• “วิธีเอาน้ำออกจากช่องชาร์จมือถือ — ทำผิดวิธีอาจพังหนักกว่าเดิม” — เมื่อการใช้ไดร์เป่าผมหรือข้าวสารไม่ใช่คำตอบ และการอบแห้งคือทางรอดที่แท้จริง

    บทความจาก SlashGear แนะนำวิธีจัดการเมื่อน้ำเข้าไปในช่องชาร์จมือถือ ซึ่งอาจเกิดจากอุบัติเหตุเล็ก ๆ เช่นทำตกน้ำ หรือโดนเครื่องดื่มหกใส่ แม้จะดูน่ากังวล แต่หากจัดการอย่างถูกวิธี ก็สามารถช่วยให้มือถือกลับมาใช้งานได้ตามปกติ

    สิ่งแรกที่ควรทำคือ “ปิดเครื่องทันที” และถอดอุปกรณ์เสริมทั้งหมด จากนั้นใช้ผ้าแห้งที่ไม่มีขุยเช็ดบริเวณช่องชาร์จอย่างระมัดระวัง ห้ามใช้ไดร์เป่าผมหรือจุ่มลงในข้าวสาร เพราะอาจทำให้เกิดความเสียหายมากขึ้น

    วิธีที่แนะนำคือ:
    เขย่าเครื่องเบา ๆ หรือเคาะกับฝ่ามือเพื่อให้น้ำออก
    วางไว้ในห้องที่มีอากาศถ่ายเทดี หรือใช้พัดลมเป่าช่วย
    ใส่ในถุงซิปล็อกพร้อมซองซิลิกาเจลเพื่อดูดความชื้น

    หากช่องชาร์จแห้งแล้วแต่ยังชาร์จไม่ได้:
    ลองเปลี่ยนสายชาร์จ เพราะสายที่เปียกอาจทำให้ระบบตรวจจับความชื้นยังทำงานอยู่
    สำหรับ Samsung: เข้า Settings > Apps > Show system apps > USB Settings > Clear cache
    สำหรับ Android รุ่นอื่น: ลองหาการตั้งค่า USB ใน System Apps
    สำหรับ iPhone: ไม่มีตัวเลือก USB Settings ให้เคลียร์ cache — ลองรีสตาร์ทเครื่องแทน

    หากยังไม่สามารถชาร์จได้ อาจเกิดจากความเสียหายภายในหรือการกัดกร่อนของวงจร ควรนำเครื่องไปตรวจสอบที่ศูนย์บริการ หรือใช้การชาร์จแบบไร้สายชั่วคราวหากรองรับ

    https://www.slashgear.com/1999314/how-to-remove-water-from-phone-charging-port/
    💧 “วิธีเอาน้ำออกจากช่องชาร์จมือถือ — ทำผิดวิธีอาจพังหนักกว่าเดิม” — เมื่อการใช้ไดร์เป่าผมหรือข้าวสารไม่ใช่คำตอบ และการอบแห้งคือทางรอดที่แท้จริง บทความจาก SlashGear แนะนำวิธีจัดการเมื่อน้ำเข้าไปในช่องชาร์จมือถือ ซึ่งอาจเกิดจากอุบัติเหตุเล็ก ๆ เช่นทำตกน้ำ หรือโดนเครื่องดื่มหกใส่ แม้จะดูน่ากังวล แต่หากจัดการอย่างถูกวิธี ก็สามารถช่วยให้มือถือกลับมาใช้งานได้ตามปกติ สิ่งแรกที่ควรทำคือ “ปิดเครื่องทันที” และถอดอุปกรณ์เสริมทั้งหมด จากนั้นใช้ผ้าแห้งที่ไม่มีขุยเช็ดบริเวณช่องชาร์จอย่างระมัดระวัง ห้ามใช้ไดร์เป่าผมหรือจุ่มลงในข้าวสาร เพราะอาจทำให้เกิดความเสียหายมากขึ้น วิธีที่แนะนำคือ: 💧 เขย่าเครื่องเบา ๆ หรือเคาะกับฝ่ามือเพื่อให้น้ำออก 💧 วางไว้ในห้องที่มีอากาศถ่ายเทดี หรือใช้พัดลมเป่าช่วย 💧 ใส่ในถุงซิปล็อกพร้อมซองซิลิกาเจลเพื่อดูดความชื้น หากช่องชาร์จแห้งแล้วแต่ยังชาร์จไม่ได้: ⚡ ลองเปลี่ยนสายชาร์จ เพราะสายที่เปียกอาจทำให้ระบบตรวจจับความชื้นยังทำงานอยู่ ⚡ สำหรับ Samsung: เข้า Settings > Apps > Show system apps > USB Settings > Clear cache ⚡ สำหรับ Android รุ่นอื่น: ลองหาการตั้งค่า USB ใน System Apps ⚡ สำหรับ iPhone: ไม่มีตัวเลือก USB Settings ให้เคลียร์ cache — ลองรีสตาร์ทเครื่องแทน หากยังไม่สามารถชาร์จได้ อาจเกิดจากความเสียหายภายในหรือการกัดกร่อนของวงจร ควรนำเครื่องไปตรวจสอบที่ศูนย์บริการ หรือใช้การชาร์จแบบไร้สายชั่วคราวหากรองรับ https://www.slashgear.com/1999314/how-to-remove-water-from-phone-charging-port/
    WWW.SLASHGEAR.COM
    How To Remove Water From Your Phone's Charging Port - SlashGear
    Air drying is the best method to remove water from a charging port, although silica gel packets may help accelerate the process.
    0 Comments 0 Shares 119 Views 0 Reviews
  • “TSMC เร่งแผนผลิตชิป 2nm ในแอริโซนา พร้อมขยายโรงงานเกินงบ $165 พันล้าน” — เมื่อดีมานด์ AI ดันโรงงานสหรัฐฯ สู่ระดับ Gigafab

    TSMC ประกาศเร่งแผนการผลิตชิปขนาด 2 นาโนเมตร (2nm) ที่โรงงานในรัฐแอริโซนา สหรัฐอเมริกา โดยอ้างอิงจากความต้องการชิป AI ที่เพิ่มขึ้นอย่างต่อเนื่องจากลูกค้าในสหรัฐฯ เช่น Apple, Nvidia และ Broadcom

    เดิมที TSMC คาดว่าจะเริ่มผลิตชิป 2nm ในสหรัฐฯ ได้ภายในปี 2030 แต่ตอนนี้มีแนวโน้มว่าจะเลื่อนขึ้นมาเร็วขึ้นราว 1 ปี โดยยังไม่ระบุไทม์ไลน์ที่แน่นอน

    นอกจากนี้ C.C. Wei ซีอีโอของ TSMC ยังเผยว่าบริษัทกำลังอยู่ระหว่างการเจรจาซื้อที่ดินเพิ่มเติมใกล้กับโรงงานเดิม เพื่อขยายเป็น “Gigafab cluster” ที่สามารถผลิตเวเฟอร์ 12 นิ้วได้ถึง 100,000 แผ่นต่อเดือน พร้อมมีระบบบรรจุภัณฑ์และทดสอบชิปในพื้นที่เดียวกัน

    TSMC ยังลงทุนในโครงการฝึกงานในแอริโซนาเพื่อสร้างบุคลากรในท้องถิ่น โดยเพิ่มจำนวนผู้เข้าร่วมจาก 130 เป็น 200 คน และมองว่าแผนนี้จะช่วยสร้างระบบนิเวศด้านเซมิคอนดักเตอร์ในสหรัฐฯ ได้อย่างยั่งยืน

    TSMC เร่งแผนผลิตชิป 2nm ในโรงงานแอริโซนา
    เดิมคาดเริ่มผลิตปี 2030 แต่จะเลื่อนขึ้นราว 1 ปี

    ความต้องการชิป AI จากลูกค้าในสหรัฐฯ เป็นแรงผลักดันหลัก
    ลูกค้าหลักได้แก่ Apple, Nvidia, Broadcom

    กำลังเจรจาซื้อที่ดินเพิ่มเติมเพื่อขยายโรงงาน
    เป้าหมายคือสร้าง “Gigafab cluster” ที่ผลิตได้ 100,000 เวเฟอร์/เดือน

    จะมีระบบบรรจุภัณฑ์และทดสอบชิปในพื้นที่เดียวกัน
    ลดการพึ่งพาห่วงโซ่อุปทานต่างประเทศ

    โครงการฝึกงานในแอริโซนาเพิ่มจาก 130 เป็น 200 คน
    สร้างบุคลากรท้องถิ่นรองรับการขยายโรงงาน

    https://www.tomshardware.com/tech-industry/tsmc-moves-up-2nm-production-plans-in-arizona-ceo-also-hints-at-further-site-expansion-beyond-usd165-billion-commitment
    🏭 “TSMC เร่งแผนผลิตชิป 2nm ในแอริโซนา พร้อมขยายโรงงานเกินงบ $165 พันล้าน” — เมื่อดีมานด์ AI ดันโรงงานสหรัฐฯ สู่ระดับ Gigafab TSMC ประกาศเร่งแผนการผลิตชิปขนาด 2 นาโนเมตร (2nm) ที่โรงงานในรัฐแอริโซนา สหรัฐอเมริกา โดยอ้างอิงจากความต้องการชิป AI ที่เพิ่มขึ้นอย่างต่อเนื่องจากลูกค้าในสหรัฐฯ เช่น Apple, Nvidia และ Broadcom เดิมที TSMC คาดว่าจะเริ่มผลิตชิป 2nm ในสหรัฐฯ ได้ภายในปี 2030 แต่ตอนนี้มีแนวโน้มว่าจะเลื่อนขึ้นมาเร็วขึ้นราว 1 ปี โดยยังไม่ระบุไทม์ไลน์ที่แน่นอน นอกจากนี้ C.C. Wei ซีอีโอของ TSMC ยังเผยว่าบริษัทกำลังอยู่ระหว่างการเจรจาซื้อที่ดินเพิ่มเติมใกล้กับโรงงานเดิม เพื่อขยายเป็น “Gigafab cluster” ที่สามารถผลิตเวเฟอร์ 12 นิ้วได้ถึง 100,000 แผ่นต่อเดือน พร้อมมีระบบบรรจุภัณฑ์และทดสอบชิปในพื้นที่เดียวกัน TSMC ยังลงทุนในโครงการฝึกงานในแอริโซนาเพื่อสร้างบุคลากรในท้องถิ่น โดยเพิ่มจำนวนผู้เข้าร่วมจาก 130 เป็น 200 คน และมองว่าแผนนี้จะช่วยสร้างระบบนิเวศด้านเซมิคอนดักเตอร์ในสหรัฐฯ ได้อย่างยั่งยืน ✅ TSMC เร่งแผนผลิตชิป 2nm ในโรงงานแอริโซนา ➡️ เดิมคาดเริ่มผลิตปี 2030 แต่จะเลื่อนขึ้นราว 1 ปี ✅ ความต้องการชิป AI จากลูกค้าในสหรัฐฯ เป็นแรงผลักดันหลัก ➡️ ลูกค้าหลักได้แก่ Apple, Nvidia, Broadcom ✅ กำลังเจรจาซื้อที่ดินเพิ่มเติมเพื่อขยายโรงงาน ➡️ เป้าหมายคือสร้าง “Gigafab cluster” ที่ผลิตได้ 100,000 เวเฟอร์/เดือน ✅ จะมีระบบบรรจุภัณฑ์และทดสอบชิปในพื้นที่เดียวกัน ➡️ ลดการพึ่งพาห่วงโซ่อุปทานต่างประเทศ ✅ โครงการฝึกงานในแอริโซนาเพิ่มจาก 130 เป็น 200 คน ➡️ สร้างบุคลากรท้องถิ่นรองรับการขยายโรงงาน https://www.tomshardware.com/tech-industry/tsmc-moves-up-2nm-production-plans-in-arizona-ceo-also-hints-at-further-site-expansion-beyond-usd165-billion-commitment
    0 Comments 0 Shares 154 Views 0 Reviews
  • “MIPS I8500: โปรเซสเซอร์ยุคใหม่เพื่อขับเคลื่อน Physical AI” — สถาปัตยกรรม RISC-V ที่ออกแบบมาเพื่อการเคลื่อนย้ายข้อมูลแบบอัจฉริยะ

    บริษัท MIPS ซึ่งเป็นบริษัทในเครือของ GlobalFoundries ได้เปิดตัวโปรเซสเซอร์รุ่นใหม่ชื่อว่า MIPS I8500 โดยเน้นการจัดการข้อมูลแบบเรียลไทม์สำหรับแพลตฟอร์มที่ต้องการการตอบสนองทันที เช่น ระบบ AI ที่ทำงานนอกศูนย์ข้อมูล (Physical AI), โครงสร้างพื้นฐานด้านการสื่อสาร, อุตสาหกรรม, ยานยนต์ และระบบจัดเก็บข้อมูล

    I8500 ถูกออกแบบบนสถาปัตยกรรม RISC-V และมีความสามารถในการประมวลผลแบบ multithread สูงถึง 24 threads ต่อ cluster โดยมี 4 threads ต่อ core และรองรับการทำงานแบบ multi-cluster เพื่อเพิ่มความยืดหยุ่นในการใช้งาน

    จุดเด่นของ I8500 คือการเคลื่อนย้ายข้อมูลแบบ deterministic (กำหนดได้แน่นอน) และมี latency ต่ำมาก พร้อมระบบความปลอดภัยในตัว เหมาะสำหรับการจัดการ packet flows ระหว่าง accelerator ต่าง ๆ และการสื่อสารระหว่างมนุษย์กับระบบคอมพิวเตอร์

    โปรเซสเซอร์นี้ยังรองรับระบบปฏิบัติการ Linux และ Real-Time OS พร้อมความสามารถในการทำงานร่วมกับโปรไฟล์ RVA23 ซึ่งช่วยให้พัฒนาแอปพลิเคชันได้ง่ายขึ้นในระบบนิเวศของ RISC-V

    Steven Dickens จาก HyperFRAME Research กล่าวว่า I8500 เป็นก้าวสำคัญของการประมวลผลแบบ event-driven ที่ตอบโจทย์ตลาดใหม่ เช่น ยานยนต์อัตโนมัติและระบบควบคุมอุตสาหกรรม

    ข้อมูลในข่าว
    MIPS เปิดตัวโปรเซสเซอร์ I8500 สำหรับงาน Physical AI และการเคลื่อนย้ายข้อมูลแบบอัจฉริยะ
    ใช้สถาปัตยกรรม RISC-V พร้อม multithread สูงสุด 24 threads ต่อ cluster
    รองรับ multi-cluster deployments เพื่อเพิ่มความยืดหยุ่นในการใช้งาน
    มี latency ต่ำและ deterministic data movement พร้อมระบบความปลอดภัยในตัว
    เหมาะสำหรับงานในศูนย์ข้อมูล, ยานยนต์, อุตสาหกรรม และระบบสื่อสาร
    รองรับ Linux และ Real-Time OS พร้อมโปรไฟล์ RVA23
    ช่วยให้การพัฒนาแอปพลิเคชันในระบบ RISC-V เป็นไปอย่างราบรื่น
    Steven Dickens ระบุว่า I8500 เป็นก้าวสำคัญของการประมวลผลแบบ event-driven
    มี Atlas Explorer Core Model สำหรับการทดสอบร่วมระหว่างฮาร์ดแวร์และซอฟต์แวร์
    เตรียมเปิดตัวในงาน RISC-V Summit North America วันที่ 22–23 ตุลาคม

    https://www.techpowerup.com/341911/mips-i8500-processor-orchestrates-data-movement-for-the-ai-era
    ⚙️ “MIPS I8500: โปรเซสเซอร์ยุคใหม่เพื่อขับเคลื่อน Physical AI” — สถาปัตยกรรม RISC-V ที่ออกแบบมาเพื่อการเคลื่อนย้ายข้อมูลแบบอัจฉริยะ บริษัท MIPS ซึ่งเป็นบริษัทในเครือของ GlobalFoundries ได้เปิดตัวโปรเซสเซอร์รุ่นใหม่ชื่อว่า MIPS I8500 โดยเน้นการจัดการข้อมูลแบบเรียลไทม์สำหรับแพลตฟอร์มที่ต้องการการตอบสนองทันที เช่น ระบบ AI ที่ทำงานนอกศูนย์ข้อมูล (Physical AI), โครงสร้างพื้นฐานด้านการสื่อสาร, อุตสาหกรรม, ยานยนต์ และระบบจัดเก็บข้อมูล I8500 ถูกออกแบบบนสถาปัตยกรรม RISC-V และมีความสามารถในการประมวลผลแบบ multithread สูงถึง 24 threads ต่อ cluster โดยมี 4 threads ต่อ core และรองรับการทำงานแบบ multi-cluster เพื่อเพิ่มความยืดหยุ่นในการใช้งาน จุดเด่นของ I8500 คือการเคลื่อนย้ายข้อมูลแบบ deterministic (กำหนดได้แน่นอน) และมี latency ต่ำมาก พร้อมระบบความปลอดภัยในตัว เหมาะสำหรับการจัดการ packet flows ระหว่าง accelerator ต่าง ๆ และการสื่อสารระหว่างมนุษย์กับระบบคอมพิวเตอร์ โปรเซสเซอร์นี้ยังรองรับระบบปฏิบัติการ Linux และ Real-Time OS พร้อมความสามารถในการทำงานร่วมกับโปรไฟล์ RVA23 ซึ่งช่วยให้พัฒนาแอปพลิเคชันได้ง่ายขึ้นในระบบนิเวศของ RISC-V Steven Dickens จาก HyperFRAME Research กล่าวว่า I8500 เป็นก้าวสำคัญของการประมวลผลแบบ event-driven ที่ตอบโจทย์ตลาดใหม่ เช่น ยานยนต์อัตโนมัติและระบบควบคุมอุตสาหกรรม ✅ ข้อมูลในข่าว ➡️ MIPS เปิดตัวโปรเซสเซอร์ I8500 สำหรับงาน Physical AI และการเคลื่อนย้ายข้อมูลแบบอัจฉริยะ ➡️ ใช้สถาปัตยกรรม RISC-V พร้อม multithread สูงสุด 24 threads ต่อ cluster ➡️ รองรับ multi-cluster deployments เพื่อเพิ่มความยืดหยุ่นในการใช้งาน ➡️ มี latency ต่ำและ deterministic data movement พร้อมระบบความปลอดภัยในตัว ➡️ เหมาะสำหรับงานในศูนย์ข้อมูล, ยานยนต์, อุตสาหกรรม และระบบสื่อสาร ➡️ รองรับ Linux และ Real-Time OS พร้อมโปรไฟล์ RVA23 ➡️ ช่วยให้การพัฒนาแอปพลิเคชันในระบบ RISC-V เป็นไปอย่างราบรื่น ➡️ Steven Dickens ระบุว่า I8500 เป็นก้าวสำคัญของการประมวลผลแบบ event-driven ➡️ มี Atlas Explorer Core Model สำหรับการทดสอบร่วมระหว่างฮาร์ดแวร์และซอฟต์แวร์ ➡️ เตรียมเปิดตัวในงาน RISC-V Summit North America วันที่ 22–23 ตุลาคม https://www.techpowerup.com/341911/mips-i8500-processor-orchestrates-data-movement-for-the-ai-era
    WWW.TECHPOWERUP.COM
    MIPS I8500 Processor Orchestrates Data Movement for the AI Era
    MIPS, a GlobalFoundries company, announced today the MIPS I8500 processor is now sampling to lead customers. Featured at GlobalFoundries' Technology Summit in Munich, Germany today, the I8500 represents a class of intelligent data movement processor IP designed for real-time, event-driven computing ...
    0 Comments 0 Shares 123 Views 0 Reviews
  • “SAP อุดช่องโหว่ CVSS 10.0 ใน NetWeaver — เสี่ยง RCE โดยไม่ต้องยืนยันตัวตน”

    SAP ได้ออกแพตช์ความปลอดภัยเพื่อแก้ไขช่องโหว่ร้ายแรงในระบบ NetWeaver Application Server ABAP ซึ่งเป็นหัวใจของระบบ ERP ที่ใช้กันอย่างแพร่หลายทั่วโลก โดยช่องโหว่นี้ได้รับรหัส CVE-2023-40311 และมีคะแนนความรุนแรง CVSS เต็ม 10.0 ซึ่งหมายถึงระดับ “วิกฤต” ที่สามารถถูกโจมตีจากระยะไกลโดยไม่ต้องยืนยันตัวตน

    ช่องโหว่นี้เกิดจากการจัดการอินพุตที่ไม่ปลอดภัยในฟีเจอร์ Remote Code Management (RCM) ซึ่งเปิดให้ผู้โจมตีสามารถส่งคำสั่งที่ออกแบบมาเฉพาะเพื่อรันโค้ดบนเซิร์ฟเวอร์ SAP ได้ทันที โดยไม่ต้องมีสิทธิ์เข้าระบบก่อน

    SAP ระบุว่าช่องโหว่นี้ส่งผลกระทบต่อระบบที่เปิดใช้งานฟีเจอร์ RCM และไม่ได้มีการกำหนดสิทธิ์อย่างเหมาะสม โดยเฉพาะระบบที่เปิดให้เข้าถึงผ่านอินเทอร์เน็ตหรือเชื่อมต่อกับระบบภายนอก

    นักวิจัยจาก Onapsis ซึ่งเป็นพันธมิตรด้านความปลอดภัยของ SAP เป็นผู้ค้นพบช่องโหว่นี้ และได้แจ้งให้ SAP ทราบก่อนการเปิดเผยต่อสาธารณะ โดย SAP ได้ออกแพตช์ใน Security Patch Day เดือนตุลาคม 2025 พร้อมคำแนะนำให้ผู้ดูแลระบบอัปเดตทันที

    ช่องโหว่ CVE-2023-40311 ใน SAP NetWeaver Application Server ABAP
    ได้คะแนน CVSS เต็ม 10.0 ถือเป็นระดับ “วิกฤต”

    ช่องโหว่เกิดจากการจัดการอินพุตในฟีเจอร์ Remote Code Management (RCM)
    เปิดทางให้รันโค้ดจากระยะไกลโดยไม่ต้องยืนยันตัวตน

    ส่งผลกระทบต่อระบบที่เปิดใช้งาน RCM และไม่มีการกำหนดสิทธิ์ที่เหมาะสม
    โดยเฉพาะระบบที่เชื่อมต่อกับอินเทอร์เน็ตหรือระบบภายนอก

    นักวิจัยจาก Onapsis เป็นผู้ค้นพบช่องโหว่
    แจ้ง SAP ก่อนการเปิดเผยต่อสาธารณะ

    SAP ออกแพตช์ใน Security Patch Day เดือนตุลาคม 2025
    พร้อมคำแนะนำให้ผู้ดูแลระบบอัปเดตทันที

    ช่องโหว่นี้สามารถถูกโจมตีจากระยะไกลโดยไม่ต้องยืนยันตัวตน
    เสี่ยงต่อการถูกควบคุมระบบ SAP ทั้งระบบ

    ระบบที่เปิดใช้งาน RCM โดยไม่มีการกำหนดสิทธิ์อย่างเหมาะสม
    อาจถูกโจมตีได้ทันทีหากเชื่อมต่อกับอินเทอร์เน็ต

    การไม่อัปเดตแพตช์ทันทีอาจทำให้ระบบถูกเจาะโดย botnet หรือ ransomware
    โดยเฉพาะในองค์กรที่ใช้ SAP เป็นระบบหลักในการจัดการข้อมูล

    การตรวจสอบสิทธิ์และการตั้งค่า access control เป็นสิ่งจำเป็น
    หากละเลยอาจเปิดช่องให้เกิดการโจมตีแบบ lateral movement

    https://securityonline.info/sap-patches-critical-10-0-flaw-in-netweaver-unauthenticated-rce-risk/
    🚨 “SAP อุดช่องโหว่ CVSS 10.0 ใน NetWeaver — เสี่ยง RCE โดยไม่ต้องยืนยันตัวตน” SAP ได้ออกแพตช์ความปลอดภัยเพื่อแก้ไขช่องโหว่ร้ายแรงในระบบ NetWeaver Application Server ABAP ซึ่งเป็นหัวใจของระบบ ERP ที่ใช้กันอย่างแพร่หลายทั่วโลก โดยช่องโหว่นี้ได้รับรหัส CVE-2023-40311 และมีคะแนนความรุนแรง CVSS เต็ม 10.0 ซึ่งหมายถึงระดับ “วิกฤต” ที่สามารถถูกโจมตีจากระยะไกลโดยไม่ต้องยืนยันตัวตน ช่องโหว่นี้เกิดจากการจัดการอินพุตที่ไม่ปลอดภัยในฟีเจอร์ Remote Code Management (RCM) ซึ่งเปิดให้ผู้โจมตีสามารถส่งคำสั่งที่ออกแบบมาเฉพาะเพื่อรันโค้ดบนเซิร์ฟเวอร์ SAP ได้ทันที โดยไม่ต้องมีสิทธิ์เข้าระบบก่อน SAP ระบุว่าช่องโหว่นี้ส่งผลกระทบต่อระบบที่เปิดใช้งานฟีเจอร์ RCM และไม่ได้มีการกำหนดสิทธิ์อย่างเหมาะสม โดยเฉพาะระบบที่เปิดให้เข้าถึงผ่านอินเทอร์เน็ตหรือเชื่อมต่อกับระบบภายนอก นักวิจัยจาก Onapsis ซึ่งเป็นพันธมิตรด้านความปลอดภัยของ SAP เป็นผู้ค้นพบช่องโหว่นี้ และได้แจ้งให้ SAP ทราบก่อนการเปิดเผยต่อสาธารณะ โดย SAP ได้ออกแพตช์ใน Security Patch Day เดือนตุลาคม 2025 พร้อมคำแนะนำให้ผู้ดูแลระบบอัปเดตทันที ✅ ช่องโหว่ CVE-2023-40311 ใน SAP NetWeaver Application Server ABAP ➡️ ได้คะแนน CVSS เต็ม 10.0 ถือเป็นระดับ “วิกฤต” ✅ ช่องโหว่เกิดจากการจัดการอินพุตในฟีเจอร์ Remote Code Management (RCM) ➡️ เปิดทางให้รันโค้ดจากระยะไกลโดยไม่ต้องยืนยันตัวตน ✅ ส่งผลกระทบต่อระบบที่เปิดใช้งาน RCM และไม่มีการกำหนดสิทธิ์ที่เหมาะสม ➡️ โดยเฉพาะระบบที่เชื่อมต่อกับอินเทอร์เน็ตหรือระบบภายนอก ✅ นักวิจัยจาก Onapsis เป็นผู้ค้นพบช่องโหว่ ➡️ แจ้ง SAP ก่อนการเปิดเผยต่อสาธารณะ ✅ SAP ออกแพตช์ใน Security Patch Day เดือนตุลาคม 2025 ➡️ พร้อมคำแนะนำให้ผู้ดูแลระบบอัปเดตทันที ‼️ ช่องโหว่นี้สามารถถูกโจมตีจากระยะไกลโดยไม่ต้องยืนยันตัวตน ⛔ เสี่ยงต่อการถูกควบคุมระบบ SAP ทั้งระบบ ‼️ ระบบที่เปิดใช้งาน RCM โดยไม่มีการกำหนดสิทธิ์อย่างเหมาะสม ⛔ อาจถูกโจมตีได้ทันทีหากเชื่อมต่อกับอินเทอร์เน็ต ‼️ การไม่อัปเดตแพตช์ทันทีอาจทำให้ระบบถูกเจาะโดย botnet หรือ ransomware ⛔ โดยเฉพาะในองค์กรที่ใช้ SAP เป็นระบบหลักในการจัดการข้อมูล ‼️ การตรวจสอบสิทธิ์และการตั้งค่า access control เป็นสิ่งจำเป็น ⛔ หากละเลยอาจเปิดช่องให้เกิดการโจมตีแบบ lateral movement https://securityonline.info/sap-patches-critical-10-0-flaw-in-netweaver-unauthenticated-rce-risk/
    SECURITYONLINE.INFO
    SAP Patches Critical 10.0 Flaw in NetWeaver: Unauthenticated RCE Risk
    SAP's October 2025 Security Patch Day addressed 13 new notes, including two critical 10.0 flaws in NetWeaver AS Java and Print Service, posing an RCE threat.
    0 Comments 0 Shares 103 Views 0 Reviews
  • “Firefox 144 มาแล้ว! ปรับปรุง PiP, เสริมความปลอดภัย และเพิ่มฟีเจอร์ใหม่เพียบทั้งบนเว็บและมือถือ”

    Mozilla ได้ปล่อย Firefox 144 อย่างเป็นทางการเมื่อวันที่ 13 ตุลาคม 2025 โดยมาพร้อมฟีเจอร์ใหม่ที่น่าสนใจทั้งด้านความสะดวกในการใช้งาน ความปลอดภัย และการสนับสนุนนักพัฒนาเว็บ โดยเฉพาะการปรับปรุงฟีเจอร์ Picture-in-Picture (PiP) ที่ให้ผู้ใช้สามารถปิดหน้าต่างวิดีโอแบบลอยได้โดยไม่หยุดเล่นวิดีโอ ด้วยการกด Shift + Click หรือ Shift + Esc

    นอกจากนี้ Firefox 144 ยังอัปเดตปุ่ม Firefox Account บนแถบเครื่องมือให้แสดงคำว่า “Sign In” ชัดเจนขึ้น และปรับปรุงระบบเข้ารหัสรหัสผ่านใน Password Manager จาก 3DES-CBC เป็น AES-256-CBC เพื่อความปลอดภัยที่ทันสมัยยิ่งขึ้น

    สำหรับผู้ใช้ Android จะเห็นแบนเนอร์แปลภาษาใหม่ และมีการลบตัวเลือก “Allow screenshots in private browsing” ออกไป ส่วนผู้ใช้ Windows จะเห็นการเปลี่ยนแปลงพฤติกรรมของการเปิดลิงก์จากแอปอื่นให้เปิดใน virtual desktop เดียวกัน

    ปล่อย Firefox 144 อย่างเป็นทางการเมื่อ 13 ตุลาคม 2025
    พร้อม Firefox 140.4 และ 115.29.0 ESR

    ปรับปรุง Picture-in-Picture (PiP)
    ปิดหน้าต่าง PiP โดยไม่หยุดวิดีโอด้วย Shift + Click หรือ Shift + Esc

    ปรับปรุงปุ่ม Firefox Account บน toolbar
    แสดงคำว่า “Sign In” ถัดจากไอคอน

    เสริมความปลอดภัยใน Password Manager
    เปลี่ยนการเข้ารหัสจาก 3DES-CBC เป็น AES-256-CBC

    สำหรับ Android:
    เพิ่มแบนเนอร์แปลภาษา
    ลบตัวเลือก “Allow screenshots in private browsing”

    สำหรับ Windows:
    เปิดลิงก์จากแอปอื่นใน virtual desktop เดียวกัน

    สำหรับนักพัฒนาเว็บ:
    รองรับ Element.moveBefore API
    รองรับ math-shift compact
    รองรับ PerformanceEventTiming.interactionId
    รองรับ command และ commandfor attributes
    รองรับ View Transition API Level 1
    รองรับ resizeMode ใน getUserMedia
    รองรับ worker transfer สำหรับ RTCDataChannel
    รองรับ upsert proposal (getOrInsert, getOrInsertComputed)
    รองรับ WebGPU GPUDevice.importExternalTexture (Windows)
    รองรับ lock() และ unlock() ของ ScreenOrientation (Windows/Android)
    รองรับ dithering สำหรับ gradients บน WebRender
    เพิ่ม batch-encoding path ให้ VideoEncoder ใน WebCodecs (Windows)
    ปรับปรุง tooltip ใน Inspector ให้แสดง badge สำหรับ custom events

    https://9to5linux.com/firefox-144-is-now-available-for-download-this-is-whats-new
    🦊 “Firefox 144 มาแล้ว! ปรับปรุง PiP, เสริมความปลอดภัย และเพิ่มฟีเจอร์ใหม่เพียบทั้งบนเว็บและมือถือ” Mozilla ได้ปล่อย Firefox 144 อย่างเป็นทางการเมื่อวันที่ 13 ตุลาคม 2025 โดยมาพร้อมฟีเจอร์ใหม่ที่น่าสนใจทั้งด้านความสะดวกในการใช้งาน ความปลอดภัย และการสนับสนุนนักพัฒนาเว็บ โดยเฉพาะการปรับปรุงฟีเจอร์ Picture-in-Picture (PiP) ที่ให้ผู้ใช้สามารถปิดหน้าต่างวิดีโอแบบลอยได้โดยไม่หยุดเล่นวิดีโอ ด้วยการกด Shift + Click หรือ Shift + Esc นอกจากนี้ Firefox 144 ยังอัปเดตปุ่ม Firefox Account บนแถบเครื่องมือให้แสดงคำว่า “Sign In” ชัดเจนขึ้น และปรับปรุงระบบเข้ารหัสรหัสผ่านใน Password Manager จาก 3DES-CBC เป็น AES-256-CBC เพื่อความปลอดภัยที่ทันสมัยยิ่งขึ้น สำหรับผู้ใช้ Android จะเห็นแบนเนอร์แปลภาษาใหม่ และมีการลบตัวเลือก “Allow screenshots in private browsing” ออกไป ส่วนผู้ใช้ Windows จะเห็นการเปลี่ยนแปลงพฤติกรรมของการเปิดลิงก์จากแอปอื่นให้เปิดใน virtual desktop เดียวกัน ✅ ปล่อย Firefox 144 อย่างเป็นทางการเมื่อ 13 ตุลาคม 2025 ➡️ พร้อม Firefox 140.4 และ 115.29.0 ESR ✅ ปรับปรุง Picture-in-Picture (PiP) ➡️ ปิดหน้าต่าง PiP โดยไม่หยุดวิดีโอด้วย Shift + Click หรือ Shift + Esc ✅ ปรับปรุงปุ่ม Firefox Account บน toolbar ➡️ แสดงคำว่า “Sign In” ถัดจากไอคอน ✅ เสริมความปลอดภัยใน Password Manager ➡️ เปลี่ยนการเข้ารหัสจาก 3DES-CBC เป็น AES-256-CBC ✅ สำหรับ Android: ➡️ เพิ่มแบนเนอร์แปลภาษา ➡️ ลบตัวเลือก “Allow screenshots in private browsing” ✅ สำหรับ Windows: ➡️ เปิดลิงก์จากแอปอื่นใน virtual desktop เดียวกัน ✅ สำหรับนักพัฒนาเว็บ: ➡️ รองรับ Element.moveBefore API ➡️ รองรับ math-shift compact ➡️ รองรับ PerformanceEventTiming.interactionId ➡️ รองรับ command และ commandfor attributes ➡️ รองรับ View Transition API Level 1 ➡️ รองรับ resizeMode ใน getUserMedia ➡️ รองรับ worker transfer สำหรับ RTCDataChannel ➡️ รองรับ upsert proposal (getOrInsert, getOrInsertComputed) ➡️ รองรับ WebGPU GPUDevice.importExternalTexture (Windows) ➡️ รองรับ lock() และ unlock() ของ ScreenOrientation (Windows/Android) ➡️ รองรับ dithering สำหรับ gradients บน WebRender ➡️ เพิ่ม batch-encoding path ให้ VideoEncoder ใน WebCodecs (Windows) ➡️ ปรับปรุง tooltip ใน Inspector ให้แสดง badge สำหรับ custom events https://9to5linux.com/firefox-144-is-now-available-for-download-this-is-whats-new
    9TO5LINUX.COM
    Firefox 144 Is Now Available for Download, This Is What’s New - 9to5Linux
    Firefox 144 open-source web browser is now available for download with various new features and improvements. Here's what's new!
    0 Comments 0 Shares 182 Views 0 Reviews
  • Wand At The Ready! These Magic Words Will Cast A Spell On You

    Hocus pocus, abracadabra, alakazam! These are the words we invoke when magic is at work—even if it might just be a card trick at home. While a few of these words and phrases have wholly crossed over into entertainment magic or originated there from the start (e.g., presto change-o), some of these words are rooted in older commands that called upon higher powers to influence the material world.

