพากษาที่กำลังจะมาถึง: หากปราศจากเกราะป้องกันความรับผิดนี้ คดีความขนาดใหญ่ระลอกแรกในอเมริกาก็ใกล้จะเกิดขึ้น ใครก็ตามที่กล้าฉีดวัคซีนให้เด็กหรือเยาวชนที่มีสุขภาพดีโดยฝ่าฝืนคำแนะนำอย่างเป็นทางการจะถูกเปิดโปง หากเกิดการบาดเจ็บหรือเสียชีวิต ช่องทางในการฟ้องร้องเรียกค่าเสียหายก็เปิดกว้างแล้ว

3. ภาระการพิสูจน์พลิกกลับ: นี่คือประเด็นสำคัญที่สุด ภักดีระบุว่าในกรณีที่เกิดการบาดเจ็บหรือเสียชีวิตจากการฉีดวัคซีนจนเป็นอันตรายถึงชีวิต สิทธิในการกลับคืนสู่สังคมจะถูกกระตุ้น ซึ่งหมายความว่าอุตสาหกรรมยาจะถูกบังคับให้ต้องพิสูจน์ว่าวัคซีนไม่ได้ก่อให้เกิดอันตราย

ข้อสรุปของเขาคืออะไร? "พวกเขาจะทำแบบนั้นไม่ได้"

ดร.ภักดีไม่ได้วางตำแหน่งสิ่งนี้ไว้ในฐานะความปรารถนาที่จะให้เกิดอันตราย แต่เป็น "ความหวังอันยิ่งใหญ่ของฉัน" ซึ่งเป็นกลไกที่จะทำให้หน่วยงานที่มีอำนาจต้องรับผิดชอบและเปิดเผยความจริงในที่สุด

ภูมิทัศน์ทางกฎหมายได้เปลี่ยนแปลงไปอย่างสิ้นเชิง ผลกระทบมีมากมายมหาศาล

เข้าร่วม https://t.me/RogerHodkinson

“สร้างฐานข้อมูลของคุณเอง! คู่มือสร้าง Key-Value Database ตั้งแต่ศูนย์ – เข้าใจง่าย พร้อมแนวคิดระดับมืออาชีพ”

บทความนี้จาก nan.fyi พาเราย้อนกลับไปตั้งคำถามว่า “ถ้าเราไม่รู้จักฐานข้อมูลเลย แล้วต้องสร้างมันขึ้นมาเอง จะเริ่มยังไง?” คำตอบคือเริ่มจากสิ่งที่เรียบง่ายที่สุด: ไฟล์ และแนวคิดของ key-value pair เหมือน object ใน JavaScript

เริ่มต้นจากการเขียนข้อมูลลงไฟล์แบบง่าย ๆ เช่น db set 'hello' 'world' แล้วค้นหาด้วย db get 'hello' ซึ่งจะคืนค่า 'world' กลับมา แต่เมื่อข้อมูลมากขึ้น การอัปเดตและลบข้อมูลในไฟล์จะเริ่มช้า เพราะต้องเลื่อนข้อมูลทั้งหมดตาม byte ที่เปลี่ยน

เพื่อแก้ปัญหานี้ บทความเสนอให้ใช้ ไฟล์แบบ append-only คือไม่แก้ไขข้อมูลเดิม แต่เพิ่มข้อมูลใหม่ลงท้ายไฟล์เสมอ และใช้ “tombstone” เพื่อระบุว่าข้อมูลถูกลบแล้ว เช่น db set 7 null

แต่ไฟล์จะโตขึ้นเรื่อย ๆ จึงต้องมีระบบ compaction คือแบ่งไฟล์เป็น segment และค่อย ๆ ล้างข้อมูลที่ไม่จำเป็นออก แล้วรวมไฟล์ใหม่ให้เล็กลง

ต่อมาเพื่อให้ค้นหาข้อมูลเร็วขึ้น ก็ต้องมี index โดยเก็บ offset ของแต่ละ key เพื่อชี้ตำแหน่งในไฟล์ ซึ่งช่วยให้ค้นหาเร็วขึ้นมาก แต่ก็แลกกับการเขียนข้อมูลที่ช้าลง

สุดท้าย บทความแนะนำให้ใช้ Sorted String Tables (SST) และ LSM Trees ซึ่งเป็นโครงสร้างที่ใช้จริงในฐานข้อมูลระดับโลก เช่น LevelDB และ DynamoDB โดยใช้การจัดเรียงข้อมูลใน memory ก่อน แล้วค่อยเขียนลง disk พร้อม index เพื่อให้ค้นหาเร็วและเขียนได้ต่อเนื่อง

แนวคิดพื้นฐานของ Key-Value Database
ใช้ไฟล์เก็บข้อมูลแบบ key-value
ค้นหาด้วยการวนลูปหา key ที่ตรง
อัปเดตและลบข้อมูลทำได้ แต่ช้าเมื่อข้อมูลเยอะ

การปรับปรุงด้วยไฟล์แบบ append-only
เพิ่มข้อมูลใหม่ลงท้ายไฟล์เสมอ
ใช้ tombstone เพื่อระบุการลบ
ค้นหาค่าล่าสุดของ key แทนค่าตัวแรก

การจัดการขนาดไฟล์ด้วย compaction
แบ่งไฟล์เป็น segment
ล้างข้อมูลที่ล้าสมัยหรือถูกลบ
รวมไฟล์ใหม่ให้เล็กลงและมีข้อมูลล่าสุดเท่านั้น

การเพิ่มประสิทธิภาพด้วย index
เก็บ offset ของ key เพื่อค้นหาเร็วขึ้น
ใช้ hash table ใน memory สำหรับ index
แลกกับการเขียนข้อมูลที่ช้าลง