    Whether called hexes, hymns, prayers, or simply spells, the words we invoke to communicate with a greater power to work our will all require an intangible force that can be universally described as magic. Take a look and decide for yourself if magic is real or if it’s just a bunch of hocus-pocus.

    abracadabra
    Perhaps one of the oldest and most recognized magical phrases, abracadabra has been around since the second century BCE and has famously appeared in the Harry Potter series. Its origins are contested as scholars posit that abracadabra emerged from Late Latin or Late Greek, reflecting the recitation of the initial letters of the alphabet (abecedary); others hypothesize that it could related to the Hebrew Ha brakha dabra, which translates as, “The blessing has spoken.” We do understand it as a word generally meant to invoke magical power. Abracadabra is classified as a reductive spell, which means it would have been written out as a complete word on the first line, then with one letter missing on the next, then another letter removed on the following line, and so forth. The idea behind reductive spells is that by making the word shorter so would a pain or illness gradually diminish.

    Recorded in English in the late 1600s, abracadabra is used in incantations, particularly as a magical means of warding off misfortune, harm, or illness, and for some, is used as a nonsense word, implying gibberish in place of supposedly magical words.

    alakazam
    Often used as the finale word in the presentation of a grand stage illusion, alakazam is intoned as a powerful command.

    While the origins of the word are unknown, according to Magic Words: A Dictionary, alakazam may have ties to a similar-sounding Arabic phrase, Al Qasam, which means “oath.” Therefore, a conjuror invoking alakazam may be calling back to a promise made by a superior being to help complete the miraculous feat they are presenting.

    One of the earliest printings of alakazam in an English text is the poem “Among the White Tents,” first published in the Chicago Herald Tribune in 1888. While the poem uses alakazam in the context of entertainment and as an excited expression (“We’re goin’ to de cirkis! / Alakazam!”) there is oddly no connection to magic.

    hocus-pocus
    Immortalized in a ’90s cult classic family film, hocus pocus may be both invoked as an incantation and might also be used to refer to an act of trickery. For instance, one who is dismissive of fortunetelling might call the act of reading tarot cards “a bunch of hocus pocus.”

    First recorded in the 1660s, hocus pocus is likely a corruption of the Latin phrase used in Catholic mass, Hoc est corpus meum (“here is my body”).

    voilà
    Maybe you’ve seen a magician conclude an amazing feat with this little phrase. She’ll flourish a sheet over a table and voilà, where there was no one a second ago, her whole assistant will appear!

    First recorded in English between 1825–35, voilà is used as an expression of success or satisfaction, typically to give the impression that the achievement happened quickly or easily. Combined from the French words voi (“see”) and là (“there”), voilà is used to direct attention during performance magic.

    open sesame
    First recorded in English in the late 1700s, open sesame comes from Antoine Galland’s translation of One Thousand and One Nights. These are the magic words Ali Baba speaks to open the door of the den of the 40 thieves.

    Perhaps one of the greatest magical commands to survive from folklore, open sesame today may be used as a noun to refer to a very successful means of achieving a result. For instance, you might say an MBA is the open sesame to landing a competitive job in finance.

    sim sala bim
    These magic words were made popular by the famous professional magician Harry August Jansen (1883–1955), also known as The Great Jansen or Dante, who used sim sala bim as the name of his touring magic show. Jansen was born in Denmark and immigrated to Minnesota with his family at age 6. Jansen used sim sala bim at the end in his show, saying the words meant, “A thousand thanks.” (They are actually nonsense syllables from a Danish nursery rhyme.) He would tell the crowd that the larger the applause, the bigger the bow, and the more thanks that the sim sala bim symbolized.

    mojo
    While mojo can apply to the magic influence of a charm or amulet (usually positive), the term can also refer to the influence or charm an individual can have on the people around them. A popular Muddy Waters song, “Got My Mojo Workin’,” alludes to the degree to which the singer is able to charm the women he encounters. Mojo is less of a spell and more specifically an aura of power. An Americanism first recorded between 1925–30, it is believed to draw from the West African Gullah word moco, which means, “witchcraft.” It is probably connected to Fulani moco’o, or “medicine man.”

    calamaris
    Similar to abracadabra in popularity and structure, calamaris is the word that Scandinavians would invoke to heal a fever. Also like abracadabra, this word was a reductive spell, meaning the full word would be written down on one line, then each successive line would have one letter removed.

    miertr
    In ye olden times, having a decent hunt to provide for one’s family was critical. The incantation of miertr was spoken aloud as one walked backward and then left the house. After reaching the forest to hunt, the spellcaster was advised to take three clumps of dirt from beneath the left foot and throw them overhead without looking. This will allow an individual to advance without making any noise and capture birds and animals. Definitely a process, but hopefully it led to some successful hunting.

    micrato, raepy sathonich
    One of the most iconic scenes in the Bible’s Old Testament is Exodus 7:8-13, which tells of Moses and his brother Aaron as they go before Pharaoh and are challenged to perform a miracle as a sign of their god. When Aaron throws down his staff, it transforms into a snake that consumes the snakes conjured by Pharaoh’s own advisors and sorcerers. According to the Semiphoras and Schemhamphorash, an occult text published in German by Andreas Luppius in 1686, micrato, raepy sathonich were the opening words Moses spoke before changing his staff into a serpent.

    daimon
    A variant of the word daemon, daimon [ dahy-mohn ] appears in some Greek charms and holds the meaning of a “god, deity, soul of a dead person, or genie.” In this context, it does not necessarily correspond with the Christian interpretation of a demon—it is more akin to a spirit. This word might be used in a spell to summon a daimon attendant, who would then assist the conjurer in executing a specific task. Though new practitioners should be forewarned, summoning daimons are for more experienced magic practitioners and should always be handled with care. Daimon comes from Middle English and can ultimately be traced to the Greek daimónion, meaning “thing of divine nature.”

    INRI
    Those who can recall their days in Catholic school know INRI are the initials typically depicted on the crucifix and represent Jesus’ title (Iēsūs Nazarēnus, Rēx Iūdaeōrum). But long ago, INRI was also written on amulets and paper to offer cures to afflictions. For instance, to stop a fever, a person might eat a piece of paper with the initials written on it, or, to stop blood loss, INRI would be written in blood on a piece of paper that was then pressed to the forehead. It’s even been stamped on stable doors to ward off the evil eye.

    grimoire
    We’ve got two more interesting terms for good measure. Unlike the others on this list, a grimoire is not a magical spell. Described as a “textbook of sorcery and magic,” a grimoire [ greem-wahr ] is a must-have for any would-be spellcaster. First recorded in the 1800s, this word likely arose from the French grammaire (“grammar”). Essentially, this origin word refers to a textbook and/or a set of rules to be applied to the text. For a book that has the potential to summon other beings (for better or worse) and carry out supernatural feats, any student of that book had best be willing to follow those rules to the letter!

    caracteres
    The unique word caracteres refers to symbols written on bits of parchment or amulets. They were used as a way of encoding powerful spells to keep them from being repeated by someone who may not be aware of their potency or seek to abuse their power. Because of this general barrier to entry, caracteres also demanded the potential conjurors devote time to studying and learning how to correctly interpret the encrypted incantations.

    สงวนลิขสิทธิ์ © 2025 AAKKHRA & Co.
    Wand At The Ready! These Magic Words Will Cast A Spell On You Hocus pocus, abracadabra, alakazam! These are the words we invoke when magic is at work—even if it might just be a card trick at home. While a few of these words and phrases have wholly crossed over into entertainment magic or originated there from the start (e.g., presto change-o), some of these words are rooted in older commands that called upon higher powers to influence the material world. Whether called hexes, hymns, prayers, or simply spells, the words we invoke to communicate with a greater power to work our will all require an intangible force that can be universally described as magic. Take a look and decide for yourself if magic is real or if it’s just a bunch of hocus-pocus. abracadabra Perhaps one of the oldest and most recognized magical phrases, abracadabra has been around since the second century BCE and has famously appeared in the Harry Potter series. Its origins are contested as scholars posit that abracadabra emerged from Late Latin or Late Greek, reflecting the recitation of the initial letters of the alphabet (abecedary); others hypothesize that it could related to the Hebrew Ha brakha dabra, which translates as, “The blessing has spoken.” We do understand it as a word generally meant to invoke magical power. Abracadabra is classified as a reductive spell, which means it would have been written out as a complete word on the first line, then with one letter missing on the next, then another letter removed on the following line, and so forth. The idea behind reductive spells is that by making the word shorter so would a pain or illness gradually diminish. Recorded in English in the late 1600s, abracadabra is used in incantations, particularly as a magical means of warding off misfortune, harm, or illness, and for some, is used as a nonsense word, implying gibberish in place of supposedly magical words. alakazam Often used as the finale word in the presentation of a grand stage illusion, alakazam is intoned as a powerful command. While the origins of the word are unknown, according to Magic Words: A Dictionary, alakazam may have ties to a similar-sounding Arabic phrase, Al Qasam, which means “oath.” Therefore, a conjuror invoking alakazam may be calling back to a promise made by a superior being to help complete the miraculous feat they are presenting. One of the earliest printings of alakazam in an English text is the poem “Among the White Tents,” first published in the Chicago Herald Tribune in 1888. While the poem uses alakazam in the context of entertainment and as an excited expression (“We’re goin’ to de cirkis! / Alakazam!”) there is oddly no connection to magic. hocus-pocus Immortalized in a ’90s cult classic family film, hocus pocus may be both invoked as an incantation and might also be used to refer to an act of trickery. For instance, one who is dismissive of fortunetelling might call the act of reading tarot cards “a bunch of hocus pocus.” First recorded in the 1660s, hocus pocus is likely a corruption of the Latin phrase used in Catholic mass, Hoc est corpus meum (“here is my body”). voilà Maybe you’ve seen a magician conclude an amazing feat with this little phrase. She’ll flourish a sheet over a table and voilà, where there was no one a second ago, her whole assistant will appear! First recorded in English between 1825–35, voilà is used as an expression of success or satisfaction, typically to give the impression that the achievement happened quickly or easily. Combined from the French words voi (“see”) and là (“there”), voilà is used to direct attention during performance magic. open sesame First recorded in English in the late 1700s, open sesame comes from Antoine Galland’s translation of One Thousand and One Nights. These are the magic words Ali Baba speaks to open the door of the den of the 40 thieves. Perhaps one of the greatest magical commands to survive from folklore, open sesame today may be used as a noun to refer to a very successful means of achieving a result. For instance, you might say an MBA is the open sesame to landing a competitive job in finance. sim sala bim These magic words were made popular by the famous professional magician Harry August Jansen (1883–1955), also known as The Great Jansen or Dante, who used sim sala bim as the name of his touring magic show. Jansen was born in Denmark and immigrated to Minnesota with his family at age 6. Jansen used sim sala bim at the end in his show, saying the words meant, “A thousand thanks.” (They are actually nonsense syllables from a Danish nursery rhyme.) He would tell the crowd that the larger the applause, the bigger the bow, and the more thanks that the sim sala bim symbolized. mojo While mojo can apply to the magic influence of a charm or amulet (usually positive), the term can also refer to the influence or charm an individual can have on the people around them. A popular Muddy Waters song, “Got My Mojo Workin’,” alludes to the degree to which the singer is able to charm the women he encounters. Mojo is less of a spell and more specifically an aura of power. An Americanism first recorded between 1925–30, it is believed to draw from the West African Gullah word moco, which means, “witchcraft.” It is probably connected to Fulani moco’o, or “medicine man.” calamaris Similar to abracadabra in popularity and structure, calamaris is the word that Scandinavians would invoke to heal a fever. Also like abracadabra, this word was a reductive spell, meaning the full word would be written down on one line, then each successive line would have one letter removed. miertr In ye olden times, having a decent hunt to provide for one’s family was critical. The incantation of miertr was spoken aloud as one walked backward and then left the house. After reaching the forest to hunt, the spellcaster was advised to take three clumps of dirt from beneath the left foot and throw them overhead without looking. This will allow an individual to advance without making any noise and capture birds and animals. Definitely a process, but hopefully it led to some successful hunting. micrato, raepy sathonich One of the most iconic scenes in the Bible’s Old Testament is Exodus 7:8-13, which tells of Moses and his brother Aaron as they go before Pharaoh and are challenged to perform a miracle as a sign of their god. When Aaron throws down his staff, it transforms into a snake that consumes the snakes conjured by Pharaoh’s own advisors and sorcerers. According to the Semiphoras and Schemhamphorash, an occult text published in German by Andreas Luppius in 1686, micrato, raepy sathonich were the opening words Moses spoke before changing his staff into a serpent. daimon A variant of the word daemon, daimon [ dahy-mohn ] appears in some Greek charms and holds the meaning of a “god, deity, soul of a dead person, or genie.” In this context, it does not necessarily correspond with the Christian interpretation of a demon—it is more akin to a spirit. This word might be used in a spell to summon a daimon attendant, who would then assist the conjurer in executing a specific task. Though new practitioners should be forewarned, summoning daimons are for more experienced magic practitioners and should always be handled with care. Daimon comes from Middle English and can ultimately be traced to the Greek daimónion, meaning “thing of divine nature.” INRI Those who can recall their days in Catholic school know INRI are the initials typically depicted on the crucifix and represent Jesus’ title (Iēsūs Nazarēnus, Rēx Iūdaeōrum). But long ago, INRI was also written on amulets and paper to offer cures to afflictions. For instance, to stop a fever, a person might eat a piece of paper with the initials written on it, or, to stop blood loss, INRI would be written in blood on a piece of paper that was then pressed to the forehead. It’s even been stamped on stable doors to ward off the evil eye. grimoire We’ve got two more interesting terms for good measure. Unlike the others on this list, a grimoire is not a magical spell. Described as a “textbook of sorcery and magic,” a grimoire [ greem-wahr ] is a must-have for any would-be spellcaster. First recorded in the 1800s, this word likely arose from the French grammaire (“grammar”). Essentially, this origin word refers to a textbook and/or a set of rules to be applied to the text. For a book that has the potential to summon other beings (for better or worse) and carry out supernatural feats, any student of that book had best be willing to follow those rules to the letter! caracteres The unique word caracteres refers to symbols written on bits of parchment or amulets. They were used as a way of encoding powerful spells to keep them from being repeated by someone who may not be aware of their potency or seek to abuse their power. Because of this general barrier to entry, caracteres also demanded the potential conjurors devote time to studying and learning how to correctly interpret the encrypted incantations. สงวนลิขสิทธิ์ © 2025 AAKKHRA & Co.
    0 Comments 0 Shares 356 Views 0 Reviews
  • “CL0P โจมตี Oracle EBS ด้วยช่องโหว่ Zero-Day CVE-2025-61882 — ขโมยข้อมูลองค์กรผ่าน RCE โดยไม่ต้องล็อกอิน”

    Google Threat Intelligence Group (GTIG) และ Mandiant ได้เปิดเผยแคมเปญการโจมตีขนาดใหญ่โดยกลุ่ม CL0P ที่มุ่งเป้าไปยัง Oracle E-Business Suite (EBS) ซึ่งเป็นระบบ ERP ที่ใช้กันอย่างแพร่หลายในองค์กรทั่วโลก โดยใช้ช่องโหว่ Zero-Day ที่เพิ่งถูกระบุว่าเป็น CVE-2025-61882 ซึ่งมีความรุนแรงระดับ “วิกฤต” ด้วยคะแนน CVSS 9.8

    การโจมตีเริ่มต้นตั้งแต่เดือนกรกฎาคม 2025 โดยแฮกเกอร์สามารถเข้าถึงระบบ Oracle EBS ได้โดยไม่ต้องล็อกอิน ผ่านช่องโหว่ในคอมโพเนนต์ BI Publisher Integration ของระบบ Concurrent Processing โดยใช้เทคนิค SSRF, CRLF injection, การข้ามการยืนยันตัวตน และการฉีด XSL template เพื่อรันคำสั่งบนเซิร์ฟเวอร์

    เมื่อเข้าระบบได้แล้ว ผู้โจมตีใช้ payload แบบ Java ที่ซับซ้อน เช่น GOLDVEIN.JAVA และ SAGEGIFT/SAGELEAF/SAGEWAVE เพื่อสร้าง backdoor และควบคุมระบบอย่างต่อเนื่อง โดย payload เหล่านี้สามารถหลบเลี่ยงการตรวจจับจากระบบป้องกันทั่วไปได้

    แฮกเกอร์ใช้บัญชี “applmgr” ซึ่งเป็นบัญชีหลักของ Oracle EBS ในการสำรวจระบบและรันคำสั่ง เช่น ifconfig, netstat, และ bash -i >& /dev/tcp/... เพื่อเปิด shell แบบ interactive บนเซิร์ฟเวอร์

    ในช่วงปลายเดือนกันยายน ผู้บริหารจากหลายองค์กรเริ่มได้รับอีเมลข่มขู่จาก CL0P โดยอ้างว่าข้อมูลจากระบบ Oracle EBS ถูกขโมยไปแล้ว พร้อมแนบรายการไฟล์จริงเพื่อยืนยันการโจมตี และเสนอให้จ่ายเงินเพื่อไม่ให้ข้อมูลถูกเผยแพร่บนเว็บไซต์ CL0P DLS

    Oracle ได้ออก patch ฉุกเฉินเมื่อวันที่ 4 ตุลาคม 2025 เพื่อแก้ไขช่องโหว่ CVE-2025-61882 และแนะนำให้ลูกค้าทุกคนอัปเดตทันที พร้อมแจก Indicators of Compromise (IoCs) เพื่อช่วยตรวจสอบการบุกรุก

    ข้อมูลสำคัญจากข่าว
    ช่องโหว่ CVE-2025-61882 เป็น Zero-Day ใน Oracle EBS ที่ถูกใช้โจมตีโดย CL0P
    ช่องโหว่เกิดใน BI Publisher Integration ของ Concurrent Processing
    ใช้เทคนิค SSRF, CRLF injection, auth bypass และ XSL template injection
    แฮกเกอร์สามารถรันคำสั่งบนเซิร์ฟเวอร์โดยไม่ต้องล็อกอิน
    ใช้ payload Java เช่น GOLDVEIN.JAVA และ SAGE* เพื่อสร้าง backdoor
    ใช้บัญชี applmgr เพื่อสำรวจระบบและเปิด shell
    ส่งอีเมลข่มขู่ผู้บริหารพร้อมรายการไฟล์จริงจากระบบที่ถูกเจาะ
    Oracle ออก patch ฉุกเฉินเมื่อ 4 ตุลาคม 2025 พร้อมแจก IoCs

    ข้อมูลเสริมจากภายนอก
    Oracle EBS ใช้ในระบบสำคัญขององค์กร เช่น การเงิน, HR, โลจิสติกส์
    CL0P เคยโจมตี MOVEit, Cleo และ GoAnywhere ด้วย Zero-Day ลักษณะเดียวกัน
    SSRF เป็นเทคนิคที่ใช้หลอกให้เซิร์ฟเวอร์เรียกข้อมูลจากแหล่งที่ผู้โจมตีควบคุม
    XSLT injection สามารถใช้เรียกฟังก์ชัน Java เพื่อรันคำสั่งในระบบ
    GOLDVEIN.JAVA ใช้การปลอม handshake TLS เพื่อหลบการตรวจจับ

    https://securityonline.info/cl0p-extortion-google-mandiant-expose-zero-day-rce-in-oracle-e-business-suite-cve-2025-61882/

    💥 “CL0P โจมตี Oracle EBS ด้วยช่องโหว่ Zero-Day CVE-2025-61882 — ขโมยข้อมูลองค์กรผ่าน RCE โดยไม่ต้องล็อกอิน” Google Threat Intelligence Group (GTIG) และ Mandiant ได้เปิดเผยแคมเปญการโจมตีขนาดใหญ่โดยกลุ่ม CL0P ที่มุ่งเป้าไปยัง Oracle E-Business Suite (EBS) ซึ่งเป็นระบบ ERP ที่ใช้กันอย่างแพร่หลายในองค์กรทั่วโลก โดยใช้ช่องโหว่ Zero-Day ที่เพิ่งถูกระบุว่าเป็น CVE-2025-61882 ซึ่งมีความรุนแรงระดับ “วิกฤต” ด้วยคะแนน CVSS 9.8 การโจมตีเริ่มต้นตั้งแต่เดือนกรกฎาคม 2025 โดยแฮกเกอร์สามารถเข้าถึงระบบ Oracle EBS ได้โดยไม่ต้องล็อกอิน ผ่านช่องโหว่ในคอมโพเนนต์ BI Publisher Integration ของระบบ Concurrent Processing โดยใช้เทคนิค SSRF, CRLF injection, การข้ามการยืนยันตัวตน และการฉีด XSL template เพื่อรันคำสั่งบนเซิร์ฟเวอร์ เมื่อเข้าระบบได้แล้ว ผู้โจมตีใช้ payload แบบ Java ที่ซับซ้อน เช่น GOLDVEIN.JAVA และ SAGEGIFT/SAGELEAF/SAGEWAVE เพื่อสร้าง backdoor และควบคุมระบบอย่างต่อเนื่อง โดย payload เหล่านี้สามารถหลบเลี่ยงการตรวจจับจากระบบป้องกันทั่วไปได้ แฮกเกอร์ใช้บัญชี “applmgr” ซึ่งเป็นบัญชีหลักของ Oracle EBS ในการสำรวจระบบและรันคำสั่ง เช่น ifconfig, netstat, และ bash -i >& /dev/tcp/... เพื่อเปิด shell แบบ interactive บนเซิร์ฟเวอร์ ในช่วงปลายเดือนกันยายน ผู้บริหารจากหลายองค์กรเริ่มได้รับอีเมลข่มขู่จาก CL0P โดยอ้างว่าข้อมูลจากระบบ Oracle EBS ถูกขโมยไปแล้ว พร้อมแนบรายการไฟล์จริงเพื่อยืนยันการโจมตี และเสนอให้จ่ายเงินเพื่อไม่ให้ข้อมูลถูกเผยแพร่บนเว็บไซต์ CL0P DLS Oracle ได้ออก patch ฉุกเฉินเมื่อวันที่ 4 ตุลาคม 2025 เพื่อแก้ไขช่องโหว่ CVE-2025-61882 และแนะนำให้ลูกค้าทุกคนอัปเดตทันที พร้อมแจก Indicators of Compromise (IoCs) เพื่อช่วยตรวจสอบการบุกรุก ✅ ข้อมูลสำคัญจากข่าว ➡️ ช่องโหว่ CVE-2025-61882 เป็น Zero-Day ใน Oracle EBS ที่ถูกใช้โจมตีโดย CL0P ➡️ ช่องโหว่เกิดใน BI Publisher Integration ของ Concurrent Processing ➡️ ใช้เทคนิค SSRF, CRLF injection, auth bypass และ XSL template injection ➡️ แฮกเกอร์สามารถรันคำสั่งบนเซิร์ฟเวอร์โดยไม่ต้องล็อกอิน ➡️ ใช้ payload Java เช่น GOLDVEIN.JAVA และ SAGE* เพื่อสร้าง backdoor ➡️ ใช้บัญชี applmgr เพื่อสำรวจระบบและเปิด shell ➡️ ส่งอีเมลข่มขู่ผู้บริหารพร้อมรายการไฟล์จริงจากระบบที่ถูกเจาะ ➡️ Oracle ออก patch ฉุกเฉินเมื่อ 4 ตุลาคม 2025 พร้อมแจก IoCs ✅ ข้อมูลเสริมจากภายนอก ➡️ Oracle EBS ใช้ในระบบสำคัญขององค์กร เช่น การเงิน, HR, โลจิสติกส์ ➡️ CL0P เคยโจมตี MOVEit, Cleo และ GoAnywhere ด้วย Zero-Day ลักษณะเดียวกัน ➡️ SSRF เป็นเทคนิคที่ใช้หลอกให้เซิร์ฟเวอร์เรียกข้อมูลจากแหล่งที่ผู้โจมตีควบคุม ➡️ XSLT injection สามารถใช้เรียกฟังก์ชัน Java เพื่อรันคำสั่งในระบบ ➡️ GOLDVEIN.JAVA ใช้การปลอม handshake TLS เพื่อหลบการตรวจจับ https://securityonline.info/cl0p-extortion-google-mandiant-expose-zero-day-rce-in-oracle-e-business-suite-cve-2025-61882/
    SECURITYONLINE.INFO
    CL0P Extortion: Google/Mandiant Expose Zero-Day RCE in Oracle E-Business Suite (CVE-2025-61882)
    Google/Mandiant linked CL0P extortion to a Zero-Day RCE flaw (CVE-2025-61882) in Oracle E-Business Suite. Attackers exploited the bug since July to steal corporate data and deploy GOLDVEIN Java shells.
    0 Comments 0 Shares 186 Views 0 Reviews
  • เหยื่อติดคอ ตอนที่ 4
    นิทานเรื่องจริง เรื่อง “เหยื่อติดคอ”
    ตอนที่ 4

    อเมริกาเริ่มมองหาผู้ที่น่าจะเหมาะสมเป็นหุ่นตัวใหม่แทน Shah สาระพัดฑูตและที่ปรึกษาถูกส่งตัวไปเดินหาข่าวแถวอิหร่าน แน่นอนทุกคนต่างหาเรื่องโกหกมาบังหน้าในการเดินเข้าไปอยู่ในสังคมอิหร่าน

    นาย Henry Precht นักการฑูตคนหนึ่ง ซึ่งถูกส่งไปเดินเล่นช่วงนั้น บรรยายถึงการปฏิบัติการดังกล่าว “เป็นปฏิบัติการสร้างหนทางสำหรับให้คนในสังคมการเมืองระดับสูง เข้ามาจัดตั้งรัฐบาลอิหร่านที่สนับสนุนอเมริกา”

    นาย William H. Sullivan ฑูตอเมริกันประจำอิหร่านช่วง ค.ศ.1977 ถึง ค.ศ.1979 พูดถึงช่วงเวลาดังกล่าวไว้ว่า “ในช่วงฤดูใบไม้ผลิของ ค.ศ.1978 (ประมาณ 1 ปี ก่อนมี Islamic Revolution ) สถานะการณ์ในอิหร่านเกิดการเปลี่ยนแปลง และเราก็คอยโอกาสนั้น……… สถานฑูตเราได้สร้างเครือข่ายติดต่อกับผู้ไม่เห็นด้วย (กับ Shah) และเราก็ทำให้พวกเขาเชื่อมั่น………. พวกเขาส่วนมากแปลกใจที่ความเห็นของเรากับของพวกเขาใกล้เคียงกันมาก……… เขา (Shah) ถามผมบ่อยๆว่า พวกนักสอนศาสนาเพื่อนคุณทำอะไรกันนะ ? ……”

    เมื่อพวกนักเดินเล่น ส่งรายงานกลับไปที่วอซิงตัน พวกเขาสรุปกันว่า อเมริกาควรสนับสนุนพวก Islamic ที่อยู่ตรงกันข้ามกับ Shah พวกนักการเมืองฝ่านค้าน อ่อนแอเกินไป ส่วนพรรคคอมมิวนิตส์ ก็ใกล้ชิดกับสหภาพโซเวียตมากไป พวก Islamic นี้ มีผู้นำชื่อ Ayatollah Ruhollah Khomeini ซึ่งอาศัยอยู่ที่เมือง Najif ในอิรักมาหลายปี ตั้งแต่ตั้งตัวเป็นฝ่ายตรงข้ามกับ Shah แต่ใน ค.ศ.1978 Saddam Hussein ไล่เขาออกไปจากอิรัก Khomeini ย้ายไปปักหลักแถวชานเมืองของปารีสที่ฝรั่งเศสชื่อ Neauphle Le Chateau

    เมื่ออยู่ที่เมือง Najif พวกอเมริกันไปแวะเยี่ยม Khomeini บ่อยๆ Richard Cottam พวก CIA กลุ่มที่มีส่วนในการสร้างการปฏิวัติโค่น Massadeq ได้ไปพบ Khomeini ในฐานะตัวแทนของรัฐบาลอเมริกัน Cottam เข้าใจว่า Khomeini มีความเป็นห่วงคอมมิวนิตส์จะเข้ามาครองอิหร่าน และบอกว่าจะต้องระวังไม่ใช่ไล่ Shah ออกไป แล้วเป็นการเปิดทางให้คอมมิวนิตส์เข้ามาครองอิหร่านแทน Khomeini ขอให้ Cottam สื่อสารกับนายที่วอซิงตันให้รู้เรื่องว่า Khomeini หวังจะได้รับการสนับสนุนจากอเมริกา หากพวกคอมมิวนิตส์ในอิหร่านต่อต้านการปฏิวัติ

    อเมริกาส่งตัวแทนไปคุยที่ Neauphle Le Chateau ในเดือนตุลาคม ค.ศ.1978 แล้ว Khomeini กับอเมริกา ก็ได้มีตกลงกันเป็นทางการว่า Khomeini ตกลงจะให้ความร่วมมือกับอเมริกา ถ้าอเมริกาจะช่วยเขาโค่น Shah และรับรองว่าหลังจากการปฏิวัติโค่น Shah อเมริกาจะไม่เข้ามายุ่งในกิจการภายในของอิหร่าน อเมริกาตกลงรับคำ
    ประธานาธิบดี Jimmy Carter ส่ง General Robert Huyser ไปอิหร่านเพื่อประสานงานกับพวกนายพลอิหร่าน Huyser ถึงอิหร่านในวันที่ 4 มกราคม ค.ศ.1979 เขาบอกกับนายพลอิหร่านว่า ถ้าพวกคุณไม่สนับสนุนการปฏิวัติของ Khomeini โดยนั่งอยู่เฉยๆแล้วละก้อ พวกคอมมิวนิตส์จะฉวยโอกาสนี้บุกเข้าประเทศคุณ เปลี่ยนอิหร่านเป็นรัฐคอมมิวนิตส์แน่นอน ข้อมูลนี้ปรากฏอยู่ในรายงานของ Al Watan รายงานในหนังสือพิมพ์ Kuwaiti วันที่ 18 สิงหาคม ค.ศ.1979 ประธานาธิบดี Carter เขียนไว้ในบันทึกความทรงจำของเขาว่า “Huyser มีความเห็นว่า กองทัพอิหร่านเตรียมพร้อมที่จะป้องกันอาวุธพวกเขา (ไม่ไห้ตกไปอยู่ในมือของคนอื่น) และรับรองว่าจะไม่ออกมาขัดขวางตามถนน”

    Shah เองก็สังหรณ์ใจว่า น่าจะมีอะไรผิดปกติ เขาเขียนในบันทึกความทรงจำเกี่ยวกับการมาอิหร่านของ General Huyser ในเดือนมกราคม ค.ศ.1979 ว่า “Huyser ไม่แจ้งเราล่วงหน้าถึงการมา เขามาเตหะรานบ่อยมาก และทุกครั้งจะแจ้งตารางการนัดพบล่วงหน้า เพื่อหารือกับเราเกี่ยวกับเรื่อ งการทหาร กับเราและพวกทหาร” แต่การมาคราวนี้ของ Huyser ไม่มีการแจ้งให้ Shah ทราบ Shah ได้เขียนบันทึกต่อไปว่า “Huyser ได้กล่อมให้หัวหน้าเลขาธิการของเรา General Ghara-Baghi ซึ่งพฤติกรรมช่วงหลังของเขา ทำให้เราเชื่อว่าเขาทรยศต่อเราแล้ว Huyser ขอให้ Ghara-Baghi นัดให้เขาพบกับทนายชื่อดังด้านสิทธิมนุษยชนชื่อ Mehdi Bazargan” (ซึ่งภายหลังได้รับการแต่งตั้งให้เป็นนายกรัฐมนตรีคนแรกของรัฐบาล Khomeini)

    “นายพล Ghara-Baghi แจ้งเราเกี่ยวกับเรื่องที่ Huyser ขอให้นัด ก่อนที่เราจะไปจากอิหร่าน และเราไม่รู้ว่าอะไรเกิดขึ้นหลังจากนั้น เรารู้แต่ว่า Ghara-Baghi ใช้อำนาจของเขา ห้ามกองทัพมิให้ขัดขวาง Khomeini เขาคนเดียวเท่านั้นที่รู้ว่า มีการตัดสินใจกันอย่างไรและในราคาใด เข้าใจว่าพวกนายพลของเราตอนหลังได้ถูกประหารชีวิตหมด ยกเว้น Ghara-Baghi ที่ได้รับผ่อนผัน คนช่วยเขาก็คือ Mehdi Bazargan นั่นแหละ”

    วันที่ 14 มกราคม ค.ศ.1979 ฑูตอเมริกันได้นัดพบกับ Ebrahin Yazedi ผู้ช่วยของ Khomeini พร้อมด้วยตัวแทนของกระทรวงต่างประเทศอเมริกา Yazedi อาศัยอยู่ในอเมริกาเป็นเวลานานตั้งแต่ ค.ศ.1961 เขาถูกบังคับให้ลี้ภัยจากอิหร่าน เพราะเขาต่อต้าน Shah หลังจากเข้าไปอยู่ในอเมริกา เขาผูกสัมพันธ์แน่นชิดกับ CIA และกระทรวงต่างประเทศอเมริกา ตอนหลังเขาได้แปลงสัญชาติเป็นอเมริกัน

    ระหว่างการนัดพบ Warren Zimmerman ในฐานะตัวแทนของกระทรวงต่างประเทศอเมริกา บอกให้ Yazedi แจ้ง Khomeini ให้คอยก่อน อย่างเพิ่งกลับมาอิหร่าน จนกว่า Huyser จะได้เตี๊ยมกับบรรดาพวกนายพลอิหร่านเรียบร้อยแล้ว หลังจากนั้นใน วันที่ 26 มกราคม ค.ศ.1979 นาย Ramsay Clark จากกระทรวงต่างประเทศก็ไปพบ Khomeini ที่ Neauphle Le Chateau หลังจากพบ เขาแจ้งแก่นักข่าวว่า เราหวังว่าการปฏิวัติจะสร้างความเป็นธรรมในสังคมให้กลับมาสู่ชาวอิหร่าน การปฏิวัติได้ถูกเตรียมการพร้อมเดินหน้าแล้ว

    วันที่ 1 กุมภาพันธ์ ค.ศ.1979 Khomeini ก็ขึ้นเครื่องบิน Air France จากปารีสบินเข้าเตหะราน ส่วน Shah รู้ว่าอะไรจะเกิดขึ้น และคงไม่อยู่ในสภาพที่จะระงับได้ 4 กุมภาพันธ์ ค.ศ.1979 Khomeini ก็ขึ้นมาเป็นผู้ครองอิหร่าน และตั้งรัฐบาลรักษาการณ์ มี Mehdi Bazargan เป็นหัวหน้ารัฐบาล
    Bazargan เป็นตัวเชื่อมโยงระหว่างพวกปฏิวัติ กับอเมริกา ในช่วง ค.ศ.1978 ตัวแทนของรัฐบาลอเมริกัน เช่น John Stempel, Hurry Precht, Warren Zimmerman และ Richard Cottam ต่างได้มาพบพูดคุยกับขบวนการ Iranian Freedom Movement ซึ่งนำโดย Bazargan อยู่ตลอด อเมริกาติดต่อกับ Bazargan โดยผ่านขบวนการ Freedom Movement นี้ตลอดช่วงเดือนแรกๆ หลังจากการปฏิวัติ

    Bazargan ได้แต่งตั้ง Abbas Amir Entezam ซึ่งอยู่อเมริกามากว่า 20 ปี ให้เป็นรองนายกรัฐมนตรี Entezam นี้ใกล้ชิดติดต่อกับ CIA มาตั้งแต่สมัยของ Massadeq และเป็นสายข่าวให้แก่ CIA เมื่อมีการสร้างปฏิวัติล้ม Massadeq นอกจากนี้ยังตั้ง Kerim Sanjabi เป็นรัฐมนตรีต่างประเทศ Sanjabi ก็เช่นกัน เป็นผู้ที่คุ้นเคยกับสถานฑูตอเมริกาในกรุงเตหะราน คณะรัฐมนตรีของ Bazargan สรุปแล้วมีคนอิหร่านถือสัญชาติอเมริกันถึง 5 คน

    ในบันทึกความทรงจำของประธานาธิบดี Carter เขียนชื่นชมว่า Bazargan และคณะรัฐบาล ซึ่งส่วนใหญ่เป็นผู้จบการศึกษาจากตะวันตกว่า ให้ความร่วมมือกับอเมริกาอย่าง ดีเยี่ยม คอยดูแลป้องกันสถานฑูต ดูแลการเดินทางของ General Philip C. Gast ซึ่งมาแทน Huyser และคอยส่งข่าวให้พวกเรา Bazargan เองก็ประกาศชัดเจนว่า ต้องการจะสร้างสัมพันธ์ไมตรีอันดียิ่งกับอเมริกา และอิหร่านก็จะกลับมาส่งน้ำมันให้แก่ลูกค้าตามปกติในเร็วๆนี้

    การปฏิวัติในอิหร่านในปี ค.ศ.1979 เหมือนเป็นการจับคู่ที่เหมาะสม ระหว่างกลุ่มอิสลามที่เคร่งครัดและไม่ชอบระบอบคอมมิวนิตส์ กับจักรวรรดิอเมริกาที่กีดกั้นระบอบคอมมิวนิตส์ แต่ไม่แน่ว่าการจับคู่ถูกในตอนนั้น จะไปลงท้ายด้วยการหย่าและเคียดแค้น หรือถือไม้เท้ายอดทองด้วยกัน

    สวัสดีครับ
    คนเล่านิทาน
    23 กันยายน 2557
    เหยื่อติดคอ ตอนที่ 4 นิทานเรื่องจริง เรื่อง “เหยื่อติดคอ” ตอนที่ 4 อเมริกาเริ่มมองหาผู้ที่น่าจะเหมาะสมเป็นหุ่นตัวใหม่แทน Shah สาระพัดฑูตและที่ปรึกษาถูกส่งตัวไปเดินหาข่าวแถวอิหร่าน แน่นอนทุกคนต่างหาเรื่องโกหกมาบังหน้าในการเดินเข้าไปอยู่ในสังคมอิหร่าน นาย Henry Precht นักการฑูตคนหนึ่ง ซึ่งถูกส่งไปเดินเล่นช่วงนั้น บรรยายถึงการปฏิบัติการดังกล่าว “เป็นปฏิบัติการสร้างหนทางสำหรับให้คนในสังคมการเมืองระดับสูง เข้ามาจัดตั้งรัฐบาลอิหร่านที่สนับสนุนอเมริกา” นาย William H. Sullivan ฑูตอเมริกันประจำอิหร่านช่วง ค.ศ.1977 ถึง ค.ศ.1979 พูดถึงช่วงเวลาดังกล่าวไว้ว่า “ในช่วงฤดูใบไม้ผลิของ ค.ศ.1978 (ประมาณ 1 ปี ก่อนมี Islamic Revolution ) สถานะการณ์ในอิหร่านเกิดการเปลี่ยนแปลง และเราก็คอยโอกาสนั้น……… สถานฑูตเราได้สร้างเครือข่ายติดต่อกับผู้ไม่เห็นด้วย (กับ Shah) และเราก็ทำให้พวกเขาเชื่อมั่น………. พวกเขาส่วนมากแปลกใจที่ความเห็นของเรากับของพวกเขาใกล้เคียงกันมาก……… เขา (Shah) ถามผมบ่อยๆว่า พวกนักสอนศาสนาเพื่อนคุณทำอะไรกันนะ ? ……” เมื่อพวกนักเดินเล่น ส่งรายงานกลับไปที่วอซิงตัน พวกเขาสรุปกันว่า อเมริกาควรสนับสนุนพวก Islamic ที่อยู่ตรงกันข้ามกับ Shah พวกนักการเมืองฝ่านค้าน อ่อนแอเกินไป ส่วนพรรคคอมมิวนิตส์ ก็ใกล้ชิดกับสหภาพโซเวียตมากไป พวก Islamic นี้ มีผู้นำชื่อ Ayatollah Ruhollah Khomeini ซึ่งอาศัยอยู่ที่เมือง Najif ในอิรักมาหลายปี ตั้งแต่ตั้งตัวเป็นฝ่ายตรงข้ามกับ Shah แต่ใน ค.ศ.1978 Saddam Hussein ไล่เขาออกไปจากอิรัก Khomeini ย้ายไปปักหลักแถวชานเมืองของปารีสที่ฝรั่งเศสชื่อ Neauphle Le Chateau เมื่ออยู่ที่เมือง Najif พวกอเมริกันไปแวะเยี่ยม Khomeini บ่อยๆ Richard Cottam พวก CIA กลุ่มที่มีส่วนในการสร้างการปฏิวัติโค่น Massadeq ได้ไปพบ Khomeini ในฐานะตัวแทนของรัฐบาลอเมริกัน Cottam เข้าใจว่า Khomeini มีความเป็นห่วงคอมมิวนิตส์จะเข้ามาครองอิหร่าน และบอกว่าจะต้องระวังไม่ใช่ไล่ Shah ออกไป แล้วเป็นการเปิดทางให้คอมมิวนิตส์เข้ามาครองอิหร่านแทน Khomeini ขอให้ Cottam สื่อสารกับนายที่วอซิงตันให้รู้เรื่องว่า Khomeini หวังจะได้รับการสนับสนุนจากอเมริกา หากพวกคอมมิวนิตส์ในอิหร่านต่อต้านการปฏิวัติ อเมริกาส่งตัวแทนไปคุยที่ Neauphle Le Chateau ในเดือนตุลาคม ค.ศ.1978 แล้ว Khomeini กับอเมริกา ก็ได้มีตกลงกันเป็นทางการว่า Khomeini ตกลงจะให้ความร่วมมือกับอเมริกา ถ้าอเมริกาจะช่วยเขาโค่น Shah และรับรองว่าหลังจากการปฏิวัติโค่น Shah อเมริกาจะไม่เข้ามายุ่งในกิจการภายในของอิหร่าน อเมริกาตกลงรับคำ ประธานาธิบดี Jimmy Carter ส่ง General Robert Huyser ไปอิหร่านเพื่อประสานงานกับพวกนายพลอิหร่าน Huyser ถึงอิหร่านในวันที่ 4 มกราคม ค.ศ.1979 เขาบอกกับนายพลอิหร่านว่า ถ้าพวกคุณไม่สนับสนุนการปฏิวัติของ Khomeini โดยนั่งอยู่เฉยๆแล้วละก้อ พวกคอมมิวนิตส์จะฉวยโอกาสนี้บุกเข้าประเทศคุณ เปลี่ยนอิหร่านเป็นรัฐคอมมิวนิตส์แน่นอน ข้อมูลนี้ปรากฏอยู่ในรายงานของ Al Watan รายงานในหนังสือพิมพ์ Kuwaiti วันที่ 18 สิงหาคม ค.ศ.1979 ประธานาธิบดี Carter เขียนไว้ในบันทึกความทรงจำของเขาว่า “Huyser มีความเห็นว่า กองทัพอิหร่านเตรียมพร้อมที่จะป้องกันอาวุธพวกเขา (ไม่ไห้ตกไปอยู่ในมือของคนอื่น) และรับรองว่าจะไม่ออกมาขัดขวางตามถนน” Shah เองก็สังหรณ์ใจว่า น่าจะมีอะไรผิดปกติ เขาเขียนในบันทึกความทรงจำเกี่ยวกับการมาอิหร่านของ General Huyser ในเดือนมกราคม ค.ศ.1979 ว่า “Huyser ไม่แจ้งเราล่วงหน้าถึงการมา เขามาเตหะรานบ่อยมาก และทุกครั้งจะแจ้งตารางการนัดพบล่วงหน้า เพื่อหารือกับเราเกี่ยวกับเรื่อ งการทหาร กับเราและพวกทหาร” แต่การมาคราวนี้ของ Huyser ไม่มีการแจ้งให้ Shah ทราบ Shah ได้เขียนบันทึกต่อไปว่า “Huyser ได้กล่อมให้หัวหน้าเลขาธิการของเรา General Ghara-Baghi ซึ่งพฤติกรรมช่วงหลังของเขา ทำให้เราเชื่อว่าเขาทรยศต่อเราแล้ว Huyser ขอให้ Ghara-Baghi นัดให้เขาพบกับทนายชื่อดังด้านสิทธิมนุษยชนชื่อ Mehdi Bazargan” (ซึ่งภายหลังได้รับการแต่งตั้งให้เป็นนายกรัฐมนตรีคนแรกของรัฐบาล Khomeini) “นายพล Ghara-Baghi แจ้งเราเกี่ยวกับเรื่องที่ Huyser ขอให้นัด ก่อนที่เราจะไปจากอิหร่าน และเราไม่รู้ว่าอะไรเกิดขึ้นหลังจากนั้น เรารู้แต่ว่า Ghara-Baghi ใช้อำนาจของเขา ห้ามกองทัพมิให้ขัดขวาง Khomeini เขาคนเดียวเท่านั้นที่รู้ว่า มีการตัดสินใจกันอย่างไรและในราคาใด เข้าใจว่าพวกนายพลของเราตอนหลังได้ถูกประหารชีวิตหมด ยกเว้น Ghara-Baghi ที่ได้รับผ่อนผัน คนช่วยเขาก็คือ Mehdi Bazargan นั่นแหละ” วันที่ 14 มกราคม ค.ศ.1979 ฑูตอเมริกันได้นัดพบกับ Ebrahin Yazedi ผู้ช่วยของ Khomeini พร้อมด้วยตัวแทนของกระทรวงต่างประเทศอเมริกา Yazedi อาศัยอยู่ในอเมริกาเป็นเวลานานตั้งแต่ ค.ศ.1961 เขาถูกบังคับให้ลี้ภัยจากอิหร่าน เพราะเขาต่อต้าน Shah หลังจากเข้าไปอยู่ในอเมริกา เขาผูกสัมพันธ์แน่นชิดกับ CIA และกระทรวงต่างประเทศอเมริกา ตอนหลังเขาได้แปลงสัญชาติเป็นอเมริกัน ระหว่างการนัดพบ Warren Zimmerman ในฐานะตัวแทนของกระทรวงต่างประเทศอเมริกา บอกให้ Yazedi แจ้ง Khomeini ให้คอยก่อน อย่างเพิ่งกลับมาอิหร่าน จนกว่า Huyser จะได้เตี๊ยมกับบรรดาพวกนายพลอิหร่านเรียบร้อยแล้ว หลังจากนั้นใน วันที่ 26 มกราคม ค.ศ.1979 นาย Ramsay Clark จากกระทรวงต่างประเทศก็ไปพบ Khomeini ที่ Neauphle Le Chateau หลังจากพบ เขาแจ้งแก่นักข่าวว่า เราหวังว่าการปฏิวัติจะสร้างความเป็นธรรมในสังคมให้กลับมาสู่ชาวอิหร่าน การปฏิวัติได้ถูกเตรียมการพร้อมเดินหน้าแล้ว วันที่ 1 กุมภาพันธ์ ค.ศ.1979 Khomeini ก็ขึ้นเครื่องบิน Air France จากปารีสบินเข้าเตหะราน ส่วน Shah รู้ว่าอะไรจะเกิดขึ้น และคงไม่อยู่ในสภาพที่จะระงับได้ 4 กุมภาพันธ์ ค.ศ.1979 Khomeini ก็ขึ้นมาเป็นผู้ครองอิหร่าน และตั้งรัฐบาลรักษาการณ์ มี Mehdi Bazargan เป็นหัวหน้ารัฐบาล Bazargan เป็นตัวเชื่อมโยงระหว่างพวกปฏิวัติ กับอเมริกา ในช่วง ค.ศ.1978 ตัวแทนของรัฐบาลอเมริกัน เช่น John Stempel, Hurry Precht, Warren Zimmerman และ Richard Cottam ต่างได้มาพบพูดคุยกับขบวนการ Iranian Freedom Movement ซึ่งนำโดย Bazargan อยู่ตลอด อเมริกาติดต่อกับ Bazargan โดยผ่านขบวนการ Freedom Movement นี้ตลอดช่วงเดือนแรกๆ หลังจากการปฏิวัติ Bazargan ได้แต่งตั้ง Abbas Amir Entezam ซึ่งอยู่อเมริกามากว่า 20 ปี ให้เป็นรองนายกรัฐมนตรี Entezam นี้ใกล้ชิดติดต่อกับ CIA มาตั้งแต่สมัยของ Massadeq และเป็นสายข่าวให้แก่ CIA เมื่อมีการสร้างปฏิวัติล้ม Massadeq นอกจากนี้ยังตั้ง Kerim Sanjabi เป็นรัฐมนตรีต่างประเทศ Sanjabi ก็เช่นกัน เป็นผู้ที่คุ้นเคยกับสถานฑูตอเมริกาในกรุงเตหะราน คณะรัฐมนตรีของ Bazargan สรุปแล้วมีคนอิหร่านถือสัญชาติอเมริกันถึง 5 คน ในบันทึกความทรงจำของประธานาธิบดี Carter เขียนชื่นชมว่า Bazargan และคณะรัฐบาล ซึ่งส่วนใหญ่เป็นผู้จบการศึกษาจากตะวันตกว่า ให้ความร่วมมือกับอเมริกาอย่าง ดีเยี่ยม คอยดูแลป้องกันสถานฑูต ดูแลการเดินทางของ General Philip C. Gast ซึ่งมาแทน Huyser และคอยส่งข่าวให้พวกเรา Bazargan เองก็ประกาศชัดเจนว่า ต้องการจะสร้างสัมพันธ์ไมตรีอันดียิ่งกับอเมริกา และอิหร่านก็จะกลับมาส่งน้ำมันให้แก่ลูกค้าตามปกติในเร็วๆนี้ การปฏิวัติในอิหร่านในปี ค.ศ.1979 เหมือนเป็นการจับคู่ที่เหมาะสม ระหว่างกลุ่มอิสลามที่เคร่งครัดและไม่ชอบระบอบคอมมิวนิตส์ กับจักรวรรดิอเมริกาที่กีดกั้นระบอบคอมมิวนิตส์ แต่ไม่แน่ว่าการจับคู่ถูกในตอนนั้น จะไปลงท้ายด้วยการหย่าและเคียดแค้น หรือถือไม้เท้ายอดทองด้วยกัน สวัสดีครับ คนเล่านิทาน 23 กันยายน 2557
    0 Comments 0 Shares 323 Views 0 Reviews
  • “Qualcomm เข้าซื้อ Arduino พร้อมเปิดตัวบอร์ด UNO Q — ยกระดับ AI สำหรับนักพัฒนา 33 ล้านคนทั่วโลก”

    Qualcomm สร้างความประหลาดใจให้กับวงการเทคโนโลยีด้วยการประกาศเข้าซื้อกิจการของ Arduino บริษัทฮาร์ดแวร์และซอฟต์แวร์โอเพ่นซอร์สที่มีผู้ใช้งานกว่า 33 ล้านคนทั่วโลก โดยดีลนี้มีเป้าหมายเพื่อขยายขอบเขตของ Qualcomm ในด้าน edge computing และ AI ให้เข้าถึงนักพัฒนาในระดับรากหญ้า ตั้งแต่นักเรียน ผู้ประกอบการ ไปจนถึงนักวิจัย

    แม้จะเปลี่ยนเจ้าของ แต่ Arduino จะยังคงรักษาแบรนด์ ความเป็นอิสระ และแนวทางโอเพ่นซอร์สไว้เช่นเดิม พร้อมเปิดตัวผลิตภัณฑ์แรกภายใต้ความร่วมมือคือ “Arduino UNO Q” — บอร์ดรุ่นใหม่ที่ใช้สถาปัตยกรรม “dual brain” โดยผสานพลังของ Qualcomm Dragonwing QRB2210 ซึ่งเป็นชิปประมวลผล Linux เข้ากับ STM32U585 MCU สำหรับงานควบคุมแบบเรียลไทม์

    UNO Q ถูกออกแบบมาเพื่อรองรับงานด้าน AI เช่น การประมวลผลภาพ เสียง และการควบคุมอุปกรณ์อัจฉริยะ โดยมีขนาดเท่ากับบอร์ด Arduino UNO รุ่นเดิม ทำให้สามารถใช้งานร่วมกับอุปกรณ์เสริม (shields) ที่มีอยู่แล้วได้ทันที

    นอกจากนี้ Arduino ยังเปิดตัว “App Lab” ซึ่งเป็นแพลตฟอร์มพัฒนาแบบใหม่ที่รวมการเขียนโปรแกรมด้วย Linux, Python, RTOS และ AI ไว้ในที่เดียว เพื่อให้การสร้างต้นแบบและการพัฒนาแอปพลิเคชัน AI เป็นเรื่องง่ายและเข้าถึงได้สำหรับทุกคน

    Qualcomm ระบุว่าการเข้าซื้อ Arduino เป็นส่วนหนึ่งของกลยุทธ์ในการสร้างแพลตฟอร์ม edge computing แบบครบวงจร โดยก่อนหน้านี้ก็ได้เข้าซื้อ Foundries.io และ Edge Impulse มาแล้ว เพื่อเสริมความแข็งแกร่งในด้านซอฟต์แวร์และการเรียนรู้ของเครื่อง

    ข้อมูลสำคัญจากข่าว
    Qualcomm เข้าซื้อ Arduino เพื่อขยายขอบเขตด้าน AI และ edge computing
    Arduino มีผู้ใช้งานกว่า 33 ล้านคนทั่วโลก
    Arduino จะยังคงรักษาแบรนด์และแนวทางโอเพ่นซอร์สไว้
    ผลิตภัณฑ์แรกคือ Arduino UNO Q ที่ใช้สถาปัตยกรรม “dual brain”
    ใช้ชิป Qualcomm Dragonwing QRB2210 สำหรับ Linux และ STM32U585 MCU สำหรับงานเรียลไทม์
    รองรับการประมวลผลภาพ เสียง และงานควบคุมอุปกรณ์อัจฉริยะ
    ขนาดบอร์ดเท่ากับ Arduino UNO รุ่นเดิม ใช้งานร่วมกับ shields ได้
    เปิดตัว App Lab สำหรับการพัฒนาแบบรวม Linux, Python, RTOS และ AI
    Qualcomm เคยเข้าซื้อ Foundries.io และ Edge Impulse เพื่อเสริมกลยุทธ์ edge computing

    ข้อมูลเสริมจากภายนอก
    STM32U585 MCU ใช้สถาปัตยกรรม Arm Cortex-M33 ความเร็วสูงสุด 160 MHz
    Dragonwing QRB2210 มี CPU Kryo 4 คอร์, GPU Adreno 702 และ DSP แบบ dual-core
    UNO Q รองรับการเชื่อมต่อผ่าน USB-C, Wi-Fi, Bluetooth และ eMMC storage
    สามารถใช้งานเป็นคอมพิวเตอร์เดี่ยวได้ เช่นเดียวกับ Raspberry Pi
    App Lab มีเป้าหมายเพื่อเร่งการพัฒนาและทดสอบโมเดล AI ด้วยข้อมูลจริง

    https://www.techradar.com/pro/qualcomm-acquires-arduino-in-surprising-move-that-puts-it-right-on-the-edge-and-at-the-helm-of-a-33-million-strong-maker-community
    🔧 “Qualcomm เข้าซื้อ Arduino พร้อมเปิดตัวบอร์ด UNO Q — ยกระดับ AI สำหรับนักพัฒนา 33 ล้านคนทั่วโลก” Qualcomm สร้างความประหลาดใจให้กับวงการเทคโนโลยีด้วยการประกาศเข้าซื้อกิจการของ Arduino บริษัทฮาร์ดแวร์และซอฟต์แวร์โอเพ่นซอร์สที่มีผู้ใช้งานกว่า 33 ล้านคนทั่วโลก โดยดีลนี้มีเป้าหมายเพื่อขยายขอบเขตของ Qualcomm ในด้าน edge computing และ AI ให้เข้าถึงนักพัฒนาในระดับรากหญ้า ตั้งแต่นักเรียน ผู้ประกอบการ ไปจนถึงนักวิจัย แม้จะเปลี่ยนเจ้าของ แต่ Arduino จะยังคงรักษาแบรนด์ ความเป็นอิสระ และแนวทางโอเพ่นซอร์สไว้เช่นเดิม พร้อมเปิดตัวผลิตภัณฑ์แรกภายใต้ความร่วมมือคือ “Arduino UNO Q” — บอร์ดรุ่นใหม่ที่ใช้สถาปัตยกรรม “dual brain” โดยผสานพลังของ Qualcomm Dragonwing QRB2210 ซึ่งเป็นชิปประมวลผล Linux เข้ากับ STM32U585 MCU สำหรับงานควบคุมแบบเรียลไทม์ UNO Q ถูกออกแบบมาเพื่อรองรับงานด้าน AI เช่น การประมวลผลภาพ เสียง และการควบคุมอุปกรณ์อัจฉริยะ โดยมีขนาดเท่ากับบอร์ด Arduino UNO รุ่นเดิม ทำให้สามารถใช้งานร่วมกับอุปกรณ์เสริม (shields) ที่มีอยู่แล้วได้ทันที นอกจากนี้ Arduino ยังเปิดตัว “App Lab” ซึ่งเป็นแพลตฟอร์มพัฒนาแบบใหม่ที่รวมการเขียนโปรแกรมด้วย Linux, Python, RTOS และ AI ไว้ในที่เดียว เพื่อให้การสร้างต้นแบบและการพัฒนาแอปพลิเคชัน AI เป็นเรื่องง่ายและเข้าถึงได้สำหรับทุกคน Qualcomm ระบุว่าการเข้าซื้อ Arduino เป็นส่วนหนึ่งของกลยุทธ์ในการสร้างแพลตฟอร์ม edge computing แบบครบวงจร โดยก่อนหน้านี้ก็ได้เข้าซื้อ Foundries.io และ Edge Impulse มาแล้ว เพื่อเสริมความแข็งแกร่งในด้านซอฟต์แวร์และการเรียนรู้ของเครื่อง ✅ ข้อมูลสำคัญจากข่าว ➡️ Qualcomm เข้าซื้อ Arduino เพื่อขยายขอบเขตด้าน AI และ edge computing ➡️ Arduino มีผู้ใช้งานกว่า 33 ล้านคนทั่วโลก ➡️ Arduino จะยังคงรักษาแบรนด์และแนวทางโอเพ่นซอร์สไว้ ➡️ ผลิตภัณฑ์แรกคือ Arduino UNO Q ที่ใช้สถาปัตยกรรม “dual brain” ➡️ ใช้ชิป Qualcomm Dragonwing QRB2210 สำหรับ Linux และ STM32U585 MCU สำหรับงานเรียลไทม์ ➡️ รองรับการประมวลผลภาพ เสียง และงานควบคุมอุปกรณ์อัจฉริยะ ➡️ ขนาดบอร์ดเท่ากับ Arduino UNO รุ่นเดิม ใช้งานร่วมกับ shields ได้ ➡️ เปิดตัว App Lab สำหรับการพัฒนาแบบรวม Linux, Python, RTOS และ AI ➡️ Qualcomm เคยเข้าซื้อ Foundries.io และ Edge Impulse เพื่อเสริมกลยุทธ์ edge computing ✅ ข้อมูลเสริมจากภายนอก ➡️ STM32U585 MCU ใช้สถาปัตยกรรม Arm Cortex-M33 ความเร็วสูงสุด 160 MHz ➡️ Dragonwing QRB2210 มี CPU Kryo 4 คอร์, GPU Adreno 702 และ DSP แบบ dual-core ➡️ UNO Q รองรับการเชื่อมต่อผ่าน USB-C, Wi-Fi, Bluetooth และ eMMC storage ➡️ สามารถใช้งานเป็นคอมพิวเตอร์เดี่ยวได้ เช่นเดียวกับ Raspberry Pi ➡️ App Lab มีเป้าหมายเพื่อเร่งการพัฒนาและทดสอบโมเดล AI ด้วยข้อมูลจริง https://www.techradar.com/pro/qualcomm-acquires-arduino-in-surprising-move-that-puts-it-right-on-the-edge-and-at-the-helm-of-a-33-million-strong-maker-community
    WWW.TECHRADAR.COM
    Qualcomm acquires Arduino and unveils new UNO Q AI board
    Arduino UNO Q will be the first product from the collaboration
    0 Comments 0 Shares 190 Views 0 Reviews
  • “ช่องโหว่ CVE-2025-10035 ใน GoAnywhere MFT ถูกใช้โจมตีจริง — Medusa Ransomware ลุยองค์กรทั่วโลก”

    Microsoft และนักวิจัยด้านความปลอดภัยออกคำเตือนด่วนหลังพบการโจมตีจริงจากช่องโหว่ร้ายแรง CVE-2025-10035 ในซอฟต์แวร์ GoAnywhere Managed File Transfer (MFT) ของบริษัท Fortra โดยช่องโหว่นี้มีคะแนน CVSS เต็ม 10.0 และเปิดทางให้แฮกเกอร์สามารถรันโค้ดจากระยะไกลได้ทันที โดยไม่ต้องยืนยันตัวตน หากสามารถปลอมลายเซ็นตอบกลับของ license ได้สำเร็จ