การจัดเรียงข้อมูลด้วย SST และ LSM Tree
จัดเรียงข้อมูลใน memory ก่อนเขียนลง disk
ใช้ skip list หรือ binary search tree สำหรับการจัดเรียง
เขียนลงไฟล์แบบ append-only พร้อม backup
ใช้ index เพื่อค้นหาในไฟล์ที่ถูกจัดเรียงแล้ว
เป็นโครงสร้างที่ใช้ใน LevelDB และ DynamoDB

https://www.nan.fyi/database

“Google ปล่อยแพตช์ด่วน! อุดช่องโหว่ร้ายแรงใน V8 (CVE-2025-12036) – เสี่ยงโดนเจาะระบบผ่านเว็บเพจ”

Google ได้ปล่อยอัปเดตฉุกเฉินสำหรับ Chrome เวอร์ชัน 141.0.7390.122/.123 บน Windows, macOS และ Linux เพื่ออุดช่องโหว่ร้ายแรงใน V8 JavaScript engine ซึ่งเป็นหัวใจหลักของการประมวลผลโค้ดใน Chrome และเบราว์เซอร์ที่ใช้ Chromium อื่น ๆ

ช่องโหว่นี้มีรหัส CVE-2025-12036 และถูกจัดอยู่ในระดับ “high severity” โดย Google ระบุว่าเป็น “การใช้งานที่ไม่เหมาะสมใน V8” ซึ่งอาจหมายถึง logic flaw หรือการจัดการประเภทข้อมูลที่ผิดพลาด ส่งผลให้แฮกเกอร์สามารถสร้างเว็บเพจที่เจาะระบบ renderer process ของเบราว์เซอร์ได้

หากช่องโหว่นี้ถูกนำไปใช้ร่วมกับช่องโหว่อื่น อาจนำไปสู่การขโมยข้อมูล หรือยกระดับสิทธิ์ในระบบได้เลย ซึ่งเป็นลักษณะของการโจมตีแบบ sandbox escape หรือ remote code execution ที่อันตรายมาก

Google ได้รับรายงานช่องโหว่นี้จากนักวิจัยชื่อ Big Sleep เมื่อวันที่ 15 ตุลาคม 2025 และรีบปล่อยแพตช์ภายในไม่กี่วัน พร้อมแนะนำให้ผู้ใช้ทุกคนอัปเดต Chrome โดยเข้าไปที่ Settings → Help → About Google Chrome เพื่อให้แน่ใจว่าใช้เวอร์ชันล่าสุด

ผู้เชี่ยวชาญด้านความปลอดภัยเตือนว่า ช่องโหว่ใน V8 มักถูกใช้ใน zero-day attacks และมีประวัติถูกเจาะจริงมาแล้วหลายครั้ง ดังนั้นการอัปเดตทันทีจึงเป็นเรื่องจำเป็น

รายละเอียดช่องโหว่ CVE-2025-12036
เกิดจากการใช้งานที่ไม่เหมาะสมใน V8 JavaScript engine
ส่งผลให้เว็บเพจที่ถูกสร้างขึ้นสามารถเจาะ renderer process ได้
อาจนำไปสู่การขโมยข้อมูลหรือยกระดับสิทธิ์
ถูกจัดอยู่ในระดับ high severity
รายงานโดยนักวิจัยชื่อ Big Sleep เมื่อ 15 ตุลาคม 2025

การตอบสนองจาก Google
ปล่อยอัปเดตเวอร์ชัน 141.0.7390.122/.123 สำหรับทุกระบบ
แนะนำให้ผู้ใช้เข้าไปอัปเดตผ่าน Settings → Help → About Google Chrome
Enterprise ควร deploy อัปเดตให้ครบทุกเครื่องโดยเร็ว
ช่องโหว่นี้อาจถูกใช้ใน zero-day attacks ได้

ความสำคัญของ V8 engine
เป็นหัวใจของการประมวลผล JavaScript ใน Chrome และ Chromium
ช่องโหว่ใน V8 มักถูกใช้เป็นจุดเริ่มต้นของการเจาะระบบ
มีประวัติถูกใช้ในแคมเปญโจมตีจริงหลายครั้ง

https://securityonline.info/chrome-update-new-high-severity-flaw-in-v8-engine-cve-2025-12036-requires-immediate-patch/

“Microsoft รีบปล่อยแพตช์ฉุกเฉิน KB5070773 หลังอัปเดตพัง WinRE – คีย์บอร์ดและเมาส์ USB ใช้ไม่ได้ในโหมดกู้คืน”

Microsoft ต้องรีบออกแพตช์ฉุกเฉิน KB5070773 เพื่อแก้ปัญหาที่เกิดจากอัปเดต KB5066835 ซึ่งปล่อยออกมาเมื่อ 14 ตุลาคม 2025 โดยอัปเดตนั้นทำให้ระบบ Windows Recovery Environment (WinRE) บน Windows 11 เวอร์ชัน 24H2 และ 25H2 ไม่สามารถใช้งานคีย์บอร์ดและเมาส์แบบ USB ได้เลย

ปัญหานี้ร้ายแรงกว่าที่คิด เพราะ WinRE คือเครื่องมือหลักในการกู้คืนระบบ เช่น Startup Repair หรือ Reset This PC ถ้าอุปกรณ์อินพุตใช้ไม่ได้ ก็เท่ากับว่าผู้ใช้ไม่สามารถกู้ระบบได้เลย โดยเฉพาะในกรณีที่เครื่องบูตไม่ขึ้น

สำหรับผู้ที่ยังสามารถเข้าสู่ระบบ Windows ได้ แค่ติดตั้งแพตช์ KB5070773 ผ่าน Windows Update แล้วรีบูตเครื่องก็จะใช้งานได้ตามปกติ แต่ถ้าระบบเข้าไม่ได้เลย Microsoft แนะนำให้ใช้หน้าจอสัมผัส, พอร์ต PS/2 (ถ้ามี), หรือ USB recovery drive แทน