    ช่องโหว่นี้เกิดจากการจัดการข้อมูลแบบ deserialization ที่ไม่ปลอดภัยใน License Servlet ของ GoAnywhere MFT ซึ่งเปิดให้ผู้โจมตีส่งข้อมูลที่ควบคุมเองเข้าไปในระบบ และนำไปสู่การรันคำสั่งอันตรายบนเซิร์ฟเวอร์ที่ยังไม่ได้อัปเดต

    กลุ่มแฮกเกอร์ Storm-1175 ซึ่งเป็นพันธมิตรของ Medusa ransomware ได้เริ่มใช้ช่องโหว่นี้ตั้งแต่วันที่ 11 กันยายน 2025 ก่อนที่ Fortra จะออกประกาศอย่างเป็นทางการในวันที่ 18 กันยายน โดยการโจมตีมีลักษณะเป็นขั้นตอน ได้แก่:

    Initial Access: เจาะระบบผ่านช่องโหว่ CVE-2025-10035
    Persistence: ติดตั้งเครื่องมือ RMM เช่น SimpleHelp และ MeshAgent
    Post-Exploitation: สร้าง web shell (.jsp), สแกนระบบด้วย netscan
    Lateral Movement: ใช้ mstsc.exe เพื่อเคลื่อนย้ายภายในเครือข่าย
    Command & Control: ตั้งค่า Cloudflare tunnel เพื่อสื่อสารแบบเข้ารหัส
    Exfiltration & Impact: ใช้ Rclone ขโมยข้อมูล และปล่อย Medusa ransomware

    Microsoft ระบุว่าการโจมตีเกิดขึ้นในหลายองค์กร และแนะนำให้ผู้ดูแลระบบอัปเดต GoAnywhere MFT เป็นเวอร์ชันล่าสุดทันที พร้อมตรวจสอบ log ว่ามีการเรียกใช้ SignedObject.getObject หรือไม่ ซึ่งอาจเป็นสัญญาณของการเจาะระบบ

    ข้อมูลสำคัญจากข่าว
    ช่องโหว่ CVE-2025-10035 เป็นช่องโหว่ deserialization ใน GoAnywhere MFT
    คะแนน CVSS เต็ม 10.0 ถือเป็นระดับวิกฤต
    เปิดทางให้รันโค้ดจากระยะไกลโดยไม่ต้องยืนยันตัวตน
    เกิดจากการปลอม license response signature เพื่อหลอกระบบ
    ส่งผลกระทบต่อเวอร์ชัน Admin Console สูงสุดถึง 7.8.3
    กลุ่ม Storm-1175 ใช้ช่องโหว่นี้ในการโจมตีจริง
    ขั้นตอนการโจมตีมีทั้งการติดตั้ง RMM, สร้าง web shell, และขโมยข้อมูล
    Microsoft แนะนำให้อัปเดตและตรวจสอบ log สำหรับ SignedObject.getObject
    Fortra ออกแพตช์แก้ไขแล้ว และแนะนำให้ล็อกการเข้าถึง Admin Console จากอินเทอร์เน็ต

    ข้อมูลเสริมจากภายนอก
    Medusa ransomware เคยโจมตีองค์กรโครงสร้างพื้นฐานกว่า 300 แห่งในสหรัฐฯ
    Deserialization flaws เป็นช่องโหว่ที่พบได้บ่อยใน Java-based applications
    RMM tools เช่น MeshAgent มักถูกใช้ในเทคนิค “living off the land” เพื่อหลบการตรวจจับ
    Rclone เป็นเครื่องมือยอดนิยมในการขโมยข้อมูลจากระบบที่ถูกเจาะ
    การใช้ Cloudflare tunnel ทำให้การสื่อสารของแฮกเกอร์ไม่สามารถตรวจสอบได้ง่าย

    https://securityonline.info/critical-rce-cve-2025-10035-in-goanywhere-mft-used-by-medusa-ransomware-group/
    🚨 “ช่องโหว่ CVE-2025-10035 ใน GoAnywhere MFT ถูกใช้โจมตีจริง — Medusa Ransomware ลุยองค์กรทั่วโลก” Microsoft และนักวิจัยด้านความปลอดภัยออกคำเตือนด่วนหลังพบการโจมตีจริงจากช่องโหว่ร้ายแรง CVE-2025-10035 ในซอฟต์แวร์ GoAnywhere Managed File Transfer (MFT) ของบริษัท Fortra โดยช่องโหว่นี้มีคะแนน CVSS เต็ม 10.0 และเปิดทางให้แฮกเกอร์สามารถรันโค้ดจากระยะไกลได้ทันที โดยไม่ต้องยืนยันตัวตน หากสามารถปลอมลายเซ็นตอบกลับของ license ได้สำเร็จ ช่องโหว่นี้เกิดจากการจัดการข้อมูลแบบ deserialization ที่ไม่ปลอดภัยใน License Servlet ของ GoAnywhere MFT ซึ่งเปิดให้ผู้โจมตีส่งข้อมูลที่ควบคุมเองเข้าไปในระบบ และนำไปสู่การรันคำสั่งอันตรายบนเซิร์ฟเวอร์ที่ยังไม่ได้อัปเดต กลุ่มแฮกเกอร์ Storm-1175 ซึ่งเป็นพันธมิตรของ Medusa ransomware ได้เริ่มใช้ช่องโหว่นี้ตั้งแต่วันที่ 11 กันยายน 2025 ก่อนที่ Fortra จะออกประกาศอย่างเป็นทางการในวันที่ 18 กันยายน โดยการโจมตีมีลักษณะเป็นขั้นตอน ได้แก่: 🔰 Initial Access: เจาะระบบผ่านช่องโหว่ CVE-2025-10035 🔰 Persistence: ติดตั้งเครื่องมือ RMM เช่น SimpleHelp และ MeshAgent 🔰 Post-Exploitation: สร้าง web shell (.jsp), สแกนระบบด้วย netscan 🔰 Lateral Movement: ใช้ mstsc.exe เพื่อเคลื่อนย้ายภายในเครือข่าย 🔰 Command & Control: ตั้งค่า Cloudflare tunnel เพื่อสื่อสารแบบเข้ารหัส 🔰 Exfiltration & Impact: ใช้ Rclone ขโมยข้อมูล และปล่อย Medusa ransomware Microsoft ระบุว่าการโจมตีเกิดขึ้นในหลายองค์กร และแนะนำให้ผู้ดูแลระบบอัปเดต GoAnywhere MFT เป็นเวอร์ชันล่าสุดทันที พร้อมตรวจสอบ log ว่ามีการเรียกใช้ SignedObject.getObject หรือไม่ ซึ่งอาจเป็นสัญญาณของการเจาะระบบ ✅ ข้อมูลสำคัญจากข่าว ➡️ ช่องโหว่ CVE-2025-10035 เป็นช่องโหว่ deserialization ใน GoAnywhere MFT ➡️ คะแนน CVSS เต็ม 10.0 ถือเป็นระดับวิกฤต ➡️ เปิดทางให้รันโค้ดจากระยะไกลโดยไม่ต้องยืนยันตัวตน ➡️ เกิดจากการปลอม license response signature เพื่อหลอกระบบ ➡️ ส่งผลกระทบต่อเวอร์ชัน Admin Console สูงสุดถึง 7.8.3 ➡️ กลุ่ม Storm-1175 ใช้ช่องโหว่นี้ในการโจมตีจริง ➡️ ขั้นตอนการโจมตีมีทั้งการติดตั้ง RMM, สร้าง web shell, และขโมยข้อมูล ➡️ Microsoft แนะนำให้อัปเดตและตรวจสอบ log สำหรับ SignedObject.getObject ➡️ Fortra ออกแพตช์แก้ไขแล้ว และแนะนำให้ล็อกการเข้าถึง Admin Console จากอินเทอร์เน็ต ✅ ข้อมูลเสริมจากภายนอก ➡️ Medusa ransomware เคยโจมตีองค์กรโครงสร้างพื้นฐานกว่า 300 แห่งในสหรัฐฯ ➡️ Deserialization flaws เป็นช่องโหว่ที่พบได้บ่อยใน Java-based applications ➡️ RMM tools เช่น MeshAgent มักถูกใช้ในเทคนิค “living off the land” เพื่อหลบการตรวจจับ ➡️ Rclone เป็นเครื่องมือยอดนิยมในการขโมยข้อมูลจากระบบที่ถูกเจาะ ➡️ การใช้ Cloudflare tunnel ทำให้การสื่อสารของแฮกเกอร์ไม่สามารถตรวจสอบได้ง่าย https://securityonline.info/critical-rce-cve-2025-10035-in-goanywhere-mft-used-by-medusa-ransomware-group/
    SECURITYONLINE.INFO
    Critical RCE (CVE-2025-10035) in GoAnywhere MFT Used by Medusa Ransomware Group
    A Critical (CVSS 10.0) zero-day RCE flaw (CVE-2025-10035) in GoAnywhere MFT is being actively exploited by the Medusa ransomware group, Storm-1175. Patch immediately.
    0 Comments 0 Shares 214 Views 0 Reviews
  • “Oracle รีบออกแพตช์อุดช่องโหว่ Zero-Day หลังถูกโจมตีจริง — แฮกเกอร์ใช้ช่องโหว่ RCE ยึดระบบองค์กร”

    Oracle ต้องออกแพตช์ฉุกเฉินในต้นเดือนตุลาคม 2025 เพื่ออุดช่องโหว่ร้ายแรงในระบบ E-Business Suite หลังพบว่าถูกโจมตีจริงโดยกลุ่มแรนซัมแวร์ชื่อดังอย่าง Cl0p และ FIN11 ซึ่งใช้ช่องโหว่แบบ Zero-Day ที่ยังไม่มีใครรู้มาก่อนในการเจาะระบบขององค์กรต่าง ๆ ในสหรัฐฯ

    ช่องโหว่นี้ถูกระบุว่าเป็น CVE-2025-61882 โดยมีคะแนนความรุนแรงสูงถึง 9.8/10 และสามารถถูกโจมตีจากระยะไกลโดยไม่ต้องมีการยืนยันตัวตนใด ๆ แฮกเกอร์สามารถเข้าถึงระบบผ่าน HTTP และยึดการควบคุม Oracle Concurrent Processing ได้ทันที

    การโจมตีเริ่มต้นจากการส่งอีเมลข่มขู่ไปยังผู้บริหารองค์กร โดยอ้างว่าขโมยข้อมูลสำคัญจากระบบ Oracle EBS ไปแล้ว ซึ่งตอนแรกยังไม่แน่ชัดว่าเป็นเรื่องจริงหรือไม่ แต่เมื่อ Oracle ออกแพตช์ฉุกเฉินและยืนยันว่ามีการโจมตีเกิดขึ้นจริง ก็ทำให้สถานการณ์ชัดเจนขึ้น

    กลุ่มแฮกเกอร์ใช้บัญชีอีเมลที่ถูกแฮกจำนวนมากในการส่งอีเมลข่มขู่ และมีหลักฐานเชื่อมโยงกับบัญชีที่เคยใช้โดย FIN11 รวมถึงมีการพบข้อมูลติดต่อที่เคยปรากฏบนเว็บไซต์ของ Cl0p ทำให้เชื่อได้ว่าทั้งสองกลุ่มอาจร่วมมือกันหรือแชร์ทรัพยากรในการโจมตีครั้งนี้

    Oracle ได้เผยแพร่ Indicators of Compromise (IoCs) เพื่อให้ลูกค้าตรวจสอบว่าระบบของตนถูกเจาะหรือไม่ และเตือนว่าแม้จะติดตั้งแพตช์แล้ว ก็ยังควรตรวจสอบย้อนหลัง เพราะการโจมตีอาจเกิดขึ้นก่อนหน้านั้นแล้ว

    ข้อมูลสำคัญจากข่าว
    ช่องโหว่ CVE-2025-61882 เป็น Zero-Day ที่ถูกใช้โจมตี Oracle E-Business Suite
    ช่องโหว่นี้มีคะแนนความรุนแรง 9.8/10 และไม่ต้องยืนยันตัวตนในการโจมตี
    แฮกเกอร์สามารถเข้าถึงระบบผ่าน HTTP และยึด Oracle Concurrent Processing ได้
    กลุ่ม Cl0p และ FIN11 ถูกระบุว่าอยู่เบื้องหลังการโจมตี
    เริ่มจากการส่งอีเมลข่มขู่ผู้บริหารองค์กรในสหรัฐฯ
    Oracle ออกแพตช์ฉุกเฉินและเผยแพร่ IoCs ให้ลูกค้าตรวจสอบระบบ
    มีการใช้บัญชีอีเมลที่ถูกแฮกจำนวนมากในการส่งอีเมลข่มขู่
    พบข้อมูลติดต่อที่เคยอยู่บนเว็บไซต์ของ Cl0p ในอีเมลที่ส่งถึงเหยื่อ
    Oracle แนะนำให้ตรวจสอบย้อนหลังแม้จะติดตั้งแพตช์แล้ว

    ข้อมูลเสริมจากภายนอก
    Cl0p เคยใช้ช่องโหว่ Zero-Day ในการโจมตี MOVEit และ Fortra มาก่อน
    FIN11 เป็นกลุ่มแฮกเกอร์ที่มีแรงจูงใจทางการเงินและมีประวัติการใช้แรนซัมแวร์
    ช่องโหว่ใน Oracle EBS เคยถูกใช้โจมตีในปี 2022 โดยกลุ่มไม่ทราบชื่อ
    การโจมตีแบบ Zero-Day มักเกิดก่อนที่ผู้ผลิตจะรู้และออกแพตช์
    การใช้ XSLT ร่วมกับ JavaScript และ ScriptEngine เป็นเทคนิคที่ใช้ใน exploit ล่าสุด

    https://www.techradar.com/pro/security/oracle-forced-to-rush-out-patch-for-zero-day-exploited-in-attacks
    🛡️ “Oracle รีบออกแพตช์อุดช่องโหว่ Zero-Day หลังถูกโจมตีจริง — แฮกเกอร์ใช้ช่องโหว่ RCE ยึดระบบองค์กร” Oracle ต้องออกแพตช์ฉุกเฉินในต้นเดือนตุลาคม 2025 เพื่ออุดช่องโหว่ร้ายแรงในระบบ E-Business Suite หลังพบว่าถูกโจมตีจริงโดยกลุ่มแรนซัมแวร์ชื่อดังอย่าง Cl0p และ FIN11 ซึ่งใช้ช่องโหว่แบบ Zero-Day ที่ยังไม่มีใครรู้มาก่อนในการเจาะระบบขององค์กรต่าง ๆ ในสหรัฐฯ ช่องโหว่นี้ถูกระบุว่าเป็น CVE-2025-61882 โดยมีคะแนนความรุนแรงสูงถึง 9.8/10 และสามารถถูกโจมตีจากระยะไกลโดยไม่ต้องมีการยืนยันตัวตนใด ๆ แฮกเกอร์สามารถเข้าถึงระบบผ่าน HTTP และยึดการควบคุม Oracle Concurrent Processing ได้ทันที การโจมตีเริ่มต้นจากการส่งอีเมลข่มขู่ไปยังผู้บริหารองค์กร โดยอ้างว่าขโมยข้อมูลสำคัญจากระบบ Oracle EBS ไปแล้ว ซึ่งตอนแรกยังไม่แน่ชัดว่าเป็นเรื่องจริงหรือไม่ แต่เมื่อ Oracle ออกแพตช์ฉุกเฉินและยืนยันว่ามีการโจมตีเกิดขึ้นจริง ก็ทำให้สถานการณ์ชัดเจนขึ้น กลุ่มแฮกเกอร์ใช้บัญชีอีเมลที่ถูกแฮกจำนวนมากในการส่งอีเมลข่มขู่ และมีหลักฐานเชื่อมโยงกับบัญชีที่เคยใช้โดย FIN11 รวมถึงมีการพบข้อมูลติดต่อที่เคยปรากฏบนเว็บไซต์ของ Cl0p ทำให้เชื่อได้ว่าทั้งสองกลุ่มอาจร่วมมือกันหรือแชร์ทรัพยากรในการโจมตีครั้งนี้ Oracle ได้เผยแพร่ Indicators of Compromise (IoCs) เพื่อให้ลูกค้าตรวจสอบว่าระบบของตนถูกเจาะหรือไม่ และเตือนว่าแม้จะติดตั้งแพตช์แล้ว ก็ยังควรตรวจสอบย้อนหลัง เพราะการโจมตีอาจเกิดขึ้นก่อนหน้านั้นแล้ว ✅ ข้อมูลสำคัญจากข่าว ➡️ ช่องโหว่ CVE-2025-61882 เป็น Zero-Day ที่ถูกใช้โจมตี Oracle E-Business Suite ➡️ ช่องโหว่นี้มีคะแนนความรุนแรง 9.8/10 และไม่ต้องยืนยันตัวตนในการโจมตี ➡️ แฮกเกอร์สามารถเข้าถึงระบบผ่าน HTTP และยึด Oracle Concurrent Processing ได้ ➡️ กลุ่ม Cl0p และ FIN11 ถูกระบุว่าอยู่เบื้องหลังการโจมตี ➡️ เริ่มจากการส่งอีเมลข่มขู่ผู้บริหารองค์กรในสหรัฐฯ ➡️ Oracle ออกแพตช์ฉุกเฉินและเผยแพร่ IoCs ให้ลูกค้าตรวจสอบระบบ ➡️ มีการใช้บัญชีอีเมลที่ถูกแฮกจำนวนมากในการส่งอีเมลข่มขู่ ➡️ พบข้อมูลติดต่อที่เคยอยู่บนเว็บไซต์ของ Cl0p ในอีเมลที่ส่งถึงเหยื่อ ➡️ Oracle แนะนำให้ตรวจสอบย้อนหลังแม้จะติดตั้งแพตช์แล้ว ✅ ข้อมูลเสริมจากภายนอก ➡️ Cl0p เคยใช้ช่องโหว่ Zero-Day ในการโจมตี MOVEit และ Fortra มาก่อน ➡️ FIN11 เป็นกลุ่มแฮกเกอร์ที่มีแรงจูงใจทางการเงินและมีประวัติการใช้แรนซัมแวร์ ➡️ ช่องโหว่ใน Oracle EBS เคยถูกใช้โจมตีในปี 2022 โดยกลุ่มไม่ทราบชื่อ ➡️ การโจมตีแบบ Zero-Day มักเกิดก่อนที่ผู้ผลิตจะรู้และออกแพตช์ ➡️ การใช้ XSLT ร่วมกับ JavaScript และ ScriptEngine เป็นเทคนิคที่ใช้ใน exploit ล่าสุด https://www.techradar.com/pro/security/oracle-forced-to-rush-out-patch-for-zero-day-exploited-in-attacks
    WWW.TECHRADAR.COM
    Oracle forced to rush out patch for zero-day exploited in attacks
    Zero-day in Oracle E-Business Suite is being exploited in the wild
    0 Comments 0 Shares 210 Views 0 Reviews
  • “Oracle ถูกขู่เรียกค่าไถ่จากแฮกเกอร์ — ข้อมูลลูกค้า E-Business Suite อาจถูกเจาะผ่านช่องโหว่เดิม”

    Oracle กำลังเผชิญกับการโจมตีไซเบอร์ครั้งใหญ่ เมื่อกลุ่มแฮกเกอร์ที่เชื่อมโยงกับ Cl0p ransomware ได้ส่งอีเมลขู่เรียกค่าไถ่ไปยังผู้บริหารขององค์กรต่าง ๆ ที่ใช้ระบบ Oracle E-Business Suite โดยอ้างว่าขโมยข้อมูลสำคัญไปแล้ว และเรียกร้องเงินสูงสุดถึง 50 ล้านดอลลาร์เพื่อไม่ให้เปิดเผยข้อมูลเหล่านั้น

    การโจมตีเริ่มต้นเมื่อปลายเดือนกันยายน 2025 โดยแฮกเกอร์ใช้บัญชีอีเมลที่ถูกเจาะจำนวนมาก ส่งอีเมลไปยังผู้บริหารระดับสูง พร้อมแนบหลักฐาน เช่น ภาพหน้าจอและโครงสร้างไฟล์ เพื่อแสดงว่าพวกเขาเข้าถึงระบบได้จริง แม้ว่า Google และ Mandiant จะยังไม่สามารถยืนยันได้ว่าข้อมูลถูกขโมยจริงหรือไม่ แต่ก็พบว่ามีการใช้บัญชีที่เคยเกี่ยวข้องกับกลุ่ม Cl0p และ FIN11 ซึ่งเป็นกลุ่มอาชญากรรมไซเบอร์ที่มีประวัติการโจมตีองค์กรขนาดใหญ่ทั่วโลก

    ช่องทางที่แฮกเกอร์ใช้คือการเจาะบัญชีผู้ใช้และใช้ฟีเจอร์รีเซ็ตรหัสผ่านในหน้า AppsLocalLogin.jsp ซึ่งมักไม่อยู่ภายใต้ระบบ SSO และไม่มีการเปิดใช้ MFA ทำให้สามารถเข้าถึงระบบได้โดยง่าย โดย Oracle ยอมรับว่าการโจมตีอาจใช้ช่องโหว่ที่เคยถูกระบุไว้ก่อนหน้านี้ และแนะนำให้ลูกค้าอัปเดตแพตช์ล่าสุดทันที

    แม้จะยังไม่มีการยืนยันว่าข้อมูลถูกขโมยจริง แต่ผู้เชี่ยวชาญเตือนว่าแค่อีเมลขู่ก็สามารถสร้างความเสียหายต่อชื่อเสียงและความเชื่อมั่นขององค์กรได้แล้ว และแนะนำให้ทุกองค์กรที่ใช้ Oracle EBS ตรวจสอบระบบอย่างละเอียดเพื่อหาหลักฐานการเจาะระบบหรือการเข้าถึงที่ผิดปกติ

    ข้อมูลสำคัญจากข่าว
    Oracle ยืนยันว่าลูกค้าได้รับอีเมลขู่เรียกค่าไถ่จากแฮกเกอร์
    กลุ่มที่เกี่ยวข้องคือ Cl0p และ FIN11 ซึ่งมีประวัติการโจมตีองค์กรขนาดใหญ่
    อีเมลขู่มีหลักฐาน เช่น ภาพหน้าจอและโครงสร้างไฟล์ เพื่อเพิ่มแรงกดดัน
    เริ่มต้นเมื่อปลายเดือนกันยายน 2025 และยังดำเนินอยู่
    ใช้ช่องทางรีเซ็ตรหัสผ่านผ่านหน้า AppsLocalLogin.jsp ที่ไม่มี MFA
    Oracle แนะนำให้ลูกค้าอัปเดตแพตช์ล่าสุดเพื่อปิดช่องโหว่
    มีการเรียกร้องเงินสูงสุดถึง 50 ล้านดอลลาร์ในบางกรณี
    อีเมลถูกส่งจากบัญชีที่เคยเกี่ยวข้องกับ Cl0p และปรากฏบนเว็บ data leak ของกลุ่ม
    Google และ Mandiant ยังไม่สามารถยืนยันได้ว่าข้อมูลถูกขโมยจริง

    ข้อมูลเสริมจากภายนอก
    Oracle E-Business Suite เป็นระบบ ERP ที่ใช้จัดการการเงิน, HR, CRM และซัพพลายเชน
    Cl0p เคยโจมตี MOVEit Transfer ในปี 2023 ทำให้ข้อมูลรั่วไหลจากองค์กรกว่า 2,700 แห่ง
    FIN11 เป็นกลุ่มที่ใช้ Cl0p ransomware และมีประวัติการโจมตีแบบ phishing และ credential abuse
    การไม่มี MFA ในระบบ login ภายในองค์กรเป็นช่องโหว่ที่พบได้บ่อย
    การรีเซ็ตรหัสผ่านผ่านหน้าเว็บที่เปิดสาธารณะเป็นจุดเสี่ยงสูง

    https://www.thestar.com.my/tech/tech-news/2025/10/03/oracle-says-hackers-are-trying-to-extort-its-customers
    🕵️‍♂️ “Oracle ถูกขู่เรียกค่าไถ่จากแฮกเกอร์ — ข้อมูลลูกค้า E-Business Suite อาจถูกเจาะผ่านช่องโหว่เดิม” Oracle กำลังเผชิญกับการโจมตีไซเบอร์ครั้งใหญ่ เมื่อกลุ่มแฮกเกอร์ที่เชื่อมโยงกับ Cl0p ransomware ได้ส่งอีเมลขู่เรียกค่าไถ่ไปยังผู้บริหารขององค์กรต่าง ๆ ที่ใช้ระบบ Oracle E-Business Suite โดยอ้างว่าขโมยข้อมูลสำคัญไปแล้ว และเรียกร้องเงินสูงสุดถึง 50 ล้านดอลลาร์เพื่อไม่ให้เปิดเผยข้อมูลเหล่านั้น การโจมตีเริ่มต้นเมื่อปลายเดือนกันยายน 2025 โดยแฮกเกอร์ใช้บัญชีอีเมลที่ถูกเจาะจำนวนมาก ส่งอีเมลไปยังผู้บริหารระดับสูง พร้อมแนบหลักฐาน เช่น ภาพหน้าจอและโครงสร้างไฟล์ เพื่อแสดงว่าพวกเขาเข้าถึงระบบได้จริง แม้ว่า Google และ Mandiant จะยังไม่สามารถยืนยันได้ว่าข้อมูลถูกขโมยจริงหรือไม่ แต่ก็พบว่ามีการใช้บัญชีที่เคยเกี่ยวข้องกับกลุ่ม Cl0p และ FIN11 ซึ่งเป็นกลุ่มอาชญากรรมไซเบอร์ที่มีประวัติการโจมตีองค์กรขนาดใหญ่ทั่วโลก ช่องทางที่แฮกเกอร์ใช้คือการเจาะบัญชีผู้ใช้และใช้ฟีเจอร์รีเซ็ตรหัสผ่านในหน้า AppsLocalLogin.jsp ซึ่งมักไม่อยู่ภายใต้ระบบ SSO และไม่มีการเปิดใช้ MFA ทำให้สามารถเข้าถึงระบบได้โดยง่าย โดย Oracle ยอมรับว่าการโจมตีอาจใช้ช่องโหว่ที่เคยถูกระบุไว้ก่อนหน้านี้ และแนะนำให้ลูกค้าอัปเดตแพตช์ล่าสุดทันที แม้จะยังไม่มีการยืนยันว่าข้อมูลถูกขโมยจริง แต่ผู้เชี่ยวชาญเตือนว่าแค่อีเมลขู่ก็สามารถสร้างความเสียหายต่อชื่อเสียงและความเชื่อมั่นขององค์กรได้แล้ว และแนะนำให้ทุกองค์กรที่ใช้ Oracle EBS ตรวจสอบระบบอย่างละเอียดเพื่อหาหลักฐานการเจาะระบบหรือการเข้าถึงที่ผิดปกติ ✅ ข้อมูลสำคัญจากข่าว ➡️ Oracle ยืนยันว่าลูกค้าได้รับอีเมลขู่เรียกค่าไถ่จากแฮกเกอร์ ➡️ กลุ่มที่เกี่ยวข้องคือ Cl0p และ FIN11 ซึ่งมีประวัติการโจมตีองค์กรขนาดใหญ่ ➡️ อีเมลขู่มีหลักฐาน เช่น ภาพหน้าจอและโครงสร้างไฟล์ เพื่อเพิ่มแรงกดดัน ➡️ เริ่มต้นเมื่อปลายเดือนกันยายน 2025 และยังดำเนินอยู่ ➡️ ใช้ช่องทางรีเซ็ตรหัสผ่านผ่านหน้า AppsLocalLogin.jsp ที่ไม่มี MFA ➡️ Oracle แนะนำให้ลูกค้าอัปเดตแพตช์ล่าสุดเพื่อปิดช่องโหว่ ➡️ มีการเรียกร้องเงินสูงสุดถึง 50 ล้านดอลลาร์ในบางกรณี ➡️ อีเมลถูกส่งจากบัญชีที่เคยเกี่ยวข้องกับ Cl0p และปรากฏบนเว็บ data leak ของกลุ่ม ➡️ Google และ Mandiant ยังไม่สามารถยืนยันได้ว่าข้อมูลถูกขโมยจริง ✅ ข้อมูลเสริมจากภายนอก ➡️ Oracle E-Business Suite เป็นระบบ ERP ที่ใช้จัดการการเงิน, HR, CRM และซัพพลายเชน ➡️ Cl0p เคยโจมตี MOVEit Transfer ในปี 2023 ทำให้ข้อมูลรั่วไหลจากองค์กรกว่า 2,700 แห่ง ➡️ FIN11 เป็นกลุ่มที่ใช้ Cl0p ransomware และมีประวัติการโจมตีแบบ phishing และ credential abuse ➡️ การไม่มี MFA ในระบบ login ภายในองค์กรเป็นช่องโหว่ที่พบได้บ่อย ➡️ การรีเซ็ตรหัสผ่านผ่านหน้าเว็บที่เปิดสาธารณะเป็นจุดเสี่ยงสูง https://www.thestar.com.my/tech/tech-news/2025/10/03/oracle-says-hackers-are-trying-to-extort-its-customers
    WWW.THESTAR.COM.MY
    Oracle says hackers are trying to extort its customers
    WASHINGTON (Reuters) -Oracle said on Thursday that customers of its E-Business Suite of products "have received extortion emails," confirming a warning first issued on Wednesday by Alphabet's Google.
    0 Comments 0 Shares 277 Views 0 Reviews
  • “GreyNoise พบการโจมตีแบบประสานงานทั่วโลก เจาะช่องโหว่ Grafana CVE-2021-43798 — แค่ปลั๊กอินเดียว ก็อ่านไฟล์ระบบได้”

    แม้ช่องโหว่ CVE-2021-43798 ใน Grafana จะถูกเปิดเผยมาตั้งแต่ปี 2021 แต่ล่าสุดเมื่อวันที่ 28 กันยายน 2025 บริษัท GreyNoise ได้ตรวจพบการโจมตีแบบประสานงานทั่วโลกที่พุ่งเป้าไปยังช่องโหว่นี้อย่างชัดเจน โดยมี IP ที่เป็นอันตรายถึง 110 รายการในวันเดียว ซึ่งถือเป็นการพุ่งขึ้นอย่างรวดเร็วหลังจากที่กิจกรรมโจมตีเงียบไปนานหลายเดือน

    ช่องโหว่นี้เป็นแบบ path traversal ซึ่งเปิดให้ผู้โจมตีสามารถอ่านไฟล์ใดก็ได้ในระบบเซิร์ฟเวอร์ผ่าน endpoint /public/plugins/:pluginId โดยใช้เทคนิคการใส่ path แบบ ../../ เพื่อหลบหลีกการตรวจสอบและเข้าถึงไฟล์สำคัญ เช่น /etc/passwd โดยไม่ต้องมีสิทธิ์พิเศษ

    จากการวิเคราะห์ของ GreyNoise พบว่าการโจมตีครั้งนี้มีรูปแบบการกระจายเป้าหมายแบบ 3:1:1 โดยเน้นไปที่สหรัฐฯ (100+ IP), สโลวาเกีย และไต้หวัน โดย IP ส่วนใหญ่ (107 จาก 110) มาจากบังกลาเทศ และเกือบทั้งหมดพุ่งเป้าไปยังเซิร์ฟเวอร์ในสหรัฐฯ ซึ่งแสดงให้เห็นถึงการวางแผนและการใช้เครื่องมือร่วมกัน

    นอกจากนี้ยังพบว่ามีการใช้ fingerprint แบบ TCP และ HTTP ที่คล้ายกันในหลายประเทศ เช่น จีนและเยอรมนี ซึ่งบ่งชี้ว่าการโจมตีครั้งนี้ไม่ใช่การสุ่ม แต่เป็นการใช้เครื่องมือชุดเดียวกันหรือรายการเป้าหมายร่วมกัน

    ช่องโหว่นี้เคยถูกใช้ในแคมเปญ SSRF และการ takeover บัญชีผู้ใช้ในอดีต และยังคงถูกวิจัยและนำไปใช้ใน exploit chain หลายรูปแบบ โดยเฉพาะในขั้นตอน reconnaissance และ lateral movement

    ข้อมูลสำคัญจากข่าว
    GreyNoise ตรวจพบการโจมตีแบบประสานงานต่อช่องโหว่ Grafana CVE-2021-43798 เมื่อวันที่ 28 ก.ย. 2025
    ช่องโหว่เป็นแบบ path traversal ผ่าน endpoint /public/plugins/:pluginId
    ผู้โจมตีสามารถอ่านไฟล์ระบบ เช่น /etc/passwd โดยไม่ต้องล็อกอิน
    พบ IP อันตราย 110 รายการในวันเดียว โดย 107 มาจากบังกลาเทศ
    รูปแบบการโจมตีกระจายเป้าหมายแบบ 3:1:1 (สหรัฐฯ:สโลวาเกีย:ไต้หวัน)
    พบ fingerprint แบบ TCP/HTTP ที่คล้ายกันในหลายประเทศ
    ช่องโหว่นี้เคยถูกใช้ใน SSRF และ exploit chain สำหรับ takeover บัญชี
    Grafana ได้ออก patch ตั้งแต่เวอร์ชัน 8.3.1 เพื่อแก้ไขช่องโหว่นี้

    ข้อมูลเสริมจากภายนอก
    CVE-2021-43798 มีคะแนน CVSS 7.5 ถือว่าเป็นช่องโหว่ระดับสูง
    Grafana เป็นเครื่องมือ visualisation ยอดนิยมในระบบ monitoring เช่น Prometheus
    Path traversal เป็นเทคนิคที่ใช้หลบหลีกการตรวจสอบ path เพื่อเข้าถึงไฟล์นอกขอบเขต
    SSRF (Server-Side Request Forgery) เป็นเทคนิคที่ใช้เซิร์ฟเวอร์ส่งคำขอไปยังระบบภายใน
    การใช้ reverse proxy ที่ normalize path เช่น Envoy สามารถช่วยลดความเสี่ยงได้

    https://securityonline.info/greynoise-detects-coordinated-surge-exploiting-grafana-path-traversal-flaw-cve-2021-43798/
    🌐 “GreyNoise พบการโจมตีแบบประสานงานทั่วโลก เจาะช่องโหว่ Grafana CVE-2021-43798 — แค่ปลั๊กอินเดียว ก็อ่านไฟล์ระบบได้” แม้ช่องโหว่ CVE-2021-43798 ใน Grafana จะถูกเปิดเผยมาตั้งแต่ปี 2021 แต่ล่าสุดเมื่อวันที่ 28 กันยายน 2025 บริษัท GreyNoise ได้ตรวจพบการโจมตีแบบประสานงานทั่วโลกที่พุ่งเป้าไปยังช่องโหว่นี้อย่างชัดเจน โดยมี IP ที่เป็นอันตรายถึง 110 รายการในวันเดียว ซึ่งถือเป็นการพุ่งขึ้นอย่างรวดเร็วหลังจากที่กิจกรรมโจมตีเงียบไปนานหลายเดือน ช่องโหว่นี้เป็นแบบ path traversal ซึ่งเปิดให้ผู้โจมตีสามารถอ่านไฟล์ใดก็ได้ในระบบเซิร์ฟเวอร์ผ่าน endpoint /public/plugins/:pluginId โดยใช้เทคนิคการใส่ path แบบ ../../ เพื่อหลบหลีกการตรวจสอบและเข้าถึงไฟล์สำคัญ เช่น /etc/passwd โดยไม่ต้องมีสิทธิ์พิเศษ จากการวิเคราะห์ของ GreyNoise พบว่าการโจมตีครั้งนี้มีรูปแบบการกระจายเป้าหมายแบบ 3:1:1 โดยเน้นไปที่สหรัฐฯ (100+ IP), สโลวาเกีย และไต้หวัน โดย IP ส่วนใหญ่ (107 จาก 110) มาจากบังกลาเทศ และเกือบทั้งหมดพุ่งเป้าไปยังเซิร์ฟเวอร์ในสหรัฐฯ ซึ่งแสดงให้เห็นถึงการวางแผนและการใช้เครื่องมือร่วมกัน นอกจากนี้ยังพบว่ามีการใช้ fingerprint แบบ TCP และ HTTP ที่คล้ายกันในหลายประเทศ เช่น จีนและเยอรมนี ซึ่งบ่งชี้ว่าการโจมตีครั้งนี้ไม่ใช่การสุ่ม แต่เป็นการใช้เครื่องมือชุดเดียวกันหรือรายการเป้าหมายร่วมกัน ช่องโหว่นี้เคยถูกใช้ในแคมเปญ SSRF และการ takeover บัญชีผู้ใช้ในอดีต และยังคงถูกวิจัยและนำไปใช้ใน exploit chain หลายรูปแบบ โดยเฉพาะในขั้นตอน reconnaissance และ lateral movement ✅ ข้อมูลสำคัญจากข่าว ➡️ GreyNoise ตรวจพบการโจมตีแบบประสานงานต่อช่องโหว่ Grafana CVE-2021-43798 เมื่อวันที่ 28 ก.ย. 2025 ➡️ ช่องโหว่เป็นแบบ path traversal ผ่าน endpoint /public/plugins/:pluginId ➡️ ผู้โจมตีสามารถอ่านไฟล์ระบบ เช่น /etc/passwd โดยไม่ต้องล็อกอิน ➡️ พบ IP อันตราย 110 รายการในวันเดียว โดย 107 มาจากบังกลาเทศ ➡️ รูปแบบการโจมตีกระจายเป้าหมายแบบ 3:1:1 (สหรัฐฯ:สโลวาเกีย:ไต้หวัน) ➡️ พบ fingerprint แบบ TCP/HTTP ที่คล้ายกันในหลายประเทศ ➡️ ช่องโหว่นี้เคยถูกใช้ใน SSRF และ exploit chain สำหรับ takeover บัญชี ➡️ Grafana ได้ออก patch ตั้งแต่เวอร์ชัน 8.3.1 เพื่อแก้ไขช่องโหว่นี้ ✅ ข้อมูลเสริมจากภายนอก ➡️ CVE-2021-43798 มีคะแนน CVSS 7.5 ถือว่าเป็นช่องโหว่ระดับสูง ➡️ Grafana เป็นเครื่องมือ visualisation ยอดนิยมในระบบ monitoring เช่น Prometheus ➡️ Path traversal เป็นเทคนิคที่ใช้หลบหลีกการตรวจสอบ path เพื่อเข้าถึงไฟล์นอกขอบเขต ➡️ SSRF (Server-Side Request Forgery) เป็นเทคนิคที่ใช้เซิร์ฟเวอร์ส่งคำขอไปยังระบบภายใน ➡️ การใช้ reverse proxy ที่ normalize path เช่น Envoy สามารถช่วยลดความเสี่ยงได้ https://securityonline.info/greynoise-detects-coordinated-surge-exploiting-grafana-path-traversal-flaw-cve-2021-43798/
    SECURITYONLINE.INFO
    GreyNoise Detects Coordinated Surge Exploiting Grafana Path Traversal Flaw (CVE-2021-43798)
    GreyNoise observed a sudden, coordinated surge of 110 unique IPs exploiting the Grafana path traversal flaw (CVE-2021-43798), targeting only the US, Slovakia, and Taiwan.
    0 Comments 0 Shares 225 Views 0 Reviews
  • “PoC หลุด! ช่องโหว่ Linux Kernel เปิดทางผู้ใช้ธรรมดาเข้าถึงสิทธิ Root — ระบบเสี่ยงทั่วโลก”

    เมื่อวันที่ 2 ตุลาคม 2025 มีการเปิดเผยช่องโหว่ร้ายแรงใน Linux Kernel ที่สามารถใช้เพื่อยกระดับสิทธิจากผู้ใช้ธรรมดาให้กลายเป็น root ได้ โดยช่องโหว่นี้เกี่ยวข้องกับการจัดการหน่วยความจำผิดพลาดในฟีเจอร์ vsock (Virtual Socket) ซึ่งใช้สำหรับการสื่อสารระหว่าง virtual machines โดยเฉพาะในระบบคลาวด์และ virtualization เช่น VMware

    ช่องโหว่นี้ถูกจัดอยู่ในประเภท Use-After-Free (UAF) ซึ่งเกิดจากการลดค่าการอ้างอิงของวัตถุใน kernel ก่อนเวลาอันควร ทำให้ผู้โจมตีสามารถเข้าควบคุมหน่วยความจำที่ถูกปล่อยแล้ว และฝังโค้ดอันตรายเพื่อเข้าถึงสิทธิระดับ kernel ได้

    นักวิจัยด้านความปลอดภัยได้เผยแพร่ proof-of-concept (PoC) ที่แสดงให้เห็นขั้นตอนการโจมตีอย่างละเอียด ตั้งแต่การบังคับให้ kernel ปล่อย vsock object ไปจนถึงการ reclaim หน่วยความจำด้วยข้อมูลที่ควบคุมได้ และการหลบเลี่ยง KASLR (Kernel Address Space Layout Randomization) เพื่อเข้าถึงโครงสร้างภายในของ kernel

    ช่องโหว่นี้มีผลกระทบต่อระบบ Linux จำนวนมหาศาล โดยเฉพาะในสภาพแวดล้อมที่ใช้ virtualization และ container เช่น OpenShift หรือ Red Hat Enterprise Linux CoreOS ซึ่งแม้บางระบบจะมีสิทธิ root อยู่แล้ว แต่ก็ยังเปิดช่องให้เกิดการโจมตีแบบ lateral movement หรือการฝัง backdoor ได้ในระดับ kernel

    ข้อมูลสำคัญจากข่าว
    ช่องโหว่เกิดจากการจัดการ reference count ผิดพลาดใน vsock subsystem ของ Linux Kernel
    ประเภทช่องโหว่คือ Use-After-Free (UAF) ซึ่งเปิดช่องให้ควบคุมหน่วยความจำที่ถูกปล่อย
    มีการเผยแพร่ PoC ที่แสดงขั้นตอนการโจมตีอย่างละเอียด
    ผู้โจมตีสามารถหลบเลี่ยง KASLR และ hijack control flow เพื่อเข้าถึงสิทธิ root
    ระบบที่ใช้ virtualization เช่น VMware และ OpenShift ได้รับผลกระทบโดยตรง
    Linux distributions ได้ออก patch แล้วสำหรับ kernel เวอร์ชันที่ได้รับผลกระทบ
    การโจมตีสามารถเกิดขึ้นได้จากผู้ใช้ธรรมดาที่ไม่มีสิทธิ root
    การใช้ vsock_diag_dump เป็นช่องทางในการ leak kernel address

    ข้อมูลเสริมจากภายนอก
    Use-After-Free เป็นช่องโหว่ที่พบได้บ่อยในระบบที่มีการจัดการหน่วยความจำแบบ dynamic
    KASLR เป็นเทคนิคที่ใช้สุ่มตำแหน่งหน่วยความจำเพื่อป้องกันการโจมตี
    PoC ที่เผยแพร่ช่วยให้ผู้ดูแลระบบสามารถทดสอบและตรวจสอบช่องโหว่ได้รวดเร็วขึ้น
    การโจมตีระดับ kernel มีความรุนแรงสูง เพราะสามารถควบคุมระบบทั้งหมดได้
    ระบบ container ที่เปิดใช้งาน user namespaces มีความเสี่ยงเพิ่มขึ้น

    https://securityonline.info/poc-released-linux-kernel-flaw-allows-user-to-gain-root-privileges/
    🛡️ “PoC หลุด! ช่องโหว่ Linux Kernel เปิดทางผู้ใช้ธรรมดาเข้าถึงสิทธิ Root — ระบบเสี่ยงทั่วโลก” เมื่อวันที่ 2 ตุลาคม 2025 มีการเปิดเผยช่องโหว่ร้ายแรงใน Linux Kernel ที่สามารถใช้เพื่อยกระดับสิทธิจากผู้ใช้ธรรมดาให้กลายเป็น root ได้ โดยช่องโหว่นี้เกี่ยวข้องกับการจัดการหน่วยความจำผิดพลาดในฟีเจอร์ vsock (Virtual Socket) ซึ่งใช้สำหรับการสื่อสารระหว่าง virtual machines โดยเฉพาะในระบบคลาวด์และ virtualization เช่น VMware ช่องโหว่นี้ถูกจัดอยู่ในประเภท Use-After-Free (UAF) ซึ่งเกิดจากการลดค่าการอ้างอิงของวัตถุใน kernel ก่อนเวลาอันควร ทำให้ผู้โจมตีสามารถเข้าควบคุมหน่วยความจำที่ถูกปล่อยแล้ว และฝังโค้ดอันตรายเพื่อเข้าถึงสิทธิระดับ kernel ได้ นักวิจัยด้านความปลอดภัยได้เผยแพร่ proof-of-concept (PoC) ที่แสดงให้เห็นขั้นตอนการโจมตีอย่างละเอียด ตั้งแต่การบังคับให้ kernel ปล่อย vsock object ไปจนถึงการ reclaim หน่วยความจำด้วยข้อมูลที่ควบคุมได้ และการหลบเลี่ยง KASLR (Kernel Address Space Layout Randomization) เพื่อเข้าถึงโครงสร้างภายในของ kernel ช่องโหว่นี้มีผลกระทบต่อระบบ Linux จำนวนมหาศาล โดยเฉพาะในสภาพแวดล้อมที่ใช้ virtualization และ container เช่น OpenShift หรือ Red Hat Enterprise Linux CoreOS ซึ่งแม้บางระบบจะมีสิทธิ root อยู่แล้ว แต่ก็ยังเปิดช่องให้เกิดการโจมตีแบบ lateral movement หรือการฝัง backdoor ได้ในระดับ kernel ✅ ข้อมูลสำคัญจากข่าว ➡️ ช่องโหว่เกิดจากการจัดการ reference count ผิดพลาดใน vsock subsystem ของ Linux Kernel ➡️ ประเภทช่องโหว่คือ Use-After-Free (UAF) ซึ่งเปิดช่องให้ควบคุมหน่วยความจำที่ถูกปล่อย ➡️ มีการเผยแพร่ PoC ที่แสดงขั้นตอนการโจมตีอย่างละเอียด ➡️ ผู้โจมตีสามารถหลบเลี่ยง KASLR และ hijack control flow เพื่อเข้าถึงสิทธิ root ➡️ ระบบที่ใช้ virtualization เช่น VMware และ OpenShift ได้รับผลกระทบโดยตรง ➡️ Linux distributions ได้ออก patch แล้วสำหรับ kernel เวอร์ชันที่ได้รับผลกระทบ ➡️ การโจมตีสามารถเกิดขึ้นได้จากผู้ใช้ธรรมดาที่ไม่มีสิทธิ root ➡️ การใช้ vsock_diag_dump เป็นช่องทางในการ leak kernel address ✅ ข้อมูลเสริมจากภายนอก ➡️ Use-After-Free เป็นช่องโหว่ที่พบได้บ่อยในระบบที่มีการจัดการหน่วยความจำแบบ dynamic ➡️ KASLR เป็นเทคนิคที่ใช้สุ่มตำแหน่งหน่วยความจำเพื่อป้องกันการโจมตี ➡️ PoC ที่เผยแพร่ช่วยให้ผู้ดูแลระบบสามารถทดสอบและตรวจสอบช่องโหว่ได้รวดเร็วขึ้น ➡️ การโจมตีระดับ kernel มีความรุนแรงสูง เพราะสามารถควบคุมระบบทั้งหมดได้ ➡️ ระบบ container ที่เปิดใช้งาน user namespaces มีความเสี่ยงเพิ่มขึ้น https://securityonline.info/poc-released-linux-kernel-flaw-allows-user-to-gain-root-privileges/
    SECURITYONLINE.INFO
    PoC Released: Linux Kernel Flaw Allows User to Gain Root Privileges
    A high-severity flaw in the Linux ethtool netlink interface (CVE-2025-21701) enables a Use-After-Free attack to gain root privileges. A PoC has been publicly released.
    0 Comments 0 Shares 152 Views 0 Reviews
  • Highlight Words In Action : September 2025

    acrimony noun: sharpness, harshness, or bitterness of nature, speech, disposition, etc.

    From the headlines: European trade ministers gathered on July 14 to discuss the new U.S. tariffs, aiming to ease the acrimony between the EU and the Trump administration. While they planned potential countermeasures against the 30 percent tariffs, which they deemed “unacceptable,” they were united in favor of pursuing a negotiated agreement with the U.S. to maintain stable trade ties.

    adamant
    adjective: utterly unyielding in attitude or opinion in spite of all appeals, urgings, etc.

    From the headlines: Mars, the maker of M&M’s, Skittles, and other popular candies, remains adamant that it will only stop using synthetic dyes in its candy if legally required. While other food companies have announced plans to phase out artificial colors in items like Lucky Charms, Jell-O, and Kool-Aid, some candy manufacturers are holding firm. They argue that natural alternatives cost more and don’t deliver the same vibrant colors.

    aerial
    adjective: existing, living, growing, or operating in the air

    From the headlines: On June 29, Russia launched its largest aerial assault of the war in Ukraine, firing more missiles than in any previous attack since the beginning of the war in 2022. The strikes hit multiple Ukrainian cities, injuring at least a dozen people and damaging key infrastructure.

    autonomous
    adjective: existing as an independent entity

    From the headlines: Robots competed in a fully autonomous soccer tournament in Beijing, with four teams of three humanoid robots each operating solely under AI control. Although the idea was innovative, the robots had trouble with basic actions like kicking and staying balanced. Tsinghua University’s THU Robotics team clinched the championship by scoring five goals in the final round.

    bioluminescent
    adjective: pertaining to the production of light by living organisms

    From the headlines: A new research project will try to interpret the meaning of fireflies’ blinking. Scientists in Colorado enlisted the help of citizen observers to record videos of the bioluminescent insects at dusk. Researchers will eventually make a 3D map of where the glowing lights flash over time. While they know firefly blinks follow a deliberate pattern and are used to attract a mate, experts believe there is more to learn.

    bodega
    noun: a small, independent or family-owned grocery store, usually located in a densely populated urban environment

    From the headlines: A recent crime spree in New York City has targeted bodega ATMs. Thefts of cash machines have increased over the past five years, and New York’s small corner stores have been hit particularly hard. Three people are suspected of stealing almost $600,000 over six months by breaking into independent convenience stores, removing their ATMs, and driving away with them in stolen cars.

    contretemps
    noun: an inopportune occurrence; an embarrassing mischance

    From the headlines: After a contretemps between the Quebec Board of the French Language and Montreal’s transit agency, new rules grudgingly allow the use of the word “go” when cheering sports teams. The Board had objected to a Montreal Canadiens ad campaign that read “Go! Canadiens Go!” Tasked with preserving the province’s French heritage, the Board had been insisting on replacing the signs with “Allez! Canadiens Allez!”

    decorum
    noun: dignified propriety of behavior, speech, dress, etc.

    From the headlines: La Scala has introduced a new dress code requiring attendees to “choose clothing in keeping with the decorum of the theatre.” The renowned Milan opera house is codifying its long-standing policy discouraging attire like flip-flops, shorts, and tank tops. Guests are now expected to dress with elegance, honoring both the opera house’s refined ambiance and its storied cultural legacy.

    driftwood
    noun: pieces of trees that are floating on a body of water or have been washed ashore

    From the headlines: In rural Alaska, residents of some villages and small towns are continuing a long tradition by using driftwood for fuel and as energy-efficient siding for their homes. The pieces of wood, worn smooth by ocean waves or currents in rivers and streams, have been used this way by Indigenous Alaskans for thousands of years. Communities save money and protect the environment by reusing old trees or boards found floating in the water instead of buying lumber and logs.

    eavesdrop
    verb: to listen secretly to a private conversation

    From the headlines: Ecologists have found that long-billed curlews and other grassland nesters routinely eavesdrop on prairie dogs to dodge predators. Sharing a habitat where hawks, eagles, foxes, and other Great Plains animals lurk, the birds capitalize on the rodents’ warning calls. After eavesdropping on these distinctive calls, the curlews and other birds crouch or camouflage themselves until the threat has passed.

    emulate
    verb: to imitate with effort to equal or surpass

    From the headlines: Inspired by Paris’s recent success, cities across the globe are preparing to emulate its efforts to restore polluted urban rivers for public use. After a hundred-year swimming ban, Parisians can now take a dip in the once-contaminated Seine, thanks to more than a billion dollars spent on upgrades like sewer improvements and rainwater storage. Cities such as Berlin, Boston, New York, and London are developing similar plans to clean their waterways and make them safe for swimming once again.

    estuary
    noun: the part of the mouth or lower course of a river in which the river’s current meets the sea’s tide

    From the headlines: Florida Governor Ron DeSantis signed a bill that will ban oil drilling on the Apalachicola River. The river’s estuary is home to many endangered plants and animals, including the world’s largest stand of tupelo trees. The inlet is also the most important site in the state’s oyster industry. Environmentalists and fishermen supported the bill and pushed DeSantis to sign it.

    Fun fact: A Latin word meaning “boiling of the sea” is the root of estuary.

    gentrification
    noun: the buying and renovation of property in urban neighborhoods in a way that often displaces low-income families and small businesses

    From the headlines: Protesters in Mexico City say they’re angry about gentrification caused by large numbers of foreigners moving there since 2020. Locals say they have seen formerly affordable housing prices skyrocket as the numbers of short-term rentals and expats increase. Airbnb listings in the city have exploded to over 20,000, and Americans have arrived in particularly large numbers to buy and renovate houses. In the process, they say these factors have driven up costs for everyone, including local residents.

    hedonism
    noun: the doctrine that pleasure or happiness is the highest good

    From the headlines: Researchers say there are six traits that make someone seem “cool” to others, including extroversion, power, and embracing hedonism. An American Psychological Association study surveyed 6,000 people in 12 countries and found a sharp division between people seen as “good” versus “cool.” Being hedonistic, for example, didn’t make someone seem “good,” but focusing on one’s own happiness and pleasure was strongly associated with appearing “cool.”

    kayak
    verb: to travel by a traditional Inuit or Yupik canoe with a skin cover on a light framework, or by a small boat resembling this

    From the headlines: Several dozen Native American teens who spent a month kayaking the length of the Klamath River reached their destination. The group paddled their long, narrow boats about 300 miles, from Oregon to California, to celebrate the removal of four dams. The waterway holds a deep significance to Native American tribes, and many of the teens learned to kayak specifically to participate in the long paddle.

    larceny
    noun: the wrongful taking of someone’s property or goods

    From the headlines: Atlanta police have identified a suspect in the theft of hard drives holding unreleased Beyoncé songs. Setlists and plans for concert footage were also stolen when the alleged thief broke into a vehicle rented by the singer’s team. The larceny occurred during a stop on her Cowboy Carter tour.

    linchpin
    noun: something that holds the various elements of a complicated structure together

    From the headlines: The Department of Defense will stop supplying meteorologists with satellite data, which experts describe as a linchpin of storm modeling. Forecasts for hurricanes rely heavily on this military satellite feed to track storm paths and determine when people should evacuate.

    matcha
    noun: finely ground tea leaf powder used to make tea or as a flavoring, or the tea made from it

    From the headlines: The worldwide demand for matcha is causing severe shortages and higher prices. The bright green, grassy-flavored, powdered tea has a long history in Japan, but its popularity in other countries has exploded in recent years. Drinks and baked goods made with matcha have become wildly popular, causing Japanese tea growers to struggle to keep up with the demand.

    meteorite
    noun: a mass of stone or metal that has reached the earth from outer space

    From the headlines: On July 16, a bidder paid $4.3 million to own a chunk of Mars. The rare Martian meteorite, which weighs about 54 pounds, is the largest meteor fragment ever found on Earth that’s known to come from the red planet. Out of approximately 77,000 confirmed meteorites, only 400 were originally part of Mars. This one, named NWA 16788, was found in the Sahara Desert after its 140-million-mile journey through space.

    monastery
    noun: a residence occupied by a community of persons, especially monks, living in seclusion under religious vows

    From the headlines: Tens of thousands of books are being removed from a medieval Hungarian monastery to save them from a beetle infestation. The Pannonhalma Archabbey contains Hungary’s oldest library and some of the country’s most ancient and valuable books and written records. The monastery was founded 1,000 years ago by Benedictines, and about fifty monks live there today, practicing religious contemplation and solitude.

    nuptials
    noun: a marriage ceremony, or a social event accompanying one

    From the headlines: Protesters took to the streets in Venice as Amazon founder Jeff Bezos and Lauren Sanchez held their nuptials on a Venetian island, complete with 200 guests and three days of extravagant celebrations. Locals expressed outrage, saying the event placed additional strain on a city already struggling with overtourism and environmental fragility.

    offering
    noun: something presented to a deity as a symbol of devotion

    From the headlines: Archaeologists discovered about 2,000 pottery offerings on the Greek island of Kythnos. Historians said the clay figures, which represent children, women, and animals, had been left by devoted worshippers over the centuries. Two ancient temples once stood on the site, as well as a pit where the objects given as gifts to the gods were eventually thrown away to make room for new offerings.

    parody
    noun: a humorous or satirical imitation of a serious piece of writing or art

    From the headlines: Weird Al Yankovic, famed for his clever musical parodies, performed to a sold-out crowd at Madison Square Garden in New York, marking his first show at the iconic 20,000-seat venue. Over his forty-year career, Yankovic has become the most recognizable figure in the parody genre, with hits such as “Like a Surgeon,” a spoof of Madonna’s “Like a Virgin,” and “I Love Rocky Road,” a playful take on “I Love Rock ‘n Roll.”

    perennial
    adjective: arising repeatedly or always existing

    From the headlines: Joey Chestnut, the perennial champion of the Nathan’s Famous Hot Dog Eating Contest, reclaimed his crown this year after missing last year’s competition. He was sidelined in 2024 due to a sponsorship deal with a vegan meat brand, but prior to that, Chestnut had claimed victory in 16 of the past 17 contests. He still holds the world record for devouring 76 hot dogs and buns in just 10 minutes in 2021.

    philanthropist
    noun: someone who makes charitable donations

    From the headlines: Warren Buffett said he would donate $6 billion to five charitable foundations. The businessman and philanthropist, whose net worth is approximately $145 billion, has previously given more than $50 billion to the aforementioned foundations. While Buffet’s children will decide how to give away the rest of his fortune after his death, he said that more than 99 percent of it will have to be used philanthropically.

    plunder
    verb: to take wrongfully, as by pillage, robbery, or fraud

    From the headlines: Experts assumed that a Stradivarius violin plundered after World War II had been lost or destroyed; now it appears to have resurfaced. The 316-year-old instrument was stolen from a Berlin bank safe during the chaos at the end of the war, and the family who owned it searched for decades before giving up. An image of the looted violin, which is valued at millions of dollars, was discovered among photos of Stradivarius instruments from a 2018 Tokyo exhibition.

    risotto
    noun: a dish of rice cooked with broth and flavored with grated cheese and other ingredients

    From the headlines: The short-grain Italian rice that’s used to make risotto is under threat from an unusual culprit: flamingos. Flocks of the birds are settling into northern Italian rice paddies instead of their usual nesting grounds. By stirring the shallow water and rooting for mollusks, the flamingos are destroying many valuable rice crops.

    skittish
    adjective: easily frightened or extremely cautious

    From the headlines: Economists report that despite a low unemployment rate, employers are increasingly skittish about hiring, leaving many recent college graduates struggling to find jobs. Numerous tech companies, consulting firms, and federal agencies are cutting back or freezing hiring, while other industries are hesitant to increase payroll expenses. Furthermore, fewer workers are quitting, limiting job openings even more.

    synthetic
    adjective: pertaining to compounds formed through a chemical process by human agency, as opposed to those of natural origin

    From the headlines: The J.M. Smucker Company has announced it will phase out synthetic dyes from its jams and other offerings. While many of its products are already made without artificial colors, some, including sugar-free jams and Hostess snacks like Twinkies and Snoballs, still rely on them. The company intends to use naturally sourced dyes by 2027.

    tandem
    adverb: one following or behind the other

    From the headlines: Researchers were surprised by video evidence of animals that are normally at odds traveling in tandem. A night-vision camera recorded an ocelot traveling peacefully behind an opossum — a surprise, since ocelots usually prey on opossums. Later footage showed the opossum trailing the ocelot as it prowled. Other researchers have since reported at least three additional examples of such behavior.