นี่เป็นครั้งที่สองในรอบไม่กี่เดือนที่ WinRE มีปัญหาใหญ่ เพราะในเดือนสิงหาคมก็เคยมีอัปเดตด้านความปลอดภัยที่ทำให้ฟีเจอร์ Reset This PC ใช้งานไม่ได้เช่นกัน ซึ่งทำให้หลายคนเริ่มตั้งคำถามถึงคุณภาพของการทดสอบก่อนปล่อยอัปเดตของ Microsoft

รายละเอียดแพตช์ KB5070773
แก้ปัญหา USB keyboard และ mouse ใช้ไม่ได้ใน WinRE
ส่งผลกระทบกับ Windows 11 เวอร์ชัน 24H2 และ 25H2
ปัญหาเกิดจากอัปเดต KB5066835 เมื่อ 14 ตุลาคม 2025
แพตช์ใหม่สามารถติดตั้งผ่าน Windows Update ได้ทันที
แก้ไขรวมอยู่ใน rollup ถัดไปสำหรับผู้ที่พลาดแพตช์ฉุกเฉิน

ผลกระทบและคำแนะนำ
ผู้ใช้ที่เข้า Windows ได้ควรติดตั้งแพตช์ทันที
ผู้ที่ติดอยู่ใน recovery loop ต้องใช้ touchscreen, PS/2 หรือ USB recovery drive
องค์กรสามารถใช้ Preboot Execution Environment (PXE) ผ่าน Configuration Manager

บริบทและความน่ากังวล
เป็นปัญหา WinRE ครั้งที่สองในรอบ 2 เดือน
ครั้งก่อนในเดือนสิงหาคมทำให้ Reset This PC ใช้งานไม่ได้
สะท้อนความเปราะบางของระบบอัปเดต Windows
Microsoft ยังไม่อธิบายว่าบั๊กนี้หลุดจากการทดสอบได้อย่างไร

https://www.tomshardware.com/software/windows/microsoft-rushes-out-emergency-windows-11-patch

“แฮกเกอร์ใช้ช่องโหว่ OAuth เจาะระบบคลาวด์ – เปลี่ยนรหัสผ่านก็ไม่ช่วย!”

นักวิจัยจาก Proofpoint ออกมาเตือนว่า ตอนนี้แฮกเกอร์กำลังใช้ช่องโหว่ในระบบ OAuth เพื่อเจาะเข้าระบบคลาวด์ขององค์กรต่าง ๆ และที่น่ากลัวคือ แม้จะเปลี่ยนรหัสผ่านหรือเปิดใช้ MFA (Multi-Factor Authentication) ก็ยังไม่สามารถไล่แฮกเกอร์ออกจากระบบได้!

วิธีการคือ แฮกเกอร์จะใช้บัญชีที่ถูกเจาะเข้าไปสร้างแอปภายในที่มีสิทธิ์เข้าถึงข้อมูลต่าง ๆ เช่น ไฟล์ อีเมล หรือระบบสื่อสาร แล้วอนุมัติแอปนั้นให้ทำงานได้อย่างถาวร แม้บัญชีผู้ใช้จะถูกเปลี่ยนรหัสหรือปิดการใช้งาน แอปที่ถูกสร้างไว้ก็ยังคงทำงานอยู่ ทำให้แฮกเกอร์สามารถเข้าถึงระบบได้ต่อเนื่อง

มีกรณีตัวอย่างที่นักวิจัยพบว่า หลังจากผู้ใช้เปลี่ยนรหัสผ่านแล้ว ยังมีการพยายามล็อกอินจาก IP ในไนจีเรีย ซึ่งคาดว่าเป็นต้นทางของแฮกเกอร์ แต่แอปที่ถูกสร้างไว้ยังคงทำงานได้ตามปกติ

ช่องโหว่นี้ไม่ใช่แค่ทฤษฎี เพราะมีการใช้งานจริงแล้วในหลายกรณี และอาจนำไปสู่การขโมยข้อมูล การแฝงตัวในระบบ และการโจมตีต่อเนื่องแบบเงียบ ๆ โดยที่องค์กรไม่รู้ตัว

วิธีการโจมตีผ่าน OAuth
แฮกเกอร์ใช้บัญชีที่ถูกเจาะสร้างแอปภายในที่มีสิทธิ์เข้าถึงข้อมูล
แอปได้รับการอนุมัติให้ทำงานอย่างถาวร
แม้เปลี่ยนรหัสผ่านหรือเปิด MFA แอปยังคงทำงานได้
แอปสามารถเข้าถึงไฟล์ อีเมล และระบบสื่อสารภายใน
เป็นการโจมตีแบบ “Adversary-in-the-middle” ที่แฝงตัวในระบบ

กรณีตัวอย่างจาก Proofpoint
พบการล็อกอินจาก IP ในไนจีเรียหลังเปลี่ยนรหัสผ่าน
แอปยังคงทำงานได้แม้บัญชีถูกเปลี่ยน
เป็นการโจมตีที่เกิดขึ้นจริง ไม่ใช่แค่ทฤษฎี
นักวิจัยสร้างเครื่องมือจำลองการโจมตีเพื่อศึกษารูปแบบ

แนวทางป้องกันและคำแนะนำ
ต้องตรวจสอบสิทธิ์ของแอปภายในอย่างสม่ำเสมอ
ควรมีระบบตรวจสอบและแจ้งเตือนเมื่อมีการสร้างแอปใหม่
การลบสิทธิ์ของแอปเป็นวิธีเดียวที่จะหยุดการเข้าถึง
แอปที่ได้รับสิทธิ์จะมี credential ที่ใช้ได้นานถึง 2 ปี

https://www.techradar.com/pro/security/hackers-are-exploiting-oauth-loophole-for-persistent-access-and-resetting-your-password-wont-save-you

เรื่อง ห้องทดลอง
“ห้องทดลอง”

(1)

ผ่านไปไม่กี่วัน จากไปเดินเรียงแถวคล้องแขน แสดงความเสียใจกับเหตุการณ์น่า สลดที่ปารีส ฝรั่งเศส เมื่อวันอาทิตย์ที่ 11 มกราคม ค.ศ. 2015 ตุรกี ที่ส่งนายกรัฐมนตรี นาย Amed Davutoglu ไปร่วมเดินห่างไม่กี่แถว กับคู่แค้น Benjamin Netanyahu นายกรัฐมนตรีของอิสราเอล ก็เกิดอาการเบรคแตก

Independent สื่อค่ายชาวเกาะใหญ่เท่าปลายนิ้วก้อยฯ ฉบับวันที่ 14 มกราคม 2015 รายงานว่า ประธานาธิบดี RecepTayip Erdogan ของตุรกี ให้ข่าวทันที ว่า

” พวกตะวันตก the west กำลังเล่นเกมส์ เล่นกันกลางกรุงปารีส ด้วยโดยการโยนให้มุสลิมเป็นเหยื่อ …คนฝรั่งเศส เป็นคนจัดการให้มีการฆ่า แล้วโยนบาปมาให้คนมุสลิม ฝ่ายข่าวกรองของฝรั่งเศส ไม่รู้จักตามรอยคนออกมาจากคุกหรือไง? หลังจากเกิดเหตุ ก็มีการโจมตีสุเหร่าของอิสลาม …เห็นชัดถึงการตอแหล จอมปลอมของพวกตะวันตก เราไม่เคยมีส่วนร่วมในการก่อการร้ายใดเลย …เบื้องหลังเรื่องนี้ มันเกี่ยวกับการแบ่งแยกเรื่องเชื้อชาติ สร้างคำพูดใส่ร้าย และสร้างความเกลียดชังให้กับพวกมุสลิม”

“กำลังมีการเล่นเกมส์กับโลกมุสลิม เราต้องรับรู้เรื่องนี้กันไว้ ” นาย Erdogan กล่าวเพิ่ม

สหภาพมุสลิมในฝรั่งเศสรายงานว่า ตั้งแต่เกิดเหตุ มีเหตุการณ์ที่แสดงถึงการต่อต้านมุสลิมประมาณ 50 รายการ ซึ่งรวมถึงการไล่ยิง และการพยายามเผาสุเหร่า

นาย Erdogan ยังไม่จบง่ายๆ ด่าฝากแถมไปถึงการไปเดินเรียงแถวของ นาย Netanyahoo ว่า
เขาทำไปได้ยังไง ทำไมคนที่สั่งฆ่าคน 2,500 คน ที่กาซ่า ยังมีหน้ามาเดินโบกมืออยู่ในปารีส เหมือนมีคนมาคอยต้อนรับด้วยความตื่นเต้น กล้าดีไปเดินอยู่ที่นั่นได้ยังไง ไม่นึกถึง เด็กและผู้หญิง ที่ตัวเองฆ่าบ้างเลยหรือ”

คงยังไม่หนำใจ นายกเทศมนตรี เมืองหลวง Ankara ของตุรกี ช่วยออกมาเสริมอีก
” นี่ต้องเป็นผลงานของ Mossad ( หน่วยสืบราชการลับของอิสราเอล ที่ฝีมือชั่วไม่แพ้ CIA หรืออาจจะมากกว่า! ) อยู่เบื้องหลังแน่นอน เป็นการเพิ่มความรังเกียจต่อคนอิสลาม”

โห รายการนี้ด่ากันแรงนะครับ ถ้าตุรกีไม่ได้ไปถูกเสี้ยนตำตีน หรือเหยียบไปบนขี้หมากองโต ที่กลางกรุงปารีส ระหว่างเดินเรียงแถวกันละก้อ สงสัยต้องมีเรื่องใหญ่คิดการณ์เอาไว้แล้ว ถึงได้ตอกใส่กันแรงขนาดนี้

ฝ่ายอิสราเอล ก็ไม่ใช่เล่น ถูกด่าปั้บ ออกมาตอกกลับทันที ยังกะสั่งหนังสือพิมพ์ ให้ออกข่าวรอล่วงหน้า เหมือนกับรู้ว่า อีกฝ่ายจะพูดอะไร

วันที่ 14 มกราคม วันเดียวกัน หนังสือพิมพ์ the Jerusalem Post ลงข่าวว่า นายกรัฐมนตรี Netanyahoo และรัฐมนตรีต่างประเทศ นาย Avigdor Liberman บอกว่า นาย Erdogan ของตุรกี เป็นพวกเกลียดยิว anti-Semitic เป็นเพื่อนบ้านจอมป่วน และกล่าวอ้อมๆว่า ตุรกีให้การสนับสนุนแก่ผู้ก่อการร้าย

” การปราบปรามผู้ก่อการร้าย ไม่มีวันทำสำเร็จหรอก ถ้าเรายังใช้วิธีเสแสร้ง หน้าไหว้หลังหลอกกันอยู่อย่างนี้ เราไม่ได้ยินผู้นำระดับโลกคนใดเลย ออกมามาประนามคำพูดของนาย Erdogan ไม่มีสักคนจริงๆ ” นาย Netanyahoo สำทับ

คำสำทับนี้ดูเหมือนไม่ได้ส่งกลับ ไปที่ นาย Erdogan แต่น่าจะส่งไปไกลกว่านั้น

เป็นที่รู้กันอยู่ว่า ตอนนี้นายโอบามา ไม่หวานชื่นกับ Nethanyahoo ไม่เหมือน ประธานาธิบดีอเมริกันคนอื่นๆ ที่คอยเอาใจพวกยิว โดยเฉพาะ ก่อนการเลือกตั้ง