    © 2025, Aakkhra, All rights reserved.
    Highlight Words In Action : September 2025 acrimony noun: sharpness, harshness, or bitterness of nature, speech, disposition, etc. From the headlines: European trade ministers gathered on July 14 to discuss the new U.S. tariffs, aiming to ease the acrimony between the EU and the Trump administration. While they planned potential countermeasures against the 30 percent tariffs, which they deemed “unacceptable,” they were united in favor of pursuing a negotiated agreement with the U.S. to maintain stable trade ties. adamant adjective: utterly unyielding in attitude or opinion in spite of all appeals, urgings, etc. From the headlines: Mars, the maker of M&M’s, Skittles, and other popular candies, remains adamant that it will only stop using synthetic dyes in its candy if legally required. While other food companies have announced plans to phase out artificial colors in items like Lucky Charms, Jell-O, and Kool-Aid, some candy manufacturers are holding firm. They argue that natural alternatives cost more and don’t deliver the same vibrant colors. aerial adjective: existing, living, growing, or operating in the air From the headlines: On June 29, Russia launched its largest aerial assault of the war in Ukraine, firing more missiles than in any previous attack since the beginning of the war in 2022. The strikes hit multiple Ukrainian cities, injuring at least a dozen people and damaging key infrastructure. autonomous adjective: existing as an independent entity From the headlines: Robots competed in a fully autonomous soccer tournament in Beijing, with four teams of three humanoid robots each operating solely under AI control. Although the idea was innovative, the robots had trouble with basic actions like kicking and staying balanced. Tsinghua University’s THU Robotics team clinched the championship by scoring five goals in the final round. bioluminescent adjective: pertaining to the production of light by living organisms From the headlines: A new research project will try to interpret the meaning of fireflies’ blinking. Scientists in Colorado enlisted the help of citizen observers to record videos of the bioluminescent insects at dusk. Researchers will eventually make a 3D map of where the glowing lights flash over time. While they know firefly blinks follow a deliberate pattern and are used to attract a mate, experts believe there is more to learn. bodega noun: a small, independent or family-owned grocery store, usually located in a densely populated urban environment From the headlines: A recent crime spree in New York City has targeted bodega ATMs. Thefts of cash machines have increased over the past five years, and New York’s small corner stores have been hit particularly hard. Three people are suspected of stealing almost $600,000 over six months by breaking into independent convenience stores, removing their ATMs, and driving away with them in stolen cars. contretemps noun: an inopportune occurrence; an embarrassing mischance From the headlines: After a contretemps between the Quebec Board of the French Language and Montreal’s transit agency, new rules grudgingly allow the use of the word “go” when cheering sports teams. The Board had objected to a Montreal Canadiens ad campaign that read “Go! Canadiens Go!” Tasked with preserving the province’s French heritage, the Board had been insisting on replacing the signs with “Allez! Canadiens Allez!” decorum noun: dignified propriety of behavior, speech, dress, etc. From the headlines: La Scala has introduced a new dress code requiring attendees to “choose clothing in keeping with the decorum of the theatre.” The renowned Milan opera house is codifying its long-standing policy discouraging attire like flip-flops, shorts, and tank tops. Guests are now expected to dress with elegance, honoring both the opera house’s refined ambiance and its storied cultural legacy. driftwood noun: pieces of trees that are floating on a body of water or have been washed ashore From the headlines: In rural Alaska, residents of some villages and small towns are continuing a long tradition by using driftwood for fuel and as energy-efficient siding for their homes. The pieces of wood, worn smooth by ocean waves or currents in rivers and streams, have been used this way by Indigenous Alaskans for thousands of years. Communities save money and protect the environment by reusing old trees or boards found floating in the water instead of buying lumber and logs. eavesdrop verb: to listen secretly to a private conversation From the headlines: Ecologists have found that long-billed curlews and other grassland nesters routinely eavesdrop on prairie dogs to dodge predators. Sharing a habitat where hawks, eagles, foxes, and other Great Plains animals lurk, the birds capitalize on the rodents’ warning calls. After eavesdropping on these distinctive calls, the curlews and other birds crouch or camouflage themselves until the threat has passed. emulate verb: to imitate with effort to equal or surpass From the headlines: Inspired by Paris’s recent success, cities across the globe are preparing to emulate its efforts to restore polluted urban rivers for public use. After a hundred-year swimming ban, Parisians can now take a dip in the once-contaminated Seine, thanks to more than a billion dollars spent on upgrades like sewer improvements and rainwater storage. Cities such as Berlin, Boston, New York, and London are developing similar plans to clean their waterways and make them safe for swimming once again. estuary noun: the part of the mouth or lower course of a river in which the river’s current meets the sea’s tide From the headlines: Florida Governor Ron DeSantis signed a bill that will ban oil drilling on the Apalachicola River. The river’s estuary is home to many endangered plants and animals, including the world’s largest stand of tupelo trees. The inlet is also the most important site in the state’s oyster industry. Environmentalists and fishermen supported the bill and pushed DeSantis to sign it. Fun fact: A Latin word meaning “boiling of the sea” is the root of estuary. gentrification noun: the buying and renovation of property in urban neighborhoods in a way that often displaces low-income families and small businesses From the headlines: Protesters in Mexico City say they’re angry about gentrification caused by large numbers of foreigners moving there since 2020. Locals say they have seen formerly affordable housing prices skyrocket as the numbers of short-term rentals and expats increase. Airbnb listings in the city have exploded to over 20,000, and Americans have arrived in particularly large numbers to buy and renovate houses. In the process, they say these factors have driven up costs for everyone, including local residents. hedonism noun: the doctrine that pleasure or happiness is the highest good From the headlines: Researchers say there are six traits that make someone seem “cool” to others, including extroversion, power, and embracing hedonism. An American Psychological Association study surveyed 6,000 people in 12 countries and found a sharp division between people seen as “good” versus “cool.” Being hedonistic, for example, didn’t make someone seem “good,” but focusing on one’s own happiness and pleasure was strongly associated with appearing “cool.” kayak verb: to travel by a traditional Inuit or Yupik canoe with a skin cover on a light framework, or by a small boat resembling this From the headlines: Several dozen Native American teens who spent a month kayaking the length of the Klamath River reached their destination. The group paddled their long, narrow boats about 300 miles, from Oregon to California, to celebrate the removal of four dams. The waterway holds a deep significance to Native American tribes, and many of the teens learned to kayak specifically to participate in the long paddle. larceny noun: the wrongful taking of someone’s property or goods From the headlines: Atlanta police have identified a suspect in the theft of hard drives holding unreleased Beyoncé songs. Setlists and plans for concert footage were also stolen when the alleged thief broke into a vehicle rented by the singer’s team. The larceny occurred during a stop on her Cowboy Carter tour. linchpin noun: something that holds the various elements of a complicated structure together From the headlines: The Department of Defense will stop supplying meteorologists with satellite data, which experts describe as a linchpin of storm modeling. Forecasts for hurricanes rely heavily on this military satellite feed to track storm paths and determine when people should evacuate. matcha noun: finely ground tea leaf powder used to make tea or as a flavoring, or the tea made from it From the headlines: The worldwide demand for matcha is causing severe shortages and higher prices. The bright green, grassy-flavored, powdered tea has a long history in Japan, but its popularity in other countries has exploded in recent years. Drinks and baked goods made with matcha have become wildly popular, causing Japanese tea growers to struggle to keep up with the demand. meteorite noun: a mass of stone or metal that has reached the earth from outer space From the headlines: On July 16, a bidder paid $4.3 million to own a chunk of Mars. The rare Martian meteorite, which weighs about 54 pounds, is the largest meteor fragment ever found on Earth that’s known to come from the red planet. Out of approximately 77,000 confirmed meteorites, only 400 were originally part of Mars. This one, named NWA 16788, was found in the Sahara Desert after its 140-million-mile journey through space. monastery noun: a residence occupied by a community of persons, especially monks, living in seclusion under religious vows From the headlines: Tens of thousands of books are being removed from a medieval Hungarian monastery to save them from a beetle infestation. The Pannonhalma Archabbey contains Hungary’s oldest library and some of the country’s most ancient and valuable books and written records. The monastery was founded 1,000 years ago by Benedictines, and about fifty monks live there today, practicing religious contemplation and solitude. nuptials noun: a marriage ceremony, or a social event accompanying one From the headlines: Protesters took to the streets in Venice as Amazon founder Jeff Bezos and Lauren Sanchez held their nuptials on a Venetian island, complete with 200 guests and three days of extravagant celebrations. Locals expressed outrage, saying the event placed additional strain on a city already struggling with overtourism and environmental fragility. offering noun: something presented to a deity as a symbol of devotion From the headlines: Archaeologists discovered about 2,000 pottery offerings on the Greek island of Kythnos. Historians said the clay figures, which represent children, women, and animals, had been left by devoted worshippers over the centuries. Two ancient temples once stood on the site, as well as a pit where the objects given as gifts to the gods were eventually thrown away to make room for new offerings. parody noun: a humorous or satirical imitation of a serious piece of writing or art From the headlines: Weird Al Yankovic, famed for his clever musical parodies, performed to a sold-out crowd at Madison Square Garden in New York, marking his first show at the iconic 20,000-seat venue. Over his forty-year career, Yankovic has become the most recognizable figure in the parody genre, with hits such as “Like a Surgeon,” a spoof of Madonna’s “Like a Virgin,” and “I Love Rocky Road,” a playful take on “I Love Rock ‘n Roll.” perennial adjective: arising repeatedly or always existing From the headlines: Joey Chestnut, the perennial champion of the Nathan’s Famous Hot Dog Eating Contest, reclaimed his crown this year after missing last year’s competition. He was sidelined in 2024 due to a sponsorship deal with a vegan meat brand, but prior to that, Chestnut had claimed victory in 16 of the past 17 contests. He still holds the world record for devouring 76 hot dogs and buns in just 10 minutes in 2021. philanthropist noun: someone who makes charitable donations From the headlines: Warren Buffett said he would donate $6 billion to five charitable foundations. The businessman and philanthropist, whose net worth is approximately $145 billion, has previously given more than $50 billion to the aforementioned foundations. While Buffet’s children will decide how to give away the rest of his fortune after his death, he said that more than 99 percent of it will have to be used philanthropically. plunder verb: to take wrongfully, as by pillage, robbery, or fraud From the headlines: Experts assumed that a Stradivarius violin plundered after World War II had been lost or destroyed; now it appears to have resurfaced. The 316-year-old instrument was stolen from a Berlin bank safe during the chaos at the end of the war, and the family who owned it searched for decades before giving up. An image of the looted violin, which is valued at millions of dollars, was discovered among photos of Stradivarius instruments from a 2018 Tokyo exhibition. risotto noun: a dish of rice cooked with broth and flavored with grated cheese and other ingredients From the headlines: The short-grain Italian rice that’s used to make risotto is under threat from an unusual culprit: flamingos. Flocks of the birds are settling into northern Italian rice paddies instead of their usual nesting grounds. By stirring the shallow water and rooting for mollusks, the flamingos are destroying many valuable rice crops. skittish adjective: easily frightened or extremely cautious From the headlines: Economists report that despite a low unemployment rate, employers are increasingly skittish about hiring, leaving many recent college graduates struggling to find jobs. Numerous tech companies, consulting firms, and federal agencies are cutting back or freezing hiring, while other industries are hesitant to increase payroll expenses. Furthermore, fewer workers are quitting, limiting job openings even more. synthetic adjective: pertaining to compounds formed through a chemical process by human agency, as opposed to those of natural origin From the headlines: The J.M. Smucker Company has announced it will phase out synthetic dyes from its jams and other offerings. While many of its products are already made without artificial colors, some, including sugar-free jams and Hostess snacks like Twinkies and Snoballs, still rely on them. The company intends to use naturally sourced dyes by 2027. tandem adverb: one following or behind the other From the headlines: Researchers were surprised by video evidence of animals that are normally at odds traveling in tandem. A night-vision camera recorded an ocelot traveling peacefully behind an opossum — a surprise, since ocelots usually prey on opossums. Later footage showed the opossum trailing the ocelot as it prowled. Other researchers have since reported at least three additional examples of such behavior. © 2025, Aakkhra, All rights reserved.
    0 Comments 0 Shares 610 Views 0 Reviews
  • “Apache Kylin เจอช่องโหว่ 3 จุด — เสี่ยงถูกข้ามระบบยืนยันตัวตนและเจาะข้อมูลจากภายใน”

    Apache Kylin ซึ่งเป็นแพลตฟอร์ม OLAP สำหรับการวิเคราะห์ข้อมูลขนาดใหญ่ ถูกเปิดเผยว่ามีช่องโหว่ความปลอดภัย 3 รายการที่ส่งผลกระทบต่อเวอร์ชัน 4.0.0 ถึง 5.0.2 โดยช่องโหว่เหล่านี้ได้รับการแก้ไขแล้วในเวอร์ชัน 5.0.3 แต่ก่อนหน้านั้นมีความเสี่ยงสูงต่อองค์กรที่ใช้ระบบนี้ในการวิเคราะห์ข้อมูลธุรกิจ

    ช่องโหว่แรก CVE-2025-61733 เป็นช่องโหว่ระดับ “สูง” ที่อนุญาตให้ผู้โจมตีข้ามระบบยืนยันตัวตนได้โดยใช้เส้นทางหรือช่องทางทางเลือก ซึ่งหมายความว่าแฮกเกอร์สามารถเข้าถึงข้อมูลหรือฟังก์ชันการจัดการได้โดยไม่ต้องล็อกอินเลย

    ช่องโหว่ที่สอง CVE-2025-61734 แม้จะถูกจัดเป็นระดับ “ต่ำ” แต่ก็เปิดช่องให้ผู้โจมตีที่มีสิทธิ์เข้าถึงระบบสามารถอ่านไฟล์หรือโฟลเดอร์ที่ควรถูกจำกัดไว้ได้ หากระบบไม่ได้ตั้งค่าการป้องกันสิทธิ์อย่างรัดกุม

    ช่องโหว่สุดท้าย CVE-2025-61735 เป็น Server-Side Request Forgery (SSRF) ซึ่งเปิดโอกาสให้ผู้โจมตีหลอกให้เซิร์ฟเวอร์ของ Kylin ส่งคำขอไปยังระบบภายในหรือภายนอกที่ไม่ได้รับอนุญาต อาจนำไปสู่การเปิดเผยข้อมูล metadata หรือใช้เป็นจุดเริ่มต้นในการโจมตีแบบ lateral movement

    Apache Software Foundation แนะนำให้ผู้ใช้ทุกคนอัปเดตเป็นเวอร์ชัน 5.0.3 โดยด่วน และหากยังไม่สามารถอัปเดตได้ ควรจำกัดการเข้าถึงเครือข่ายของ Kylin และตั้งค่าการยืนยันตัวตนให้เข้มงวดมากขึ้น

    ข้อมูลสำคัญจากข่าว
    Apache Kylin พบช่องโหว่ 3 รายการในเวอร์ชัน 4.0.0 ถึง 5.0.2
    CVE-2025-61733 เป็นช่องโหว่ Authentication Bypass ที่ร้ายแรงที่สุด
    CVE-2025-61734 เปิดช่องให้เข้าถึงไฟล์หรือโฟลเดอร์ที่ควรถูกจำกัด
    CVE-2025-61735 เป็น SSRF ที่อาจนำไปสู่การเปิดเผยข้อมูลภายใน
    ช่องโหว่ทั้งหมดได้รับการแก้ไขในเวอร์ชัน 5.0.3
    Apache แนะนำให้อัปเดตทันทีเพื่อป้องกันการโจมตี
    หากยังไม่สามารถอัปเดตได้ ควรจำกัดการเข้าถึงเครือข่ายและตั้งค่าการยืนยันตัวตนให้เข้มงวด

    ข้อมูลเสริมจากภายนอก
    Apache Kylin เป็น OLAP engine ที่ใช้ในระบบวิเคราะห์ข้อมูลขนาดใหญ่แบบ real-time
    Authentication Bypass เป็นหนึ่งในช่องโหว่ที่ถูกใช้บ่อยในการเจาะระบบองค์กร
    SSRF เป็นเทคนิคที่นิยมใช้ในการเจาะระบบ cloud และ microservices
    การอัปเดตเวอร์ชันเป็นวิธีป้องกันที่มีประสิทธิภาพที่สุดในกรณีนี้
    ช่องโหว่ลักษณะนี้อาจถูกใช้ร่วมกับช่องโหว่อื่นเพื่อสร้างการโจมตีแบบซับซ้อน

    https://securityonline.info/apache-kylin-flaw-authentication-bypass-and-ssrf-vulnerabilities-found-in-big-data-platform/
    🧩 “Apache Kylin เจอช่องโหว่ 3 จุด — เสี่ยงถูกข้ามระบบยืนยันตัวตนและเจาะข้อมูลจากภายใน” Apache Kylin ซึ่งเป็นแพลตฟอร์ม OLAP สำหรับการวิเคราะห์ข้อมูลขนาดใหญ่ ถูกเปิดเผยว่ามีช่องโหว่ความปลอดภัย 3 รายการที่ส่งผลกระทบต่อเวอร์ชัน 4.0.0 ถึง 5.0.2 โดยช่องโหว่เหล่านี้ได้รับการแก้ไขแล้วในเวอร์ชัน 5.0.3 แต่ก่อนหน้านั้นมีความเสี่ยงสูงต่อองค์กรที่ใช้ระบบนี้ในการวิเคราะห์ข้อมูลธุรกิจ ช่องโหว่แรก CVE-2025-61733 เป็นช่องโหว่ระดับ “สูง” ที่อนุญาตให้ผู้โจมตีข้ามระบบยืนยันตัวตนได้โดยใช้เส้นทางหรือช่องทางทางเลือก ซึ่งหมายความว่าแฮกเกอร์สามารถเข้าถึงข้อมูลหรือฟังก์ชันการจัดการได้โดยไม่ต้องล็อกอินเลย ช่องโหว่ที่สอง CVE-2025-61734 แม้จะถูกจัดเป็นระดับ “ต่ำ” แต่ก็เปิดช่องให้ผู้โจมตีที่มีสิทธิ์เข้าถึงระบบสามารถอ่านไฟล์หรือโฟลเดอร์ที่ควรถูกจำกัดไว้ได้ หากระบบไม่ได้ตั้งค่าการป้องกันสิทธิ์อย่างรัดกุม ช่องโหว่สุดท้าย CVE-2025-61735 เป็น Server-Side Request Forgery (SSRF) ซึ่งเปิดโอกาสให้ผู้โจมตีหลอกให้เซิร์ฟเวอร์ของ Kylin ส่งคำขอไปยังระบบภายในหรือภายนอกที่ไม่ได้รับอนุญาต อาจนำไปสู่การเปิดเผยข้อมูล metadata หรือใช้เป็นจุดเริ่มต้นในการโจมตีแบบ lateral movement Apache Software Foundation แนะนำให้ผู้ใช้ทุกคนอัปเดตเป็นเวอร์ชัน 5.0.3 โดยด่วน และหากยังไม่สามารถอัปเดตได้ ควรจำกัดการเข้าถึงเครือข่ายของ Kylin และตั้งค่าการยืนยันตัวตนให้เข้มงวดมากขึ้น ✅ ข้อมูลสำคัญจากข่าว ➡️ Apache Kylin พบช่องโหว่ 3 รายการในเวอร์ชัน 4.0.0 ถึง 5.0.2 ➡️ CVE-2025-61733 เป็นช่องโหว่ Authentication Bypass ที่ร้ายแรงที่สุด ➡️ CVE-2025-61734 เปิดช่องให้เข้าถึงไฟล์หรือโฟลเดอร์ที่ควรถูกจำกัด ➡️ CVE-2025-61735 เป็น SSRF ที่อาจนำไปสู่การเปิดเผยข้อมูลภายใน ➡️ ช่องโหว่ทั้งหมดได้รับการแก้ไขในเวอร์ชัน 5.0.3 ➡️ Apache แนะนำให้อัปเดตทันทีเพื่อป้องกันการโจมตี ➡️ หากยังไม่สามารถอัปเดตได้ ควรจำกัดการเข้าถึงเครือข่ายและตั้งค่าการยืนยันตัวตนให้เข้มงวด ✅ ข้อมูลเสริมจากภายนอก ➡️ Apache Kylin เป็น OLAP engine ที่ใช้ในระบบวิเคราะห์ข้อมูลขนาดใหญ่แบบ real-time ➡️ Authentication Bypass เป็นหนึ่งในช่องโหว่ที่ถูกใช้บ่อยในการเจาะระบบองค์กร ➡️ SSRF เป็นเทคนิคที่นิยมใช้ในการเจาะระบบ cloud และ microservices ➡️ การอัปเดตเวอร์ชันเป็นวิธีป้องกันที่มีประสิทธิภาพที่สุดในกรณีนี้ ➡️ ช่องโหว่ลักษณะนี้อาจถูกใช้ร่วมกับช่องโหว่อื่นเพื่อสร้างการโจมตีแบบซับซ้อน https://securityonline.info/apache-kylin-flaw-authentication-bypass-and-ssrf-vulnerabilities-found-in-big-data-platform/
    SECURITYONLINE.INFO
    Apache Kylin Flaw: Authentication Bypass and SSRF Vulnerabilities Found in Big Data Platform
    The Apache Software Foundation has published a new security advisory disclosing three vulnerabilities in Apache Kylin, a high-concurrency
    0 Comments 0 Shares 158 Views 0 Reviews
  • “ไต้หวันปฏิเสธข้อเสนอผลิตชิป 50% ในสหรัฐฯ — จุดเปลี่ยนการเจรจาการค้าสู่สงครามภาษี Section 232”

    ในช่วงเวลาที่สหรัฐฯ กำลังพยายามลดการพึ่งพาการผลิตชิปจากต่างประเทศ รัฐบาลไต้หวันกลับออกมายืนยันอย่างชัดเจนว่า “จะไม่ย้ายการผลิตชิป 50% ที่ส่งออกไปยังสหรัฐฯ ไปผลิตในอเมริกา” ตามข้อเสนอของรัฐมนตรีพาณิชย์สหรัฐฯ Howard Lutnick ที่ต้องการให้ไต้หวันแบ่งการผลิตครึ่งหนึ่งมาไว้ในสหรัฐฯ เพื่อเสริมความมั่นคงด้านเทคโนโลยี

    รองนายกรัฐมนตรี Cheng Li-chun ของไต้หวันกล่าวว่า “ข้อเสนอนี้ไม่เคยอยู่ในโต๊ะเจรจา และเราจะไม่ยอมรับเงื่อนไขเช่นนั้น” พร้อมระบุว่าไต้หวันต้องการเน้นการเจรจาเรื่องภาษีภายใต้การสอบสวน Section 232 มากกว่า ซึ่งเป็นมาตรการที่สหรัฐฯ ใช้ประเมินความเสี่ยงด้านความมั่นคงจากการนำเข้าสินค้าต่างประเทศ โดยเฉพาะเซมิคอนดักเตอร์

    ปัจจุบันสหรัฐฯ ได้เริ่มเก็บภาษี 20% กับสินค้านำเข้าจากไต้หวันตั้งแต่เดือนสิงหาคม 2025 ยกเว้นเฉพาะผลิตภัณฑ์เซมิคอนดักเตอร์ที่ยังอยู่ระหว่างการพิจารณา ซึ่งหากผลการสอบสวน Section 232 ออกมาในทางลบ อาจทำให้ชิปจากไต้หวันถูกเก็บภาษีสูงถึง 200–300% ตามที่ประธานาธิบดี Donald Trump เคยกล่าวไว้

    ไต้หวันซึ่งส่งออกสินค้ากว่า 70% ไปยังสหรัฐฯ โดยส่วนใหญ่เป็นเซมิคอนดักเตอร์ จึงพยายามต่อรองเพื่อขอยกเว้นภาษี และเสนอเพิ่มการลงทุนในสหรัฐฯ รวมถึงซื้อพลังงานและเพิ่มงบประมาณด้านกลาโหม เพื่อรักษาความสัมพันธ์ทางเศรษฐกิจ

    การปฏิเสธข้อเสนอของสหรัฐฯ สะท้อนถึงความเสี่ยงเชิงยุทธศาสตร์ที่ไต้หวันยังคงใช้ “ซิลิคอนชิลด์” หรือความเป็นผู้นำด้านการผลิตชิปขั้นสูงเป็นเครื่องมือในการรักษาอธิปไตยและความร่วมมือกับพันธมิตรตะวันตก โดยเฉพาะในบริบทที่จีนยังคงอ้างสิทธิ์เหนือไต้หวัน

    ข้อมูลสำคัญจากข่าว
    สหรัฐฯ เสนอให้ไต้หวันย้ายการผลิตชิป 50% ที่ส่งออกไปยังสหรัฐฯ มาผลิตในอเมริกา
    รองนายกรัฐมนตรีไต้หวันปฏิเสธข้อเสนออย่างชัดเจน และระบุว่าไม่เคยอยู่ในโต๊ะเจรจา
    ไต้หวันต้องการเน้นการเจรจาเรื่องภาษีภายใต้ Section 232 มากกว่า
    สหรัฐฯ เริ่มเก็บภาษี 20% กับสินค้านำเข้าจากไต้หวัน ยกเว้นเซมิคอนดักเตอร์
    ประธานาธิบดี Trump ขู่จะเพิ่มภาษีชิปจากไต้หวันถึง 200–300% หากผลสอบสวนออกมาในทางลบ
    ไต้หวันส่งออกสินค้ากว่า 70% ไปยังสหรัฐฯ โดยส่วนใหญ่เป็นเซมิคอนดักเตอร์
    ไต้หวันเสนอเพิ่มการลงทุนในสหรัฐฯ และเพิ่มงบกลาโหมเพื่อรักษาความสัมพันธ์
    การผลิตชิปในไต้หวันถือเป็น “ซิลิคอนชิลด์” ที่ช่วยป้องกันการรุกรานจากจีน

    ข้อมูลเสริมจากภายนอก
    Section 232 เป็นมาตรการที่สหรัฐฯ ใช้ประเมินความเสี่ยงด้านความมั่นคงจากการนำเข้าสินค้า
    TSMC เป็นผู้ผลิตชิปอันดับหนึ่งของโลก และมีฐานการผลิตหลักอยู่ในไต้หวัน
    ช่วงโควิด-19 เกิดวิกฤตขาดแคลนชิปทั่วโลก ทำให้สหรัฐฯ ตระหนักถึงความเสี่ยงจากการพึ่งพาไต้หวัน
    ไต้หวันลงทุนในโรงงานผลิตชิปในสหรัฐฯ เช่น TSMC Arizona และ GlobalWafers Texas
    การผลิตชิปขั้นสูงต้องใช้เทคโนโลยีเฉพาะและแรงงานที่มีทักษะสูง ซึ่งยังขาดแคลนในสหรัฐฯ

    https://www.tomshardware.com/tech-industry/taiwan-refuses-to-move-half-of-u-s-bound-chip-production-to-american-shores-trade-discussion-to-be-focused-on-section-232-investigation-for-preferential-deal-on-semiconductors
    🇹🇼 “ไต้หวันปฏิเสธข้อเสนอผลิตชิป 50% ในสหรัฐฯ — จุดเปลี่ยนการเจรจาการค้าสู่สงครามภาษี Section 232” ในช่วงเวลาที่สหรัฐฯ กำลังพยายามลดการพึ่งพาการผลิตชิปจากต่างประเทศ รัฐบาลไต้หวันกลับออกมายืนยันอย่างชัดเจนว่า “จะไม่ย้ายการผลิตชิป 50% ที่ส่งออกไปยังสหรัฐฯ ไปผลิตในอเมริกา” ตามข้อเสนอของรัฐมนตรีพาณิชย์สหรัฐฯ Howard Lutnick ที่ต้องการให้ไต้หวันแบ่งการผลิตครึ่งหนึ่งมาไว้ในสหรัฐฯ เพื่อเสริมความมั่นคงด้านเทคโนโลยี รองนายกรัฐมนตรี Cheng Li-chun ของไต้หวันกล่าวว่า “ข้อเสนอนี้ไม่เคยอยู่ในโต๊ะเจรจา และเราจะไม่ยอมรับเงื่อนไขเช่นนั้น” พร้อมระบุว่าไต้หวันต้องการเน้นการเจรจาเรื่องภาษีภายใต้การสอบสวน Section 232 มากกว่า ซึ่งเป็นมาตรการที่สหรัฐฯ ใช้ประเมินความเสี่ยงด้านความมั่นคงจากการนำเข้าสินค้าต่างประเทศ โดยเฉพาะเซมิคอนดักเตอร์ ปัจจุบันสหรัฐฯ ได้เริ่มเก็บภาษี 20% กับสินค้านำเข้าจากไต้หวันตั้งแต่เดือนสิงหาคม 2025 ยกเว้นเฉพาะผลิตภัณฑ์เซมิคอนดักเตอร์ที่ยังอยู่ระหว่างการพิจารณา ซึ่งหากผลการสอบสวน Section 232 ออกมาในทางลบ อาจทำให้ชิปจากไต้หวันถูกเก็บภาษีสูงถึง 200–300% ตามที่ประธานาธิบดี Donald Trump เคยกล่าวไว้ ไต้หวันซึ่งส่งออกสินค้ากว่า 70% ไปยังสหรัฐฯ โดยส่วนใหญ่เป็นเซมิคอนดักเตอร์ จึงพยายามต่อรองเพื่อขอยกเว้นภาษี และเสนอเพิ่มการลงทุนในสหรัฐฯ รวมถึงซื้อพลังงานและเพิ่มงบประมาณด้านกลาโหม เพื่อรักษาความสัมพันธ์ทางเศรษฐกิจ การปฏิเสธข้อเสนอของสหรัฐฯ สะท้อนถึงความเสี่ยงเชิงยุทธศาสตร์ที่ไต้หวันยังคงใช้ “ซิลิคอนชิลด์” หรือความเป็นผู้นำด้านการผลิตชิปขั้นสูงเป็นเครื่องมือในการรักษาอธิปไตยและความร่วมมือกับพันธมิตรตะวันตก โดยเฉพาะในบริบทที่จีนยังคงอ้างสิทธิ์เหนือไต้หวัน ✅ ข้อมูลสำคัญจากข่าว ➡️ สหรัฐฯ เสนอให้ไต้หวันย้ายการผลิตชิป 50% ที่ส่งออกไปยังสหรัฐฯ มาผลิตในอเมริกา ➡️ รองนายกรัฐมนตรีไต้หวันปฏิเสธข้อเสนออย่างชัดเจน และระบุว่าไม่เคยอยู่ในโต๊ะเจรจา ➡️ ไต้หวันต้องการเน้นการเจรจาเรื่องภาษีภายใต้ Section 232 มากกว่า ➡️ สหรัฐฯ เริ่มเก็บภาษี 20% กับสินค้านำเข้าจากไต้หวัน ยกเว้นเซมิคอนดักเตอร์ ➡️ ประธานาธิบดี Trump ขู่จะเพิ่มภาษีชิปจากไต้หวันถึง 200–300% หากผลสอบสวนออกมาในทางลบ ➡️ ไต้หวันส่งออกสินค้ากว่า 70% ไปยังสหรัฐฯ โดยส่วนใหญ่เป็นเซมิคอนดักเตอร์ ➡️ ไต้หวันเสนอเพิ่มการลงทุนในสหรัฐฯ และเพิ่มงบกลาโหมเพื่อรักษาความสัมพันธ์ ➡️ การผลิตชิปในไต้หวันถือเป็น “ซิลิคอนชิลด์” ที่ช่วยป้องกันการรุกรานจากจีน ✅ ข้อมูลเสริมจากภายนอก ➡️ Section 232 เป็นมาตรการที่สหรัฐฯ ใช้ประเมินความเสี่ยงด้านความมั่นคงจากการนำเข้าสินค้า ➡️ TSMC เป็นผู้ผลิตชิปอันดับหนึ่งของโลก และมีฐานการผลิตหลักอยู่ในไต้หวัน ➡️ ช่วงโควิด-19 เกิดวิกฤตขาดแคลนชิปทั่วโลก ทำให้สหรัฐฯ ตระหนักถึงความเสี่ยงจากการพึ่งพาไต้หวัน ➡️ ไต้หวันลงทุนในโรงงานผลิตชิปในสหรัฐฯ เช่น TSMC Arizona และ GlobalWafers Texas ➡️ การผลิตชิปขั้นสูงต้องใช้เทคโนโลยีเฉพาะและแรงงานที่มีทักษะสูง ซึ่งยังขาดแคลนในสหรัฐฯ https://www.tomshardware.com/tech-industry/taiwan-refuses-to-move-half-of-u-s-bound-chip-production-to-american-shores-trade-discussion-to-be-focused-on-section-232-investigation-for-preferential-deal-on-semiconductors
    0 Comments 0 Shares 281 Views 0 Reviews
  • “218 คือขีดสุดของหมากรุก — นักวิจัยยืนยัน ไม่มีตำแหน่งใดที่เล่นได้มากกว่านี้อีกแล้ว”

    ในโลกของหมากรุก มีคำถามหนึ่งที่ค้างคาใจนักคิดมานานหลายสิบปี: “ตำแหน่งใดในกระดานที่มีจำนวนการเดินที่เป็นไปได้มากที่สุด?” คำตอบที่เคยถูกเสนอโดยปรมาจารย์ด้านการจัดวางหมาก Nenad Petrović ในปี 1964 คือ 218 การเดินสำหรับฝั่งขาว และไม่มีใครสามารถหาตำแหน่งที่มีมากกว่านั้นได้เลย

    ล่าสุดในปี 2024 นักวิจัยและนักวิทยาการคอมพิวเตอร์นามว่า Tobs40 ได้ใช้เทคนิคทางคณิตศาสตร์และการเขียนโปรแกรมขั้นสูงเพื่อพิสูจน์ว่า “ไม่มีตำแหน่งที่สามารถเล่นได้มากกว่า 218 ครั้ง” หากตำแหน่งนั้นต้องสามารถเกิดขึ้นได้จริงจากการเล่นตามกฎหมากรุก

    การพิสูจน์นี้ไม่ใช่เรื่องง่าย เพราะจำนวนตำแหน่งที่เป็นไปได้ในหมากรุกมีมากถึงประมาณ 4.8 × 10⁴⁴ ตำแหน่ง ซึ่งมากกว่าการเดารหัสผ่าน 23 ตัวอักษรเสียอีก นักวิจัยจึงใช้วิธี “ลดขนาดปัญหา” โดยพิจารณาเฉพาะตำแหน่งที่มีโอกาสสร้างจำนวนการเดินสูง และใช้เทคนิคการประมาณแบบ fractional (เช่น ให้เบี้ยอยู่บนช่อง e4 แบบ 27.3%) เพื่อให้คอมพิวเตอร์สามารถ “ว่ายผ่าน” ตำแหน่งต่าง ๆ ได้เร็วขึ้น

    แม้จะใช้ซอฟต์แวร์ระดับโลกอย่าง Gurobi และปรับแต่งโมเดลอย่างหนัก แต่การคำนวณก็ยังใช้เวลานานถึงหลายหมื่นวินาที และต้องใช้หน่วยความจำมหาศาล สุดท้าย Gurobi ได้แสดงผลลัพธ์ว่า “ไม่มีตำแหน่งใดที่สามารถเล่นได้มากกว่า 218 ครั้ง” และยังยืนยันว่า 218 เป็นค่าบนสุดที่เป็นไปได้ในตำแหน่งที่สามารถเกิดขึ้นจริงจากการเล่นตามกฎ

    นอกจากนี้ ยังมีการยืนยันว่าตำแหน่งที่ไม่มีการโปรโมตเบี้ยจะมีจำนวนการเดินสูงสุดที่ 144 ครั้ง และตำแหน่งที่ผิดกฎ (เช่น มีเบี้ยหลายตัวบนช่องเดียวกัน) อาจมีได้ถึง 288 การเดิน แต่ไม่สามารถเกิดขึ้นได้จริงจากการเล่นตามกฎ

    ข้อมูลสำคัญจากข่าว
    ตำแหน่งที่มีจำนวนการเดินสูงสุดคือ 218 ครั้ง สำหรับฝั่งขาว
    ตำแหน่งนี้ถูกเสนอโดย Nenad Petrović ในปี 1964 และได้รับการพิสูจน์ในปี 2024
    นักวิจัยใช้เทคนิคทางคณิตศาสตร์และการเขียนโปรแกรมเพื่อพิสูจน์
    ใช้ซอฟต์แวร์ Gurobi ในการแก้ปัญหาแบบ integer programming
    มีการใช้เทคนิค fractional เพื่อเร่งการค้นหาตำแหน่งที่เหมาะสม
    ตำแหน่งที่ไม่มีการโปรโมตเบี้ยมีจำนวนการเดินสูงสุดที่ 144 ครั้ง
    ตำแหน่งที่ผิดกฎสามารถมีได้ถึง 288 การเดิน แต่ไม่สามารถเกิดขึ้นจริง
    ผลลัพธ์ยืนยันว่าไม่มีตำแหน่งที่ reachable ที่มีมากกว่า 218 การเดิน
    มีการเผยแพร่โค้ดบน GitHub เพื่อให้ผู้สนใจนำไปต่อยอด