ขณะที่อิสราเอลเหน็บอเมริกา ตุรกี ซึ่งอเมริกามองว่าเป็นลูกกระเป๋งมาตลอด แต่กลับเป็นหนึ่งในไม่กี่ประเทศในโลก ที่ให้การสนับสนุนอย่างเปิดเผยต่อ องค์กรฮามาส Hamas ที่สนับสนุนการเคลื่อนไหวของชาวปาเลสไตน์ และเป็นองค์กรที่อเมริกา และสหภาพยุโรป ต่างขึ้นบัญชีดำ ให้เป็นผู้ก่อการร้ายระดับสำคัญ แต่ดูเหมือนตุรกีจะไม่สนใจ
แถมล่าสุดเมื่อปลายเดือนธันวา คม ปี 2014 ตุรกีได้เชิญ นาย Khaled Meshaal หัวหน้ากลุ่มฮามาส ไปเยียนตุรกี และเอานาย Meshaal ไปเข้าร่วมประชุมพรรค AKP ของประธานาธิบดี Erdogan ด้วย แน่จริงๆ เรียกว่าท้าทายกันแบบไม่เกรงใจใครเลย
เอะ แล้วตุรกีต้องเกรงใจใครหรือ?!

ข่าวหัวหน้าฮามาส ไปเดินฉุยฉายลอยชายอยู่ตุรกี แน่นอนยอมมีคนหงุดหงิด นักล่าใบตองแห้งหงุดหงิดง่ายอ ยู่แล้ว แค่ลมพัดใบตองแห้ง แกว่งแรงไปหน่อย ยังออกเสียงฮึมแฮ่เลย นี่หัวหน้าฮามาส ที่นักล่า อยากขยี้มาหลายรอบ แต่ไม่สำเร็จ ตอนนี้ลงทุนเปลี่ยนแผน ขยี้ไม่ตาย แต่ถ้าซื้อขายอาจจะโอเคมั่งนะ แต่ขอโทษ ฮามาส นอกจากไม่ยอมขายตัวแล้ว ยังไปนั่งสบายใจ เฮฮา กับสุดยอดนักไต่ลวด นายErdogan แชมป์เล่นเกมเสียว เหมือนโชว์ให้ใครดูเสียอีก แบบนี้นักล่าหรือจะปล่อยไปเฉยๆ

วันที่ 8 มกราคม คศ 2015 คุณหนูเจน Psaki โฆษก กระทรวงการต่างประเทศของนักล่า เลยต้องออกมาทำหน้าเครียดแถลงข่าวว่า

” ท่าทีของเราต่อขบวนการฮามาสยังไม่เปลี่ยนนะ ฮามาสคือองค์กรต่างประเทศที่เกี่ยวพันกับการก่อการร้ายมาอย่างต่อเนื่อง และฮามาส ได้แสดงให้เห็นถึงเจตนาอย่างชัดเจนในช่วงฤดูร้อนที่ผ่านมา (ช่วงสิงหาคม ปีที่แล้ว) ในความขัดแย้งกับอิสราเอล”

“เรามีความเป็นห่วงเกี่ยวกับเรื่องความสัมพันธ์ระหว่างตุรกีกับฮามาส และเมื่อรู้ว่า Meshaal ไปเยี่ยมตุรกี เราได้ขอให้รัฐบาลตุรกีกดดันฮามาส เพื่อลดความตึงเครียดและป้องกันความรุนแรง” แหม คุณหนู ช่างไม่มีศิลปะในการพูดเสียเลย มิน่าแถลงข่าวที่ไร ถูกนักข่าวหนุ่มๆ ต้อนจนติดอ่าง ฮา

ขณะเดียวกันมีข่าวว่า รัฐมนตรีต่างประเทศของตุรกีบอกว่า ตุรกียินดีต้อนรับ Khaled Meshaal หัวหน้าฮามาส หลังจากมีข่าวว่า Meshaal ซึ่งลี้ภัยไปอยู่ที่กาต้าร์ ได้ถูกทางการของกาต้าร์ ขับออกนอกประเทศแล้ว และเขาอาจจะไปตุรกี

เมื่อผู้สื่อข่าวถามถึงเรื่องนี้ รัฐมนตรีต่างประเทศตุรกีบอกว่า ไม่ว่าใคร จะเป็นคนของประเทศใด ก็สามารถเข้าออกตุรกีได้อยู่แล้ว ตราบใดที่ไม่มีปัญหาด้านกฏหมาย นี่มันต้องตอบแบบกลิ้งได้หลายตลบอย่างนี้ สมกับเป็นพวกนักไต่ลวดจริงๆ นักล่าใบตองแห้งน่าจะส่งคุณหนู Psaki มาฝึกงานแถวตุรกีซะหน่อยนะ ฮาอีกครั้ง

อเมริกา อิสราเอล และตุรกี กำลังมีอะไรคาใจ หรือเล่นบทอะไรกันอยู่หรือ ถึงใช้วิธีเหมือนกาฝาก บินโฉบทิ้งของที่ระลึก แล้วแฉลบข้ามไปต่อ

#######
(2)

ฝ่ายทางกลุ่มฮามาสเองก็ฉุนขาด เมื่อได้ฟังคำวิจารณ์ของอเมริกา เกี่ยวกับการไปนั่งชมวิวตุรกีของนายMehsaal ที่ถ่ายทอดโดยฝีปากของคุณหนู Psaki บอกว่าอเมริกาสามหาว และเหยียดเผ่าพันธ์มากไปแล้ว รัฐบาลอเมริกากำลังไต่อันดับ ทำตัวเข้าข่ายเป็นศัตรูที่แท้จริงของพวกเขาทีเดียว ทั้งนี้ตามคำแถลงของ Al-Qassam Brigades ฝ่ายกองทัพของกลุ่มฮามาส

ส่วนเรื่องกาต้าร์ขับไล่ นายMeshaal ออกจากประเทศ กาต้าร์ไม่ยืนยัน แต่เมื่อเดือนสิงหาคม ปีที่แล้ว กาต้าร์ขับไล่ระดับหัวหน้าของ Muslim Brotherhood 7 คน ที่กาต้าร์เลี้ยงดูไว้นานแล้วออกจากประเทศ เพื่อเป็นการเอาใจพวกราชวงศ์เสี่ยน้ำมันตะวันออกกลาง และรัฐบาลอียิปต์ อืม มาแปลก

กาต้าร์ไม่ใช่นายทุนรายเดียวที่สนับสนันเลี้ยงดู Muslim Brotherhood ตุรกีก็สนับสนุนเช่นเดียวกัน

Muslim Brotherhood เป็นกลุ่มอิสลามฝักใฝ่การเมือง ที่รวมตัวกันขึ้นมาโดยมีวัตถุประสงค์ที่จะโค่นล้มรัฐบาลอิสลาม ที่อยู่ใต้อิทธิพลของอเมริกา ตุรกีย่อมให้การสนับสนุนไว้ก่อน เพราะยังไม่แน่ใจอนาคตของตนเอง ส่วนกาต้าร์ละ เข้าไปเกี่ยวอะไรด้วย

เมื่ออียิปต์เกิดอาหรับสปริง ที่ไม่แน่ว่า สาเหตุจะมาจากการที่ นายมูบารัค ของอียิปต์มีนโยบายเกี่ยวกับปาเลสไตน์ สวนทางกับอิสราเอลหรือเปล่า และอเมริกาภายใต้การกดดันของอิสราเอล จึงส่งอาหรับสปริง เป็นของขวัญให้นายมูบารัค

ลูกไปเข้าทางของ Muslim Brotherhood อิยิปต์จึงได้ นาย Mohamed Morsi ของ Muslim Brotherhood มาเป็นนายกรัฐมนตรี ซึ่งเป็นเรื่องถูกใจตุรกีอย่างยิ่ง เพราะถ้าอิยิปต์ซึ่งมีอาณาเขต ด้านหนึ่ง ติดกับด้านใต้ของอิสราเอล มีผู้มีอำนาจปกครองเป็นพวกเดียวกับตุรกี เมื่อไหร่ที่อิสราเอลทำซ่า อาละวาดใส่ปาเลสไตน์ที่ตุรกีสนับสนุนมาตลอด ตุรกีกับอิยิปต์ซึ่งมีอาณาเขตประกบหัวท้ายอิสราเอลอยู่ คิดเล่นแซนด์วิช ผลัดกันโยนหัวปลีข้ามใส่อิสราเอล ก็น่าจะลดความกร่างของอิสราเอลไปได้บ้าง
และก็เพราะการเดินสัมพันธ์ระหว่างประเทศแบบนี้ ในช่วงหลังๆของตุรกี โดยเฉพาะในประเด็นที่เกี่ยวกับอิสราเอล สัมพันธ์ระหว่างอเมริกากับตุรกี จึงไม่หวานอย่างเดิม และมีส่วนให้ นาย Morsi ของ Muslim Brotherhood น่าจะถูกใบสั่ง ให้ทหารอียิปต์ทำการปฏิวัติซ้อน ทำเอา นาย Morsi หล่นจากแท่นอำนาจไปอย่างรวดเร็ว หลังจากขึ้นมามีอำนาจได้เพียงปีเดียว ดูกันไว้เป็นตัวอย่างนะครับ ว่าเขาเล่นเกมกันอย่างไร

นอกจากมีเรื่องกับอิสราเอลแล้ว เรื่องซีเรียก็เป็นปัญหาใหญ่ อเมริกาบอกชักจะเบื่อการเล่นเกมของตุรกี ที่พักหลังมีแต่ all pain, no gain แล้วนะ เราชักอยากให้ตุรกีเลือกข้างมาให้ชัดๆเลย เราไม่สนใจ และไม่เดือดร้อนเลย ถ้าไม่ได้ใช้ฐานทัพของเรา ที่อยู่ในตุรกีเพื่อทำการฝึกให้กับฝ่ายต่อต้านไอซิส หรือต่อต้านซีเรีย เราไม่ได้ต้องการให้กองทัพตุรกี ไปสู้ศึกที่ซีเรีย ที่เราต้องต้องการให้ตุรกีทำคือ ให้ตุรกีไปสืบดูให้ได้ และขจัดเส้นทางเข้าออกของผู้ก่อการร้าย เครือข่ายการธุรกิจ และการเงิน ที่ทำผ่านตุรกี ไปให้ซีเรีย ที่ทำให้กลุ่มผู้ก่อการร้ายนี้โตขึ้นอย่างมากใน 3 ปีที่ผ่านมาเท่านั้น แต่ตุรกีทำไม่ได้ หรือไม่ทำให้อเมริกา

จะให้เข้าใจเรื่องนี้ดีขึ้น ผมขอแนะนำให้ท่านผู้อ่าน ไปเอาแผนที่มากางดู อียิปต์อยู่ด้านล่าง ถัดขึ้นมาข้างบนเอียงขวาหน่อย เป็นอิสราเอล เหนืออิสราเอลเป็นเลบานอน ระหว่างอิสราเอลกับเลบานอนมีเนื้อที่แถบเล็กๆ คือปาเลสไตน์ เหนือเลบานอนเป็นซีเรียและอิรัค เหนือชีเรียเป็นตุรกี เหนือตรุกีเป็นจอร์เจีย ใกล้กับเขตแดนรัสเซีย เหนืออิรัคเป็นอิหร่าน ซึ่งมีเขตแดนติดกับรัสเซียยาวเหยียด

เล่าแผนที่มายาว เพื่อให้เห็นความสำคัญของปาเลสไตน์ เลบานอน ซีเรีย ตุรกี อิรัค และอิหร่าน ซึ่งเหมือนขนมชั้น ขวางทางเข้าสู่รัสเซีย มันเป็นขนมชั้นที่มีความสำคัญ ทั้งในมิติของสงครามภูมิภาค และมิติสงครามโลก !