    ข้อมูลเสริมจากภายนอก
    จำนวนตำแหน่งที่เป็นไปได้ในหมากรุกมีมากถึง ~4.8 × 10⁴⁴
    การใช้ fractional decision เป็นเทคนิคใน optimization ที่ช่วยลดเวลาในการคำนวณ
    Gurobi เป็นหนึ่งใน solver ที่ใช้ในงานวิจัยระดับโลก เช่น logistics, AI และการเงิน
    ตำแหน่งที่มีการเดินมากมักมีเบี้ยใกล้โปรโมต และไม่มีการเช็คจากฝ่ายตรงข้าม
    การพิสูจน์นี้ช่วยให้การพัฒนา engine หมากรุกสามารถใช้ค่าขีดจำกัดที่แน่นอนได้

    https://lichess.org/@/Tobs40/blog/why-a-reachable-position-cant-have-more-than-218-playable-moves/a5xdxeqs
    ♟️ “218 คือขีดสุดของหมากรุก — นักวิจัยยืนยัน ไม่มีตำแหน่งใดที่เล่นได้มากกว่านี้อีกแล้ว” ในโลกของหมากรุก มีคำถามหนึ่งที่ค้างคาใจนักคิดมานานหลายสิบปี: “ตำแหน่งใดในกระดานที่มีจำนวนการเดินที่เป็นไปได้มากที่สุด?” คำตอบที่เคยถูกเสนอโดยปรมาจารย์ด้านการจัดวางหมาก Nenad Petrović ในปี 1964 คือ 218 การเดินสำหรับฝั่งขาว และไม่มีใครสามารถหาตำแหน่งที่มีมากกว่านั้นได้เลย ล่าสุดในปี 2024 นักวิจัยและนักวิทยาการคอมพิวเตอร์นามว่า Tobs40 ได้ใช้เทคนิคทางคณิตศาสตร์และการเขียนโปรแกรมขั้นสูงเพื่อพิสูจน์ว่า “ไม่มีตำแหน่งที่สามารถเล่นได้มากกว่า 218 ครั้ง” หากตำแหน่งนั้นต้องสามารถเกิดขึ้นได้จริงจากการเล่นตามกฎหมากรุก การพิสูจน์นี้ไม่ใช่เรื่องง่าย เพราะจำนวนตำแหน่งที่เป็นไปได้ในหมากรุกมีมากถึงประมาณ 4.8 × 10⁴⁴ ตำแหน่ง ซึ่งมากกว่าการเดารหัสผ่าน 23 ตัวอักษรเสียอีก นักวิจัยจึงใช้วิธี “ลดขนาดปัญหา” โดยพิจารณาเฉพาะตำแหน่งที่มีโอกาสสร้างจำนวนการเดินสูง และใช้เทคนิคการประมาณแบบ fractional (เช่น ให้เบี้ยอยู่บนช่อง e4 แบบ 27.3%) เพื่อให้คอมพิวเตอร์สามารถ “ว่ายผ่าน” ตำแหน่งต่าง ๆ ได้เร็วขึ้น แม้จะใช้ซอฟต์แวร์ระดับโลกอย่าง Gurobi และปรับแต่งโมเดลอย่างหนัก แต่การคำนวณก็ยังใช้เวลานานถึงหลายหมื่นวินาที และต้องใช้หน่วยความจำมหาศาล สุดท้าย Gurobi ได้แสดงผลลัพธ์ว่า “ไม่มีตำแหน่งใดที่สามารถเล่นได้มากกว่า 218 ครั้ง” และยังยืนยันว่า 218 เป็นค่าบนสุดที่เป็นไปได้ในตำแหน่งที่สามารถเกิดขึ้นจริงจากการเล่นตามกฎ นอกจากนี้ ยังมีการยืนยันว่าตำแหน่งที่ไม่มีการโปรโมตเบี้ยจะมีจำนวนการเดินสูงสุดที่ 144 ครั้ง และตำแหน่งที่ผิดกฎ (เช่น มีเบี้ยหลายตัวบนช่องเดียวกัน) อาจมีได้ถึง 288 การเดิน แต่ไม่สามารถเกิดขึ้นได้จริงจากการเล่นตามกฎ ✅ ข้อมูลสำคัญจากข่าว ➡️ ตำแหน่งที่มีจำนวนการเดินสูงสุดคือ 218 ครั้ง สำหรับฝั่งขาว ➡️ ตำแหน่งนี้ถูกเสนอโดย Nenad Petrović ในปี 1964 และได้รับการพิสูจน์ในปี 2024 ➡️ นักวิจัยใช้เทคนิคทางคณิตศาสตร์และการเขียนโปรแกรมเพื่อพิสูจน์ ➡️ ใช้ซอฟต์แวร์ Gurobi ในการแก้ปัญหาแบบ integer programming ➡️ มีการใช้เทคนิค fractional เพื่อเร่งการค้นหาตำแหน่งที่เหมาะสม ➡️ ตำแหน่งที่ไม่มีการโปรโมตเบี้ยมีจำนวนการเดินสูงสุดที่ 144 ครั้ง ➡️ ตำแหน่งที่ผิดกฎสามารถมีได้ถึง 288 การเดิน แต่ไม่สามารถเกิดขึ้นจริง ➡️ ผลลัพธ์ยืนยันว่าไม่มีตำแหน่งที่ reachable ที่มีมากกว่า 218 การเดิน ➡️ มีการเผยแพร่โค้ดบน GitHub เพื่อให้ผู้สนใจนำไปต่อยอด ✅ ข้อมูลเสริมจากภายนอก ➡️ จำนวนตำแหน่งที่เป็นไปได้ในหมากรุกมีมากถึง ~4.8 × 10⁴⁴ ➡️ การใช้ fractional decision เป็นเทคนิคใน optimization ที่ช่วยลดเวลาในการคำนวณ ➡️ Gurobi เป็นหนึ่งใน solver ที่ใช้ในงานวิจัยระดับโลก เช่น logistics, AI และการเงิน ➡️ ตำแหน่งที่มีการเดินมากมักมีเบี้ยใกล้โปรโมต และไม่มีการเช็คจากฝ่ายตรงข้าม ➡️ การพิสูจน์นี้ช่วยให้การพัฒนา engine หมากรุกสามารถใช้ค่าขีดจำกัดที่แน่นอนได้ https://lichess.org/@/Tobs40/blog/why-a-reachable-position-cant-have-more-than-218-playable-moves/a5xdxeqs
    LICHESS.ORG
    Why a reachable position can't have more than 218 playable moves
    I hope that the title is unambiguous enough now and I wholeheartedly apologize to all the people who thought that it was about 218 move long games! .___.
    0 Comments 0 Shares 176 Views 0 Reviews
  • PorteuX 2.3 เปิดตัวพร้อม GNOME 49 — ดิสโทรสาย Slackware ที่เบา ลื่น และรองรับกล้องเว็บแคมดีขึ้น

    PorteuX 2.3 ดิสโทร Linux สาย Slackware ที่เน้นความเร็ว ขนาดเล็ก และความยืดหยุ่น ได้เปิดตัวอย่างเป็นทางการในเดือนกันยายน 2025 โดยเวอร์ชันนี้ยังคงใช้ Linux Kernel 6.16.7 เช่นเดียวกับรุ่นก่อนหน้า แต่มีการอัปเดตหลายจุดที่น่าสนใจ โดยเฉพาะการเพิ่ม GNOME 49 เป็นหนึ่งในเดสก์ท็อปหลัก พร้อมรองรับ KDE Plasma 6.4.5 และไดรเวอร์ NVIDIA รุ่นใหม่ 580.82.09

    GNOME 49 ที่มาพร้อมใน PorteuX 2.3 ได้เพิ่มแอปเทอร์มินัลใหม่ชื่อ Ptyxis และปรับปรุงการจัดการ GNOME Shell extensions ให้สามารถลบได้ง่ายผ่านคำสั่ง removepkg ในเทอร์มินัล นอกจากนี้ยังมีการแก้บั๊กหลายจุด เช่น ปัญหา Openbox ไม่เริ่มทำงานเมื่อไม่มีโมดูลเดสก์ท็อป, ปัญหา Super + L ไม่ล็อกหน้าจอใน GNOME และ Alt + F4 ไม่ทำงานใน Labwc Wayland

    อีกหนึ่งจุดเด่นคือการปรับปรุงการรองรับกล้องเว็บแคมให้ดีขึ้น ซึ่งเป็นประโยชน์สำหรับผู้ใช้ที่ต้องการใช้งานวิดีโอคอลหรือบันทึกภาพผ่านแอปต่าง ๆ โดยไม่ต้องติดตั้งไดรเวอร์เพิ่มเอง รวมถึงการปรับปรุงระบบ build script ให้เร็วขึ้น ใช้ meson/ninja และ lld เพื่อสร้าง binary ที่เล็กและเร็วขึ้น

    PorteuX 2.3 ยังเพิ่มแพ็กเกจใหม่ เช่น Fastfetch และ GNU nano และลบแพ็กเกจที่ล้าสมัยออก เช่น codec บางตัวและไดรเวอร์ GPU ที่ไม่จำเป็นจาก Mesa stack พร้อมรองรับเดสก์ท็อปหลากหลาย เช่น Xfce 4.20, Cinnamon 6.4.12, MATE 1.28.2, LXQt 2.2 และ LXDE 0.11.1

    PorteuX 2.3 เปิดตัวอย่างเป็นทางการ
    ใช้ Linux Kernel 6.16.7
    รองรับ GNOME 49, KDE Plasma 6.4.5 และเดสก์ท็อปอื่นอีก 5 แบบ

    GNOME 49 มาพร้อมแอปใหม่และปรับปรุงระบบ
    เพิ่มเทอร์มินัล Ptyxis
    ปรับปรุงการจัดการ GNOME Shell extensions ผ่าน removepkg
    แก้ปัญหา shortcut และการทำงานของ window manager

    รองรับกล้องเว็บแคมดีขึ้น
    ใช้งานได้ทันทีโดยไม่ต้องติดตั้งไดรเวอร์เพิ่ม
    เหมาะสำหรับการประชุมออนไลน์และงานมัลติมีเดีย

    ปรับปรุงระบบ build script และแพ็กเกจ
    ใช้ meson/ninja และ lld เพื่อสร้าง binary ที่เล็กและเร็ว
    เพิ่ม Fastfetch และ GNU nano เป็นค่าเริ่มต้น
    ลบ codec และ GPU driver ที่ล้าสมัย

    รองรับหลายเดสก์ท็อปให้เลือกใช้งาน
    GNOME, KDE Plasma, Xfce, Cinnamon, MATE, LXQt, LXDE
    เหมาะกับผู้ใช้ที่ต้องการความยืดหยุ่นในการปรับแต่ง

    คำเตือนเกี่ยวกับการใช้งาน PorteuX 2.3
    การลบแพ็กเกจบางตัวอาจกระทบกับแอปที่ต้องใช้ codec เฉพาะ
    GNOME Shell extensions ที่ลบผ่าน removepkg อาจทำให้ระบบไม่เสถียร หากลบผิด
    การใช้ build script แบบใหม่อาจไม่รองรับกับบางโปรเจกต์เก่า
    ผู้ใช้ที่ไม่คุ้นกับ Slackware อาจต้องเรียนรู้ระบบแพ็กเกจใหม่ก่อนใช้งาน

    https://9to5linux.com/slackware-based-porteux-2-3-is-out-with-gnome-49-improved-webcam-support
    📰 PorteuX 2.3 เปิดตัวพร้อม GNOME 49 — ดิสโทรสาย Slackware ที่เบา ลื่น และรองรับกล้องเว็บแคมดีขึ้น PorteuX 2.3 ดิสโทร Linux สาย Slackware ที่เน้นความเร็ว ขนาดเล็ก และความยืดหยุ่น ได้เปิดตัวอย่างเป็นทางการในเดือนกันยายน 2025 โดยเวอร์ชันนี้ยังคงใช้ Linux Kernel 6.16.7 เช่นเดียวกับรุ่นก่อนหน้า แต่มีการอัปเดตหลายจุดที่น่าสนใจ โดยเฉพาะการเพิ่ม GNOME 49 เป็นหนึ่งในเดสก์ท็อปหลัก พร้อมรองรับ KDE Plasma 6.4.5 และไดรเวอร์ NVIDIA รุ่นใหม่ 580.82.09 GNOME 49 ที่มาพร้อมใน PorteuX 2.3 ได้เพิ่มแอปเทอร์มินัลใหม่ชื่อ Ptyxis และปรับปรุงการจัดการ GNOME Shell extensions ให้สามารถลบได้ง่ายผ่านคำสั่ง removepkg ในเทอร์มินัล นอกจากนี้ยังมีการแก้บั๊กหลายจุด เช่น ปัญหา Openbox ไม่เริ่มทำงานเมื่อไม่มีโมดูลเดสก์ท็อป, ปัญหา Super + L ไม่ล็อกหน้าจอใน GNOME และ Alt + F4 ไม่ทำงานใน Labwc Wayland อีกหนึ่งจุดเด่นคือการปรับปรุงการรองรับกล้องเว็บแคมให้ดีขึ้น ซึ่งเป็นประโยชน์สำหรับผู้ใช้ที่ต้องการใช้งานวิดีโอคอลหรือบันทึกภาพผ่านแอปต่าง ๆ โดยไม่ต้องติดตั้งไดรเวอร์เพิ่มเอง รวมถึงการปรับปรุงระบบ build script ให้เร็วขึ้น ใช้ meson/ninja และ lld เพื่อสร้าง binary ที่เล็กและเร็วขึ้น PorteuX 2.3 ยังเพิ่มแพ็กเกจใหม่ เช่น Fastfetch และ GNU nano และลบแพ็กเกจที่ล้าสมัยออก เช่น codec บางตัวและไดรเวอร์ GPU ที่ไม่จำเป็นจาก Mesa stack พร้อมรองรับเดสก์ท็อปหลากหลาย เช่น Xfce 4.20, Cinnamon 6.4.12, MATE 1.28.2, LXQt 2.2 และ LXDE 0.11.1 ✅ PorteuX 2.3 เปิดตัวอย่างเป็นทางการ ➡️ ใช้ Linux Kernel 6.16.7 ➡️ รองรับ GNOME 49, KDE Plasma 6.4.5 และเดสก์ท็อปอื่นอีก 5 แบบ ✅ GNOME 49 มาพร้อมแอปใหม่และปรับปรุงระบบ ➡️ เพิ่มเทอร์มินัล Ptyxis ➡️ ปรับปรุงการจัดการ GNOME Shell extensions ผ่าน removepkg ➡️ แก้ปัญหา shortcut และการทำงานของ window manager ✅ รองรับกล้องเว็บแคมดีขึ้น ➡️ ใช้งานได้ทันทีโดยไม่ต้องติดตั้งไดรเวอร์เพิ่ม ➡️ เหมาะสำหรับการประชุมออนไลน์และงานมัลติมีเดีย ✅ ปรับปรุงระบบ build script และแพ็กเกจ ➡️ ใช้ meson/ninja และ lld เพื่อสร้าง binary ที่เล็กและเร็ว ➡️ เพิ่ม Fastfetch และ GNU nano เป็นค่าเริ่มต้น ➡️ ลบ codec และ GPU driver ที่ล้าสมัย ✅ รองรับหลายเดสก์ท็อปให้เลือกใช้งาน ➡️ GNOME, KDE Plasma, Xfce, Cinnamon, MATE, LXQt, LXDE ➡️ เหมาะกับผู้ใช้ที่ต้องการความยืดหยุ่นในการปรับแต่ง ‼️ คำเตือนเกี่ยวกับการใช้งาน PorteuX 2.3 ⛔ การลบแพ็กเกจบางตัวอาจกระทบกับแอปที่ต้องใช้ codec เฉพาะ ⛔ GNOME Shell extensions ที่ลบผ่าน removepkg อาจทำให้ระบบไม่เสถียร หากลบผิด ⛔ การใช้ build script แบบใหม่อาจไม่รองรับกับบางโปรเจกต์เก่า ⛔ ผู้ใช้ที่ไม่คุ้นกับ Slackware อาจต้องเรียนรู้ระบบแพ็กเกจใหม่ก่อนใช้งาน https://9to5linux.com/slackware-based-porteux-2-3-is-out-with-gnome-49-improved-webcam-support
    9TO5LINUX.COM
    Slackware-Based PorteuX 2.3 Is Out with GNOME 49, Improved Webcam Support - 9to5Linux
    PorteuX 2.3 Linux distribution is now available for download with Linux kernel 6.16, GNOME 49, KDE Plasma 6.4.5, and more.
    0 Comments 0 Shares 193 Views 0 Reviews
  • “ASRock เปิดตัว AI QuickSet WSL — ติดตั้งแอป AI บน Windows ง่ายเหมือนใช้วิซาร์ด พร้อมรองรับ GPU AMD รุ่นใหม่”

    ในยุคที่แอปพลิเคชัน AI ส่วนใหญ่ถูกออกแบบให้ทำงานบน Linux การใช้งานบน Windows กลายเป็นเรื่องยุ่งยากสำหรับผู้ใช้ทั่วไป โดยเฉพาะผู้ที่ไม่มีพื้นฐานด้านการตั้งค่าสภาพแวดล้อม ASRock จึงเปิดตัวเครื่องมือเวอร์ชันใหม่ชื่อว่า “AI QuickSet WSL” ที่ช่วยให้ผู้ใช้สามารถติดตั้งและใช้งานแอป AI บน Windows ได้ง่ายขึ้น ผ่านระบบ Windows Subsystem for Linux (WSL)

    AI QuickSet WSL เป็นการต่อยอดจากเวอร์ชันแรกที่รองรับการติดตั้งแอป AI ทั้งบน Windows และ Linux โดยเวอร์ชันใหม่นี้เน้นการใช้งาน Linux-based AI บน Windows โดยเฉพาะ ด้วยการใช้แพลตฟอร์ม AMD ROCm ที่รองรับการเร่งความเร็วด้วย GPU จาก ASRock Radeon RX 7900 Series หรือใหม่กว่า

    ผู้ใช้สามารถติดตั้งแอป AI ได้ผ่าน GUI แบบวิซาร์ดที่มีขั้นตอนชัดเจน ไม่ต้องตั้งค่าด้วยตนเอง เช่น การเลือก runtime, การปรับแต่ง LLM หรือการจัดการ container โดยแอปจะจัดการให้ทั้งหมด พร้อมแอป AI ที่ติดตั้งมาให้ล่วงหน้า เช่น Audiocraft สำหรับสร้างเสียงจากข้อความ, PixtoonLab สำหรับแปลงภาพเป็นการ์ตูน, และ Video Background Remover สำหรับลบพื้นหลังวิดีโอ

    แม้จะรองรับทั้ง CPU Intel และ AMD แต่เครื่องมือนี้มีข้อกำหนดฮาร์ดแวร์ที่ค่อนข้างสูง เช่น RAM 64GB, Windows 11 เวอร์ชัน 24H2, และพื้นที่ว่างบนไดรฟ์ C: อย่างน้อย 150GB ซึ่งสะท้อนว่าเครื่องมือนี้ออกแบบมาเพื่อผู้ใช้ระดับจริงจังที่ต้องการประสิทธิภาพสูงสุดในการประมวลผล AI

    ข้อมูลสำคัญจากข่าว
    ASRock เปิดตัว AI QuickSet WSL สำหรับติดตั้งแอป AI Linux บน Windows
    ใช้แพลตฟอร์ม AMD ROCm เพื่อเร่งความเร็วด้วย GPU Radeon RX 7900 Series ขึ้นไป
    รองรับการติดตั้งผ่าน GUI แบบวิซาร์ด — ไม่ต้องตั้งค่าด้วยตนเอง
    มีแอป AI ติดตั้งล่วงหน้า เช่น Audiocraft, PixtoonLab, Video Background Remover

    ความสามารถและการใช้งาน
    รองรับ CPU Intel Gen 12 ขึ้นไป และ AMD Ryzen 5000 ขึ้นไป
    ต้องใช้ RAM 64GB และ Windows 11 เวอร์ชัน 24H2
    ต้องติดตั้งบนไดรฟ์ C: โดยมีพื้นที่ว่างอย่างน้อย 150GB
    รองรับเฉพาะ GPU ที่ผลิตโดย ASRock — ไม่รองรับการ์ด MBA จาก AMD

    ข้อมูลเสริมจากภายนอก
    WSL เป็นระบบ virtualization ที่ไม่มี GUI — ทำให้เบาและเร็ว
    ROCm เป็นแพลตฟอร์มของ AMD สำหรับงาน HPC และ AI โดยเฉพาะ
    การใช้ GUI ช่วยลดอุปสรรคสำหรับผู้เริ่มต้นที่ไม่ถนัดคำสั่ง CLI
    แอป AI ที่ติดตั้งล่วงหน้าครอบคลุมงานเสียง ภาพ วิดีโอ และข้อความ

    https://www.tomshardware.com/tech-industry/artificial-intelligence/asrocks-revamped-ai-quickset-wsl-virtualization-tool-makes-it-easy-to-run-linux-ai-apps-on-windows
    🖥️ “ASRock เปิดตัว AI QuickSet WSL — ติดตั้งแอป AI บน Windows ง่ายเหมือนใช้วิซาร์ด พร้อมรองรับ GPU AMD รุ่นใหม่” ในยุคที่แอปพลิเคชัน AI ส่วนใหญ่ถูกออกแบบให้ทำงานบน Linux การใช้งานบน Windows กลายเป็นเรื่องยุ่งยากสำหรับผู้ใช้ทั่วไป โดยเฉพาะผู้ที่ไม่มีพื้นฐานด้านการตั้งค่าสภาพแวดล้อม ASRock จึงเปิดตัวเครื่องมือเวอร์ชันใหม่ชื่อว่า “AI QuickSet WSL” ที่ช่วยให้ผู้ใช้สามารถติดตั้งและใช้งานแอป AI บน Windows ได้ง่ายขึ้น ผ่านระบบ Windows Subsystem for Linux (WSL) AI QuickSet WSL เป็นการต่อยอดจากเวอร์ชันแรกที่รองรับการติดตั้งแอป AI ทั้งบน Windows และ Linux โดยเวอร์ชันใหม่นี้เน้นการใช้งาน Linux-based AI บน Windows โดยเฉพาะ ด้วยการใช้แพลตฟอร์ม AMD ROCm ที่รองรับการเร่งความเร็วด้วย GPU จาก ASRock Radeon RX 7900 Series หรือใหม่กว่า ผู้ใช้สามารถติดตั้งแอป AI ได้ผ่าน GUI แบบวิซาร์ดที่มีขั้นตอนชัดเจน ไม่ต้องตั้งค่าด้วยตนเอง เช่น การเลือก runtime, การปรับแต่ง LLM หรือการจัดการ container โดยแอปจะจัดการให้ทั้งหมด พร้อมแอป AI ที่ติดตั้งมาให้ล่วงหน้า เช่น Audiocraft สำหรับสร้างเสียงจากข้อความ, PixtoonLab สำหรับแปลงภาพเป็นการ์ตูน, และ Video Background Remover สำหรับลบพื้นหลังวิดีโอ แม้จะรองรับทั้ง CPU Intel และ AMD แต่เครื่องมือนี้มีข้อกำหนดฮาร์ดแวร์ที่ค่อนข้างสูง เช่น RAM 64GB, Windows 11 เวอร์ชัน 24H2, และพื้นที่ว่างบนไดรฟ์ C: อย่างน้อย 150GB ซึ่งสะท้อนว่าเครื่องมือนี้ออกแบบมาเพื่อผู้ใช้ระดับจริงจังที่ต้องการประสิทธิภาพสูงสุดในการประมวลผล AI ✅ ข้อมูลสำคัญจากข่าว ➡️ ASRock เปิดตัว AI QuickSet WSL สำหรับติดตั้งแอป AI Linux บน Windows ➡️ ใช้แพลตฟอร์ม AMD ROCm เพื่อเร่งความเร็วด้วย GPU Radeon RX 7900 Series ขึ้นไป ➡️ รองรับการติดตั้งผ่าน GUI แบบวิซาร์ด — ไม่ต้องตั้งค่าด้วยตนเอง ➡️ มีแอป AI ติดตั้งล่วงหน้า เช่น Audiocraft, PixtoonLab, Video Background Remover ✅ ความสามารถและการใช้งาน ➡️ รองรับ CPU Intel Gen 12 ขึ้นไป และ AMD Ryzen 5000 ขึ้นไป ➡️ ต้องใช้ RAM 64GB และ Windows 11 เวอร์ชัน 24H2 ➡️ ต้องติดตั้งบนไดรฟ์ C: โดยมีพื้นที่ว่างอย่างน้อย 150GB ➡️ รองรับเฉพาะ GPU ที่ผลิตโดย ASRock — ไม่รองรับการ์ด MBA จาก AMD ✅ ข้อมูลเสริมจากภายนอก ➡️ WSL เป็นระบบ virtualization ที่ไม่มี GUI — ทำให้เบาและเร็ว ➡️ ROCm เป็นแพลตฟอร์มของ AMD สำหรับงาน HPC และ AI โดยเฉพาะ ➡️ การใช้ GUI ช่วยลดอุปสรรคสำหรับผู้เริ่มต้นที่ไม่ถนัดคำสั่ง CLI ➡️ แอป AI ที่ติดตั้งล่วงหน้าครอบคลุมงานเสียง ภาพ วิดีโอ และข้อความ https://www.tomshardware.com/tech-industry/artificial-intelligence/asrocks-revamped-ai-quickset-wsl-virtualization-tool-makes-it-easy-to-run-linux-ai-apps-on-windows
    WWW.TOMSHARDWARE.COM
    ASRock's revamped AI Quickset WSL virtualization tool makes it easy to run Linux AI apps on Windows
    ASRock's tool takes all the guesswork out of installing AI models on PC, including ones designed to work primarily in Linux.
    0 Comments 0 Shares 217 Views 0 Reviews
  • เรื่องเล่าจาก Marketplace ถึง Meta Pay: เมื่อการซื้อของออนไลน์กลายเป็นช่องทางเก็บข้อมูลการเงินโดยไม่รู้ตัว

    หลายคนอาจเคยซื้อของผ่าน Facebook Marketplace, ลงโฆษณา, หรือบริจาคเงินผ่านแพลตฟอร์มของ Meta โดยไม่ทันสังเกตว่า Facebook ได้เก็บข้อมูลบัตรเครดิตหรือบัญชี PayPal ไว้ในระบบโดยอัตโนมัติ ซึ่งอาจเกิดจากการคลิก “Save card for later” หรือการใช้ Meta Pay โดยไม่ตั้งใจ

    แม้จะสะดวกในแง่การใช้งานซ้ำ แต่การเก็บข้อมูลการเงินไว้ในระบบที่มีประวัติปัญหาด้านความปลอดภัยอย่าง Meta ก็อาจนำไปสู่ความเสี่ยง เช่น การถูกเรียกเก็บเงินจากโฆษณาที่ลืมปิด หรือการซื้อของโดยบุคคลอื่นที่เข้าถึงบัญชีของคุณ

    โชคดีที่ผู้ใช้สามารถลบข้อมูลการชำระเงินออกจาก Facebook ได้ทั้งบนเดสก์ท็อปและมือถือ โดยใช้ขั้นตอนง่าย ๆ ผ่านเมนู Settings ซึ่งจะแตกต่างกันเล็กน้อยตามประเภทการใช้งาน เช่น Meta Pay หรือ Ad Payments

    นอกจากนี้ยังมีข้อมูลเสริมจากภายนอกว่า Meta เคยถูกฟ้องและยอมจ่ายเงินชดเชยกว่า $725 ล้านจากกรณีละเมิดข้อมูลผู้ใช้ในคดี Cambridge Analytica ซึ่งสะท้อนถึงความเปราะบางของระบบจัดการข้อมูลส่วนตัวในอดีตของบริษัทนี้

    วิธีลบข้อมูลการชำระเงินจาก Facebook
    บนเดสก์ท็อป: ไปที่ Menu > Orders and payments > เลือกบัตร > Remove
    สำหรับโฆษณา: ไปที่ Ad Center > Payment Settings > Remove จากรายการ
    บนมือถือ: ไปที่ Settings & Privacy > Orders and payments > Credit and debit cards > Remove

    ประเภทข้อมูลที่ถูกเก็บไว้
    บัตรเครดิต/เดบิต, บัญชี PayPal, หรือบัญชีธนาคาร
    ข้อมูลเหล่านี้อาจถูกใช้เป็น default สำหรับการชำระเงินในอนาคต
    การลบข้อมูลไม่ลบประวัติการซื้อ แต่ปิดช่องทางการเรียกเก็บเงิน

    ความสะดวกของ Meta Pay และระบบโฆษณา
    Meta Pay ใช้สำหรับการซื้อสินค้า, บริจาค, หรือชำระเงินในแอป
    ระบบโฆษณาเก็บข้อมูลการชำระเงินเพื่อใช้ในการเรียกเก็บเงินอัตโนมัติ
    ผู้ใช้บางคนอาจไม่รู้ว่ามีการเก็บข้อมูลไว้หลังการใช้งานครั้งเดียว

    ประวัติการละเมิดข้อมูลของ Meta
    Meta เคยถูกฟ้องจากกรณี Cambridge Analytica และยอมจ่าย $725 ล้าน
    ผู้ใช้ Facebook ระหว่างปี 2007–2022 มีสิทธิ์ได้รับเงินชดเชย
    การละเมิดข้อมูลส่วนตัวทำให้เกิดความไม่ไว้วางใจในระบบของ Meta

    https://www.slashgear.com/1965008/how-to-remove-payment-details-from-facebook-meta/
    🎙️ เรื่องเล่าจาก Marketplace ถึง Meta Pay: เมื่อการซื้อของออนไลน์กลายเป็นช่องทางเก็บข้อมูลการเงินโดยไม่รู้ตัว หลายคนอาจเคยซื้อของผ่าน Facebook Marketplace, ลงโฆษณา, หรือบริจาคเงินผ่านแพลตฟอร์มของ Meta โดยไม่ทันสังเกตว่า Facebook ได้เก็บข้อมูลบัตรเครดิตหรือบัญชี PayPal ไว้ในระบบโดยอัตโนมัติ ซึ่งอาจเกิดจากการคลิก “Save card for later” หรือการใช้ Meta Pay โดยไม่ตั้งใจ แม้จะสะดวกในแง่การใช้งานซ้ำ แต่การเก็บข้อมูลการเงินไว้ในระบบที่มีประวัติปัญหาด้านความปลอดภัยอย่าง Meta ก็อาจนำไปสู่ความเสี่ยง เช่น การถูกเรียกเก็บเงินจากโฆษณาที่ลืมปิด หรือการซื้อของโดยบุคคลอื่นที่เข้าถึงบัญชีของคุณ โชคดีที่ผู้ใช้สามารถลบข้อมูลการชำระเงินออกจาก Facebook ได้ทั้งบนเดสก์ท็อปและมือถือ โดยใช้ขั้นตอนง่าย ๆ ผ่านเมนู Settings ซึ่งจะแตกต่างกันเล็กน้อยตามประเภทการใช้งาน เช่น Meta Pay หรือ Ad Payments นอกจากนี้ยังมีข้อมูลเสริมจากภายนอกว่า Meta เคยถูกฟ้องและยอมจ่ายเงินชดเชยกว่า $725 ล้านจากกรณีละเมิดข้อมูลผู้ใช้ในคดี Cambridge Analytica ซึ่งสะท้อนถึงความเปราะบางของระบบจัดการข้อมูลส่วนตัวในอดีตของบริษัทนี้ ✅ วิธีลบข้อมูลการชำระเงินจาก Facebook ➡️ บนเดสก์ท็อป: ไปที่ Menu > Orders and payments > เลือกบัตร > Remove ➡️ สำหรับโฆษณา: ไปที่ Ad Center > Payment Settings > Remove จากรายการ ➡️ บนมือถือ: ไปที่ Settings & Privacy > Orders and payments > Credit and debit cards > Remove ✅ ประเภทข้อมูลที่ถูกเก็บไว้ ➡️ บัตรเครดิต/เดบิต, บัญชี PayPal, หรือบัญชีธนาคาร ➡️ ข้อมูลเหล่านี้อาจถูกใช้เป็น default สำหรับการชำระเงินในอนาคต ➡️ การลบข้อมูลไม่ลบประวัติการซื้อ แต่ปิดช่องทางการเรียกเก็บเงิน ✅ ความสะดวกของ Meta Pay และระบบโฆษณา ➡️ Meta Pay ใช้สำหรับการซื้อสินค้า, บริจาค, หรือชำระเงินในแอป ➡️ ระบบโฆษณาเก็บข้อมูลการชำระเงินเพื่อใช้ในการเรียกเก็บเงินอัตโนมัติ ➡️ ผู้ใช้บางคนอาจไม่รู้ว่ามีการเก็บข้อมูลไว้หลังการใช้งานครั้งเดียว ✅ ประวัติการละเมิดข้อมูลของ Meta ➡️ Meta เคยถูกฟ้องจากกรณี Cambridge Analytica และยอมจ่าย $725 ล้าน ➡️ ผู้ใช้ Facebook ระหว่างปี 2007–2022 มีสิทธิ์ได้รับเงินชดเชย ➡️ การละเมิดข้อมูลส่วนตัวทำให้เกิดความไม่ไว้วางใจในระบบของ Meta https://www.slashgear.com/1965008/how-to-remove-payment-details-from-facebook-meta/
    WWW.SLASHGEAR.COM
    How To Remove Your Payment Details From Facebook (And Why You May Want To) - SlashGear
    Removing payment details from Facebook, be it for security or to avoid recurring charges, is a straightforward process and can be done via a browser or the app.
    0 Comments 0 Shares 228 Views 0 Reviews
  • Smooth movement
    Smooth movement
    0 Comments 0 Shares 99 Views 0 0 Reviews
  • “EggStreme: มัลแวร์ไร้ไฟล์จากจีนเจาะระบบทหารฟิลิปปินส์ — ปฏิบัติการลับที่ซับซ้อนที่สุดในภูมิภาคเอเชียแปซิฟิก”