และหมากที่จะเดินให้เป็นสงครามภูมิภาค หรือสงครามโลกตัวสำคัญตัวหนึ่งของฝ่ายอเมริกาคือ อิสราเอล ซึ่งมีอิทธิพล และเล่ห์เหลี่ยมสูงมาก ถึงขนาด อาจจะเป็นตัวบีบ ให้อเมริกาเดินหมากตัวอื่นตามที่ตนเองต้องการ เผลอๆอาจจะเหลี่ยมสูง ถึงขนาดบีบให้ตัวอเมริกาเอง เดินตามที่อิสราเอลหลอกให้เดินก็มีทางเป็นไปได้

ในขณะที่ตุรกีเป็นหมากตัวใหม่ ที่เหมือนแสดงตัวเปิดเผยว่า เราไม่ใช่อยู่ฝ่ายอเมริกาแล้วนะ ตุรกีและ อิหร่าน น่าจะเป็นหมากที่เดินตามจังหวะที่น่าสนใจ ให้กับฝ่ายรัสเซียในตะวันออกกลาง

การขยับของอิสราเอล ตุรกี และอิหร่าน ย่อมมีความหมาย ไม่น้อยกว่าการขยับของฝรั่งเศส อังกฤษ และเยอรมัน ในยุโรป มันดูเหมือนเป็นคนละเรื่อง แต่มันอาจจะเป็นเรื่องเดียวกัน หรือต่อเนื่องกัน จึงโปรดอย่าลืมจับตา คอยดูการขยับของหมากทั้ง 6 ตัวนี้

#####
(3)

อิหร่าน เป็นหมากอีกตัวที่สำคัญของฝ่ายรัสเซีย เพราะมีข่าวว่า กำลังพัฒนาอาวุธนิวเคลียร์อย่าง ซุ่มเงียบ อเมริกานักล่าใบตองแห้ง แน่นอน ย่อมหงุดหงิดออกอาการ น้ำลายฟูมปาก แต่ก็คิดหนัก เพราะอิหร่านนั้น เหมือนผีดิบคืนชีพ โดนอเมริกาบดขยี้มาหลายรอบ ไม่ตายคาที่เสียที แค่ช้ำใน กลัดหนองอยู่นาน ปล่อยให้อิหร่านพัฒนานิวเคลียร์ไปเรื่อยๆ นอกจากเป็นการเสริมเขี้ยวเล็บให้ ทั้งอิหร่านเอง และช่วยฝ่ายรัสเซียแล้ว ยังทำให้อิสราเอลไข้ขึ้น รู้สึกหนาวสั่นกลางแดดได้ ในตะวันออกกลาง แต่สูตรยาขจัดอิหร่านแบบยกเดียวจบ อเมริกายังคิดไม่สำเร็จ

อิสราเอลตัวแสบ ต้องรู้อะไรลึกและมีแผนซับซ้อน จึงหนุน แนะ หรือสั่งให้อเมริกาใช้วิธีเจรจากับอิหร่านไปพลางๆก่อน และอเมริกาก็หันมาสั่งสหภาพยุโรปอีกต่อ เจรจากับอิหร่านต่อไปนะพวก เอะ ตกลงใครใหญ่กันแน่

การเจรจากับอิหร่านในปี 2014 ดูเหมือนราบรื่นดี ผู้ที่รับบทหนักในการเดินสาย เดินสารปั่นหัว เหล่าคณะกรรมการเจรจาเรื่องนิวเคลียร์ กับอิหร่าน คือ รัฐมนตรีด้านงานข่าวกรอง Minister of Intelligence ของอิสราเอล นาย Yuval Steinitz ซึ่งเดินทางจนนักข่าวแซวว่า ได้ไมล์เลจเป็นบัตรแพลตินั่มหลายใบแล้ว นาย Steinitz เป็นคนไปเอาเอกสารลับมาป้อนให้ คณะกรรมการเจรจา เอาไว้ยันหน้ากับอิหร่าน นอกจากนั้น ทีมงานข่าวกรองของอิสราเอล หน่วยงาน Mossad ก็ทำงานหนัก เพราะเป็นตัวจริง

“Microsoft แก้ไขช่องโหว่ร้ายแรงที่สุดใน ASP.NET Core — ช่องโหว่ HTTP Request Smuggling ที่อาจทำให้เซิร์ฟเวอร์ล่ม” — เมื่อช่องโหว่ระดับ 9.9/10 เปิดทางให้แฮกเกอร์เข้าถึงข้อมูล ลบไฟล์ และทำให้ระบบพังได้ในคำขอเดียว

Microsoft ได้ออกแพตช์แก้ไขช่องโหว่ CVE-2025-55315 ซึ่งเป็นบั๊กประเภท “HTTP request smuggling” ที่เกิดขึ้นใน Kestrel web server ของ ASP.NET Core โดยช่องโหว่นี้ได้รับคะแนนความรุนแรงสูงถึง 9.9 เต็ม 10 ซึ่งถือเป็นระดับ “critical” และเป็นหนึ่งในช่องโหว่ที่ร้ายแรงที่สุดเท่าที่เคยพบในผลิตภัณฑ์ของ Microsoft

ช่องโหว่นี้เปิดทางให้ผู้โจมตีที่ไม่ได้รับการยืนยันตัวตนสามารถ “ซ่อนคำขอ HTTP ที่สอง” ไว้ในคำขอแรกได้ ทำให้สามารถข้ามการตรวจสอบสิทธิ์ เข้าถึงข้อมูลผู้ใช้คนอื่น ลบหรือแก้ไขไฟล์ และแม้แต่ทำให้เซิร์ฟเวอร์ล่มได้

Microsoft ได้ออกอัปเดตสำหรับ .NET และ Visual Studio หลายเวอร์ชัน รวมถึงแนะนำวิธีแก้ไขเฉพาะสำหรับผู้ใช้แต่ละกลุ่ม เช่น ผู้ใช้ .NET 8, .NET 2.3 และแอปแบบ single-file/self-contained

Barry Dorrans ผู้จัดการด้านความปลอดภัยของ .NET ระบุว่า คะแนน 9.9 อาจดูสูงเกินจริง แต่การให้คะแนนนั้นอิงจาก “กรณีเลวร้ายที่สุด” ที่แอปพลิเคชันอาจเปิดช่องให้ bypass ระบบความปลอดภัยได้โดยตรง ซึ่งขึ้นอยู่กับว่าแต่ละแอปเขียนมาอย่างไร

Microsoft แก้ไขช่องโหว่ CVE-2025-55315 ใน ASP.NET Core
เป็นช่องโหว่ประเภท HTTP request smuggling ที่เกิดใน Kestrel web server

ช่องโหว่นี้ได้รับคะแนนความรุนแรง 9.9/10
ถือเป็นหนึ่งในช่องโหว่ที่ร้ายแรงที่สุดในผลิตภัณฑ์ของ Microsoft

ผู้โจมตีสามารถส่งคำขอ HTTP ซ้อนกันในคำขอเดียว
ทำให้ข้ามการตรวจสอบสิทธิ์ เข้าถึงข้อมูล และทำให้เซิร์ฟเวอร์ล่ม

Microsoft ออกอัปเดตสำหรับ .NET และ Visual Studio หลายเวอร์ชัน
รวมถึง ASP.NET Core 2.3, 8.0, 9.0 และแพ็กเกจ Kestrel Core

วิธีแก้ไขสำหรับผู้ใช้ .NET 8 หรือใหม่กว่า
ติดตั้งอัปเดตผ่าน Microsoft Update

วิธีแก้ไขสำหรับผู้ใช้ .NET 2.3
อัปเดตแพ็กเกจ Kestrel Core เป็นเวอร์ชัน 2.3.6 แล้ว recompile และ redeploy

วิธีแก้ไขสำหรับแอปแบบ self-contained/single-file
ติดตั้งอัปเดต .NET แล้ว recompile และ redeploy

Barry Dorrans ระบุว่าคะแนนความรุนแรงอิงจากกรณีเลวร้ายที่สุด
เพราะขึ้นอยู่กับว่าแต่ละแอปเขียนมาอย่างไร

https://www.techradar.com/pro/security/microsoft-fixes-one-of-its-highest-ever-rated-security-flaws-heres-what-happened

“AWS ล่มครั้งใหญ่ — บริการออนไลน์ทั่วสหรัฐฯ ปั่นป่วนตั้งแต่เกมยันธนาคาร” — เมื่อโครงสร้างพื้นฐานอินเทอร์เน็ตล่ม ส่งผลกระทบเป็นลูกโซ่ทั่ววงการดิจิทัล

Amazon Web Services (AWS) ประสบปัญหาการล่มครั้งใหญ่ในภูมิภาค US-EAST-1 ส่งผลให้บริการออนไลน์จำนวนมากไม่สามารถใช้งานได้ โดยเริ่มตั้งแต่ช่วงตี 3 ตามเวลา ET และกินเวลานานหลายชั่วโมง

AWS ระบุว่าปัญหาเกิดจากการแก้ไข DNS สำหรับ DynamoDB API endpoint ซึ่งส่งผลกระทบต่อบริการอื่น ๆ ที่พึ่งพา endpoint นี้ เช่น IAM, Global Tables และระบบ Support Case โดยผู้ใช้ไม่สามารถสร้างหรืออัปเดตเคสได้ในช่วงเวลานั้น

บริการที่ได้รับผลกระทบมีทั้งแพลตฟอร์มเกม (Roblox, Fortnite, Epic Games), แอปสื่อสาร (Zoom, Signal), ธนาคาร (Chime, Venmo, Robinhood), สตรีมมิ่ง (Max, Hulu, Disney+, Roku), โซเชียลมีเดีย (Snapchat, Reddit), และแม้แต่ระบบผู้ให้บริการโทรศัพท์ (AT&T, Verizon, T-Mobile)

แม้ AWS จะเริ่มเห็นสัญญาณการฟื้นตัวตั้งแต่ตี 5 และยืนยันว่าบริการส่วนใหญ่กลับมาใช้งานได้แล้ว แต่ยังมี backlog ของคำขอที่ค้างอยู่ ซึ่งอาจทำให้การฟื้นตัวเต็มรูปแบบใช้เวลานานกว่าที่คาด

AWS ล่มในภูมิภาค US-EAST-1 ตั้งแต่ตี 3 ET
ส่งผลให้หลายบริการไม่สามารถใช้งานได้

ปัญหาเกิดจาก DNS ของ DynamoDB API endpoint
ส่งผลกระทบต่อ IAM และ Global Tables ด้วย

ผู้ใช้ไม่สามารถสร้างหรืออัปเดต Support Case ได้
แนะนำให้ retry คำขอที่ล้มเหลว

บริการที่ได้รับผลกระทบมีหลากหลายประเภท
เกม, สื่อสาร, ธนาคาร, สตรีมมิ่ง, โซเชียล, โทรคมนาคม

AWS เริ่มฟื้นตัวตั้งแต่ตี 5 และยืนยันว่าบริการส่วนใหญ่กลับมาแล้ว
แต่ยังมี backlog ที่ต้องจัดการ

https://www.tomshardware.com/tech-industry/colossal-aws-outage-breaks-the-internet-roblox-fortnite-zoom-and-beyond-all-crippled