    Bitdefender เผยการค้นพบมัลแวร์สายพันธุ์ใหม่ชื่อว่า “EggStreme” ซึ่งถูกใช้โดยกลุ่ม APT (Advanced Persistent Threat) จากจีนในการเจาะระบบของบริษัทที่เกี่ยวข้องกับกองทัพฟิลิปปินส์ และยังพบการใช้งานในองค์กรทหารทั่วภูมิภาคเอเชียแปซิฟิก

    EggStreme ไม่ใช่มัลแวร์ทั่วไป แต่เป็น “framework” ที่ประกอบด้วยหลายโมดูลทำงานร่วมกันอย่างเป็นระบบ โดยเริ่มจาก EggStremeFuel ซึ่งเป็นตัวโหลดที่เตรียมสภาพแวดล้อม จากนั้นจึงเรียกใช้ EggStremeAgent ซึ่งเป็น backdoor หลักที่สามารถสอดแนมระบบ, ขโมยข้อมูล, ลบหรือแก้ไขไฟล์ และฝัง keylogger ลงใน explorer.exe ทุกครั้งที่มีการเปิด session ใหม่

    ความน่ากลัวของ EggStreme คือมันเป็น “fileless malware” — ไม่มีไฟล์มัลแวร์อยู่บนดิสก์ แต่จะถอดรหัสและรัน payload ในหน่วยความจำเท่านั้น ทำให้ระบบป้องกันทั่วไปตรวจจับได้ยากมาก และยังใช้เทคนิค DLL sideloading เพื่อแอบแฝงตัวในโปรแกรมที่ดูปลอดภัย

    นอกจาก EggStremeAgent ยังมี EggStremeWizard ซึ่งเป็น backdoor รองที่ใช้ xwizard.exe ในการ sideload DLL และมีรายชื่อ fallback servers เพื่อรักษาการเชื่อมต่อกับเซิร์ฟเวอร์ควบคุม (C2) แม้เซิร์ฟเวอร์หลักจะถูกปิดไปแล้ว พร้อมกับเครื่องมือ proxy ชื่อว่า Stowaway ที่ช่วยให้ผู้โจมตีสามารถส่งข้อมูลภายในเครือข่ายโดยไม่ถูกไฟร์วอลล์บล็อก

    การโจมตีนี้เกิดขึ้นท่ามกลางความตึงเครียดในทะเลจีนใต้ ซึ่งฟิลิปปินส์เผชิญกับการโจมตีไซเบอร์เพิ่มขึ้นกว่า 300% ตั้งแต่ต้นปี 2024 โดย EggStreme เป็นหนึ่งในเครื่องมือที่สะท้อนถึงการพัฒนาเชิงอุตสาหกรรมของการจารกรรมไซเบอร์ — ไม่ใช่แค่เครื่องมือเดี่ยว แต่เป็นระบบที่ออกแบบมาเพื่อควบคุมเป้าหมายในระยะยาว

    โครงสร้างมัลแวร์ EggStreme
    เริ่มจาก EggStremeFuel ที่เตรียมระบบและเรียกใช้ EggStremeLoader
    EggStremeReflectiveLoader จะรัน EggStremeAgent ซึ่งเป็น backdoor หลัก
    EggStremeAgent รองรับคำสั่ง 58 แบบ เช่น สแกนระบบ, ขโมยข้อมูล, ฝัง payload
    ฝัง keylogger ลงใน explorer.exe ทุกครั้งที่เปิด session ใหม่

    เทคนิคการแฝงตัว
    ใช้ DLL sideloading ผ่านไฟล์ที่ดูปลอดภัย เช่น xwizard.exe
    payload ถูกถอดรหัสและรันในหน่วยความจำเท่านั้น (fileless execution)
    สื่อสารกับเซิร์ฟเวอร์ควบคุมผ่าน gRPC แบบเข้ารหัส
    มี fallback servers เพื่อรักษาการเชื่อมต่อแม้เซิร์ฟเวอร์หลักถูกปิด

    เครื่องมือเสริมใน framework
    EggStremeWizard เป็น backdoor รองที่ให้ reverse shell และอัปโหลดไฟล์
    Stowaway proxy ช่วยส่งข้อมูลผ่านเครือข่ายภายในโดยไม่ถูกบล็อก
    ระบบสามารถเคลื่อนย้ายภายในเครือข่าย (lateral movement) ได้อย่างแนบเนียน
    framework ถูกออกแบบให้มีความยืดหยุ่นและปรับตัวตามเป้าหมาย

    ข้อมูลเสริมจากภายนอก
    Bitdefender พบการโจมตีครั้งแรกในต้นปี 2024 ผ่าน batch script บน SMB share
    ฟิลิปปินส์เผชิญการโจมตีไซเบอร์เพิ่มขึ้นกว่า 300% จากความขัดแย้งในทะเลจีนใต้
    EggStreme เป็นตัวอย่างของการพัฒนา “ชุดเครื่องมือจารกรรม” ที่มีความซับซ้อนสูง
    นักวิจัยเตือนว่าองค์กรใน APAC ควรใช้ IOC ที่เผยแพร่เพื่อป้องกันการโจมตี

    https://hackread.com/chinese-apt-philippine-military-eggstreme-fileless-malware/
    🕵️‍♂️ “EggStreme: มัลแวร์ไร้ไฟล์จากจีนเจาะระบบทหารฟิลิปปินส์ — ปฏิบัติการลับที่ซับซ้อนที่สุดในภูมิภาคเอเชียแปซิฟิก” Bitdefender เผยการค้นพบมัลแวร์สายพันธุ์ใหม่ชื่อว่า “EggStreme” ซึ่งถูกใช้โดยกลุ่ม APT (Advanced Persistent Threat) จากจีนในการเจาะระบบของบริษัทที่เกี่ยวข้องกับกองทัพฟิลิปปินส์ และยังพบการใช้งานในองค์กรทหารทั่วภูมิภาคเอเชียแปซิฟิก EggStreme ไม่ใช่มัลแวร์ทั่วไป แต่เป็น “framework” ที่ประกอบด้วยหลายโมดูลทำงานร่วมกันอย่างเป็นระบบ โดยเริ่มจาก EggStremeFuel ซึ่งเป็นตัวโหลดที่เตรียมสภาพแวดล้อม จากนั้นจึงเรียกใช้ EggStremeAgent ซึ่งเป็น backdoor หลักที่สามารถสอดแนมระบบ, ขโมยข้อมูล, ลบหรือแก้ไขไฟล์ และฝัง keylogger ลงใน explorer.exe ทุกครั้งที่มีการเปิด session ใหม่ ความน่ากลัวของ EggStreme คือมันเป็น “fileless malware” — ไม่มีไฟล์มัลแวร์อยู่บนดิสก์ แต่จะถอดรหัสและรัน payload ในหน่วยความจำเท่านั้น ทำให้ระบบป้องกันทั่วไปตรวจจับได้ยากมาก และยังใช้เทคนิค DLL sideloading เพื่อแอบแฝงตัวในโปรแกรมที่ดูปลอดภัย นอกจาก EggStremeAgent ยังมี EggStremeWizard ซึ่งเป็น backdoor รองที่ใช้ xwizard.exe ในการ sideload DLL และมีรายชื่อ fallback servers เพื่อรักษาการเชื่อมต่อกับเซิร์ฟเวอร์ควบคุม (C2) แม้เซิร์ฟเวอร์หลักจะถูกปิดไปแล้ว พร้อมกับเครื่องมือ proxy ชื่อว่า Stowaway ที่ช่วยให้ผู้โจมตีสามารถส่งข้อมูลภายในเครือข่ายโดยไม่ถูกไฟร์วอลล์บล็อก การโจมตีนี้เกิดขึ้นท่ามกลางความตึงเครียดในทะเลจีนใต้ ซึ่งฟิลิปปินส์เผชิญกับการโจมตีไซเบอร์เพิ่มขึ้นกว่า 300% ตั้งแต่ต้นปี 2024 โดย EggStreme เป็นหนึ่งในเครื่องมือที่สะท้อนถึงการพัฒนาเชิงอุตสาหกรรมของการจารกรรมไซเบอร์ — ไม่ใช่แค่เครื่องมือเดี่ยว แต่เป็นระบบที่ออกแบบมาเพื่อควบคุมเป้าหมายในระยะยาว ✅ โครงสร้างมัลแวร์ EggStreme ➡️ เริ่มจาก EggStremeFuel ที่เตรียมระบบและเรียกใช้ EggStremeLoader ➡️ EggStremeReflectiveLoader จะรัน EggStremeAgent ซึ่งเป็น backdoor หลัก ➡️ EggStremeAgent รองรับคำสั่ง 58 แบบ เช่น สแกนระบบ, ขโมยข้อมูล, ฝัง payload ➡️ ฝัง keylogger ลงใน explorer.exe ทุกครั้งที่เปิด session ใหม่ ✅ เทคนิคการแฝงตัว ➡️ ใช้ DLL sideloading ผ่านไฟล์ที่ดูปลอดภัย เช่น xwizard.exe ➡️ payload ถูกถอดรหัสและรันในหน่วยความจำเท่านั้น (fileless execution) ➡️ สื่อสารกับเซิร์ฟเวอร์ควบคุมผ่าน gRPC แบบเข้ารหัส ➡️ มี fallback servers เพื่อรักษาการเชื่อมต่อแม้เซิร์ฟเวอร์หลักถูกปิด ✅ เครื่องมือเสริมใน framework ➡️ EggStremeWizard เป็น backdoor รองที่ให้ reverse shell และอัปโหลดไฟล์ ➡️ Stowaway proxy ช่วยส่งข้อมูลผ่านเครือข่ายภายในโดยไม่ถูกบล็อก ➡️ ระบบสามารถเคลื่อนย้ายภายในเครือข่าย (lateral movement) ได้อย่างแนบเนียน ➡️ framework ถูกออกแบบให้มีความยืดหยุ่นและปรับตัวตามเป้าหมาย ✅ ข้อมูลเสริมจากภายนอก ➡️ Bitdefender พบการโจมตีครั้งแรกในต้นปี 2024 ผ่าน batch script บน SMB share ➡️ ฟิลิปปินส์เผชิญการโจมตีไซเบอร์เพิ่มขึ้นกว่า 300% จากความขัดแย้งในทะเลจีนใต้ ➡️ EggStreme เป็นตัวอย่างของการพัฒนา “ชุดเครื่องมือจารกรรม” ที่มีความซับซ้อนสูง ➡️ นักวิจัยเตือนว่าองค์กรใน APAC ควรใช้ IOC ที่เผยแพร่เพื่อป้องกันการโจมตี https://hackread.com/chinese-apt-philippine-military-eggstreme-fileless-malware/
    HACKREAD.COM
    Chinese APT Hits Philippine Military Firm with New EggStreme Fileless Malware
    Follow us on Bluesky, Twitter (X), Mastodon and Facebook at @Hackread
    0 Comments 0 Shares 264 Views 0 Reviews
  • Highlight Words In Action : August 2025

    bipartisan
    adjective: representing, characterized by, or including members from two parties or factions

    From the headlines: The Trump administration’s decision to cut funding for the Open Technology Fund (OTF) has raised concerns among lawmakers, who see it as a vital tool against internet censorship in authoritarian regimes. Trump’s executive order effectively terminated the OTF’s budget, prompting bipartisan efforts to save the program. Advocates warn that without OTF-backed tools, many citizens and activists could lose secure communication channels, increasing their risk of surveillance and persecution.

    bounty
    noun: a premium or reward, especially one offered by a government

    From the headlines: The United States has lifted bounties on three senior Taliban figures. The three members of the Haqqani militant network in Afghanistan were allegedly involved in planning deadly attacks during the war with the U.S., some of which killed American citizens. Until this week, the State Department had offered rewards of up to $10 million for the death or capture of the militant leaders. The move follows last week’s release of a U.S. hostage who had been held by the Taliban since 2022.

    breach
    noun: an infraction or violation, such as of a law, contract, trust, or promise

    Jeffrey Goldberg, editor-in-chief of The Atlantic, disclosed that he was inadvertently added to a private Signal group chat used by U.S. national security officials. This unexpected breach exposed sensitive information, including details about military strikes in Yemen. The incident underscored a serious protocol violation, as national security deliberations are typically confined to secure, classified settings rather than informal messaging platforms.

    cartography
    noun: the production of maps, including construction of projections, design, compilation, drafting, and reproduction

    From the headlines: After more than a decade of unraveling the mysteries of the universe, the space telescope Gaia has officially powered down. In its ten years of operation, Gaia meticulously mapped nearly 2 billion stars, 150,000 asteroids, and countless other celestial wonders. This cartography resulted in a precise, three-dimensional map of our solar system, which has transformed our understanding of the Milky Way.

    civil liberty
    noun: the freedom of a citizen to exercise customary rights, as of speech or assembly, without unwarranted or arbitrary interference by the government

    From the headlines: Legal experts say surveillance methods being used by colleges and universities on their students may violate their civil liberties. When investigating vandalism connected to political protests, campus police have been using new tactics, including seizing students’ phones and laptops. They have also issued warrants based on social media posts or participation in campus protests. Civil liberties experts say these actions amount to stifling university students’ right to free speech.

    confiscate
    verb: to seize as forfeited to the public domain; appropriate, by way of penalty, for public use

    From the headlines: A kite was briefly confiscated after it came into contact with a United Airlines plane near Washington, D.C. The aircraft landed safely at Ronald Reagan National Airport following reports of a kite hitting it. Police seized the kite from a family at nearby Gravelly Point park, but returned it later. Despite the fact that kite flying is banned there because the sky overhead is “restricted airspace,” about a dozen people had reportedly been flying kites at the park that day.

    defraud
    verb: to deprive of a right, money, or property by fraud

    From the headlines: Hollywood writer-director Carl Erik Rinsch was arrested for defrauding Netflix of $11 million, meant for his unfinished sci-fi show White Horse. Prosecutors say he spent around $10 million on luxury purchases, including Rolls-Royces, a Ferrari, and antiques. Prosecutors also claim that he used the money to pay legal fees to sue Netflix for additional money. Rinsch has been charged with wire fraud and money laundering, while Netflix has declined to comment.

    embezzlement
    noun: the stealing of money entrusted to one’s care

    From the headlines: French politician Marine Le Pen was convicted of embezzlement and barred from public office for five years. Le Pen, who leads the far-right National Rally party, had planned to run for president in 2027. She was also sentenced to four years in prison for spending $4.3 million in European Parliament funds on her own party expenses.

    Fun fact: Embezzlement is from the Anglo-French enbesiler, “cause to disappear,” and an Old French root meaning “to destroy or gouge.”

    fairway
    noun: Golf. the part of the course where the grass is cut short between the tees and the putting greens

    From the headlines: When golf courses close, research shows the surrounding environment improves. With declining interest in golf, nearby neighborhoods report benefits like less flooding and reduced pesticide runoff. Across the U.S., many former courses have been repurposed as nature reserves, where manicured fairways have been replaced by thriving wildflower meadows.

    forage
    verb: to wander or go in search of provisions

    From the headlines: A new online map shows where 1.6 million edible plants grow in cities around the world. The guide, called Falling Fruit, is meant to help urban dwellers and visitors forage for food. Its open source design means people can add locations, mapping additional fruit trees, berry bushes, beehives, and plants that might otherwise go unnoticed.

    franchise
    noun: Sports. a professional sports team

    From the headlines: A group led by Bill Chisholm has agreed to buy the Boston Celtics for $6.1 billion, making it the most expensive franchise sale in North American sports history. The Celtics, fresh off their 18th NBA title, are facing significant financial challenges under the new collective bargaining agreement, but remain favorites to repeat as champions.

    geriatric
    adjective: noting or relating to aged people or animals

    From the headlines: The New England Aquarium in Boston has introduced a new “retirement home” for geriatric aquarium penguins, relocating six elderly birds to a designated island. While wild penguins typically live about ten years, the new aquarium houses twenty penguins in their twenties and thirties. This specialized haven ensures these aging animals receive monitoring for conditions such as arthritis and cataracts.

    Fun fact: The Greek gērōs, “old,” is the root of geriatric.

    iguana
    noun: a large, arboreal lizard, native to Central and South America, having stout legs and a crest of spines from neck to tail

    From the headlines: A recent study sheds light on how North American iguanas may have reached a remote island in Fiji. Genetic analysis suggests that these large reptiles likely traversed thousands of miles across the Pacific Ocean by drifting on makeshift rafts of fallen trees. If confirmed, this would represent the longest documented oceanic migration by any terrestrial vertebrate, apart from humans.

    inaccessible
    adjective: not accessible; unapproachable

    From the headlines: Researchers investigating why we can’t remember being babies found evidence that those memories still exist in our brains, but are inaccessible. Scientists have long suspected that infants don’t create memories at all. A new study using MRI imaging to observe babies’ brains found that around 12 months old, they do begin storing memories of specific images. Neuroscientists are now focused on learning why these early recollections become locked away and out of reach as we grow older.

    magnitude
    noun: greatness of size or amount

    From the headlines: A devastating 7.7 magnitude earthquake struck Myanmar, killing over 3,000 people and leaving hundreds missing. The tremors were so intense they reached 600 miles to Bangkok, where skyscrapers swayed. In response, China, India, and Russia sent rescue teams, while countries like Thailand, Malaysia, and Vietnam offered aid.

    manipulate
    verb: to adapt or change (accounts, figures, etc.) to suit one’s purpose or advantage

    From the headlines: A cheating scandal shook the world of professional ski jumping this week. Several members of Team Norway were suspended after officials found evidence that their ski suits had been manipulated to make the athletes more aerodynamic. The team’s manager admitted to illegally adding an extra seam where the legs are sewn together; more material there was hoped to give the jumpers extra lift and allow air to flow around them more efficiently.

    mush
    verb: to drive or spur on (sled dogs or a sled drawn by dogs)

    From the headlines: Greenland’s annual dog sledding race attracted unusual international attention when the White House said the vice president’s wife, Usha Vance, would attend. Vance canceled her trip after Greenlanders planned to protest her presence at the event. Competitors in the Avannaata Qimussersua, or “Great Race of the North,” mushed their dogs over 26 snowy miles. Henrik Jensen, a musher from northern Greenland, crossed the finish line in first place, pulled by his team of Greenlandic sled dogs.

    ovine
    adjective: pertaining to, of the nature of, or like sheep

    From the headlines: The world’s first known case of bird flu in sheep was diagnosed in Yorkshire, England. After the H5N1 virus was found among birds on a farm, health officials also tested its flock of sheep; only one ovine case was detected. The infected sheep was euthanized to prevent the disease from spreading, and officials said “the risk to livestock remains low.”

    pontiff
    noun: Ecclesiastical. the Roman Catholic pope, the Bishop of Rome

    From the headlines: Following the release of Pope Francis from the hospital on March 23, his lead physician said the pontiff had faced such grave danger that his medical team considered halting treatment. During his hospitalization, the pope endured two critical health crises, prompting intense deliberations over whether aggressive interventions should continue, given the potential risks to his internal organs. Ultimately, the doctors opted to pursue “all available medicines and treatments,” a decision that proved pivotal to his recovery.

    populism
    noun: grass-roots democracy; working-class activism; egalitarianism

    From the headlines: Bernie Sanders is drawing unprecedented crowds on his “Fighting Oligarchy” tour, fueled by a message rooted in economic populism. His rhetoric resonates with disillusioned voters seeking an alternative to both President Trump and the Democratic Party. The independent senator from Vermont frequently denounces what he terms a “government of the billionaires, by the billionaires, and for the billionaires,” while chastising Democrats for failing to adequately champion the interests of the working class.

    prescription
    noun: a direction, usually written, by the physician to the pharmacist for the preparation and use of a medicine or remedy

    From the headlines: A new trend is emerging in healthcare — doctors are now prescribing museum visits. Backed by research showing that time spent in cultural spots can boost mental health and ease loneliness, more physicians are encouraging patients to explore art galleries, theaters, concert halls, and libraries. These cultural outings are said to reduce stress, alleviate mild anxiety and depression, and even improve conditions like high blood pressure. It’s the prescription you didn’t know you needed.

    pristine
    adjective: having its original purity; uncorrupted or unsullied

    From the headlines: Many countries are looking to Switzerland as a model, hoping to replicate its transformation of once heavily polluted rivers and lakes into some of the most pristine in Europe. In the 1960s, Swiss waterways were choked with algae and dead fish due to sewage and industrial pollution. However, over the following decades, the country made significant investments in advanced water treatment facilities. Today, nearly all of its lakes and rivers are once again pristine and safe for swimming.

    prolong
    verb: to lengthen out in time; extend the duration of; cause to continue longer

    From the headlines: After their quick trip to the International Space Station turned out to have an unexpectedly long duration, two NASA astronauts have been safely returned to Earth. What began as an eight-day mission for Butch Wilmore and Suni Williams had to be prolonged after their Starliner spacecraft experienced helium leaks and thruster problems. The two ended up staying on the ISS for more than nine months, until two seats were available on a returning space capsule.

    recruit
    verb: to attempt to acquire the services of (a person) for an employer

    From the headlines: As the White House cuts funding for scientific research, European countries are stepping up to recruit top U.S. scientists. Experts in climate change and vaccine safety are now eyeing job offers across the Atlantic, with France and the Netherlands boosting their budgets to hire talent for their universities.

    reinstate
    verb: to put back or establish again, as in a former position or state

    From the headlines: On March 24, a South Korean court reinstated impeached Prime Minister Han Duck-soo. Han was returned to the government and named acting leader once his impeachment was overturned. President Yoon Suk Yeol, who was also removed from office, is still awaiting a verdict. Han and Yoon were both suspended by South Korea’s National Assembly in December.

    repatriation
    noun: the act or process of returning a person or thing to the country of origin

    From the headlines: After several weeks of refusal, Venezuela agreed to accept repatriation flights from the United States, and the first plane carrying Venezuelan migrants back to their home country landed on March 24. About 200 people who had been deported from the U.S. were on the initial flight. Conflicts between the two countries had previously put the returns on hold.

    serenade
    verb: to entertain with or perform with vocal or instrumental music

    From the headlines: After an incredible 70-year career, Johnny Mathis, the legendary crooner with the famously smooth “velvet voice,” has announced his retirement at the age of 89. Known for his romantic ballads, jazz classics, and soft rock hits, Mathis has been serenading audiences since his teenage years. With more albums sold than any pop artist except Frank Sinatra, his voice has been the soundtrack to countless memories.

    tuition
    noun: the charge or fee for instruction, as at a private school or a college or university

    From the headlines: Starting this fall, attending Harvard University will cost nothing for most students. The school announced that tuition will be free for people whose families earn less than $200,000 per year. The average household income in the U.S. is $80,000. Food, housing, health insurance, and travel will also be free for less wealthy students. The University of Pennsylvania and the Massachusetts Institute of Technology have adopted the same financial aid policy.

    unredacted
    adjective: (of a document) with confidential or sensitive information included or visible

    From the headlines: The Trump administration released over 2,000 documents on JFK’s assassination, leading to a search for new insights. While the unredacted files do not dispute that Lee Harvey Oswald acted alone, they reveal long-hidden details about CIA agents and operations. Attorney Larry Schnapf, who has pushed for their release, argues the disclosures highlight excessive government secrecy. He believes the unredacted documents demonstrate how overclassification has been misused by national security officials.

    © 2025, Aakkhra, All rights reserved.
    Highlight Words In Action : August 2025 bipartisan adjective: representing, characterized by, or including members from two parties or factions From the headlines: The Trump administration’s decision to cut funding for the Open Technology Fund (OTF) has raised concerns among lawmakers, who see it as a vital tool against internet censorship in authoritarian regimes. Trump’s executive order effectively terminated the OTF’s budget, prompting bipartisan efforts to save the program. Advocates warn that without OTF-backed tools, many citizens and activists could lose secure communication channels, increasing their risk of surveillance and persecution. bounty noun: a premium or reward, especially one offered by a government From the headlines: The United States has lifted bounties on three senior Taliban figures. The three members of the Haqqani militant network in Afghanistan were allegedly involved in planning deadly attacks during the war with the U.S., some of which killed American citizens. Until this week, the State Department had offered rewards of up to $10 million for the death or capture of the militant leaders. The move follows last week’s release of a U.S. hostage who had been held by the Taliban since 2022. breach noun: an infraction or violation, such as of a law, contract, trust, or promise Jeffrey Goldberg, editor-in-chief of The Atlantic, disclosed that he was inadvertently added to a private Signal group chat used by U.S. national security officials. This unexpected breach exposed sensitive information, including details about military strikes in Yemen. The incident underscored a serious protocol violation, as national security deliberations are typically confined to secure, classified settings rather than informal messaging platforms. cartography noun: the production of maps, including construction of projections, design, compilation, drafting, and reproduction From the headlines: After more than a decade of unraveling the mysteries of the universe, the space telescope Gaia has officially powered down. In its ten years of operation, Gaia meticulously mapped nearly 2 billion stars, 150,000 asteroids, and countless other celestial wonders. This cartography resulted in a precise, three-dimensional map of our solar system, which has transformed our understanding of the Milky Way. civil liberty noun: the freedom of a citizen to exercise customary rights, as of speech or assembly, without unwarranted or arbitrary interference by the government From the headlines: Legal experts say surveillance methods being used by colleges and universities on their students may violate their civil liberties. When investigating vandalism connected to political protests, campus police have been using new tactics, including seizing students’ phones and laptops. They have also issued warrants based on social media posts or participation in campus protests. Civil liberties experts say these actions amount to stifling university students’ right to free speech. confiscate verb: to seize as forfeited to the public domain; appropriate, by way of penalty, for public use From the headlines: A kite was briefly confiscated after it came into contact with a United Airlines plane near Washington, D.C. The aircraft landed safely at Ronald Reagan National Airport following reports of a kite hitting it. Police seized the kite from a family at nearby Gravelly Point park, but returned it later. Despite the fact that kite flying is banned there because the sky overhead is “restricted airspace,” about a dozen people had reportedly been flying kites at the park that day. defraud verb: to deprive of a right, money, or property by fraud From the headlines: Hollywood writer-director Carl Erik Rinsch was arrested for defrauding Netflix of $11 million, meant for his unfinished sci-fi show White Horse. Prosecutors say he spent around $10 million on luxury purchases, including Rolls-Royces, a Ferrari, and antiques. Prosecutors also claim that he used the money to pay legal fees to sue Netflix for additional money. Rinsch has been charged with wire fraud and money laundering, while Netflix has declined to comment. embezzlement noun: the stealing of money entrusted to one’s care From the headlines: French politician Marine Le Pen was convicted of embezzlement and barred from public office for five years. Le Pen, who leads the far-right National Rally party, had planned to run for president in 2027. She was also sentenced to four years in prison for spending $4.3 million in European Parliament funds on her own party expenses. Fun fact: Embezzlement is from the Anglo-French enbesiler, “cause to disappear,” and an Old French root meaning “to destroy or gouge.” fairway noun: Golf. the part of the course where the grass is cut short between the tees and the putting greens From the headlines: When golf courses close, research shows the surrounding environment improves. With declining interest in golf, nearby neighborhoods report benefits like less flooding and reduced pesticide runoff. Across the U.S., many former courses have been repurposed as nature reserves, where manicured fairways have been replaced by thriving wildflower meadows. forage verb: to wander or go in search of provisions From the headlines: A new online map shows where 1.6 million edible plants grow in cities around the world. The guide, called Falling Fruit, is meant to help urban dwellers and visitors forage for food. Its open source design means people can add locations, mapping additional fruit trees, berry bushes, beehives, and plants that might otherwise go unnoticed. franchise noun: Sports. a professional sports team From the headlines: A group led by Bill Chisholm has agreed to buy the Boston Celtics for $6.1 billion, making it the most expensive franchise sale in North American sports history. The Celtics, fresh off their 18th NBA title, are facing significant financial challenges under the new collective bargaining agreement, but remain favorites to repeat as champions. geriatric adjective: noting or relating to aged people or animals From the headlines: The New England Aquarium in Boston has introduced a new “retirement home” for geriatric aquarium penguins, relocating six elderly birds to a designated island. While wild penguins typically live about ten years, the new aquarium houses twenty penguins in their twenties and thirties. This specialized haven ensures these aging animals receive monitoring for conditions such as arthritis and cataracts. Fun fact: The Greek gērōs, “old,” is the root of geriatric. iguana noun: a large, arboreal lizard, native to Central and South America, having stout legs and a crest of spines from neck to tail From the headlines: A recent study sheds light on how North American iguanas may have reached a remote island in Fiji. Genetic analysis suggests that these large reptiles likely traversed thousands of miles across the Pacific Ocean by drifting on makeshift rafts of fallen trees. If confirmed, this would represent the longest documented oceanic migration by any terrestrial vertebrate, apart from humans. inaccessible adjective: not accessible; unapproachable From the headlines: Researchers investigating why we can’t remember being babies found evidence that those memories still exist in our brains, but are inaccessible. Scientists have long suspected that infants don’t create memories at all. A new study using MRI imaging to observe babies’ brains found that around 12 months old, they do begin storing memories of specific images. Neuroscientists are now focused on learning why these early recollections become locked away and out of reach as we grow older. magnitude noun: greatness of size or amount From the headlines: A devastating 7.7 magnitude earthquake struck Myanmar, killing over 3,000 people and leaving hundreds missing. The tremors were so intense they reached 600 miles to Bangkok, where skyscrapers swayed. In response, China, India, and Russia sent rescue teams, while countries like Thailand, Malaysia, and Vietnam offered aid. manipulate verb: to adapt or change (accounts, figures, etc.) to suit one’s purpose or advantage From the headlines: A cheating scandal shook the world of professional ski jumping this week. Several members of Team Norway were suspended after officials found evidence that their ski suits had been manipulated to make the athletes more aerodynamic. The team’s manager admitted to illegally adding an extra seam where the legs are sewn together; more material there was hoped to give the jumpers extra lift and allow air to flow around them more efficiently. mush verb: to drive or spur on (sled dogs or a sled drawn by dogs) From the headlines: Greenland’s annual dog sledding race attracted unusual international attention when the White House said the vice president’s wife, Usha Vance, would attend. Vance canceled her trip after Greenlanders planned to protest her presence at the event. Competitors in the Avannaata Qimussersua, or “Great Race of the North,” mushed their dogs over 26 snowy miles. Henrik Jensen, a musher from northern Greenland, crossed the finish line in first place, pulled by his team of Greenlandic sled dogs. ovine adjective: pertaining to, of the nature of, or like sheep From the headlines: The world’s first known case of bird flu in sheep was diagnosed in Yorkshire, England. After the H5N1 virus was found among birds on a farm, health officials also tested its flock of sheep; only one ovine case was detected. The infected sheep was euthanized to prevent the disease from spreading, and officials said “the risk to livestock remains low.” pontiff noun: Ecclesiastical. the Roman Catholic pope, the Bishop of Rome From the headlines: Following the release of Pope Francis from the hospital on March 23, his lead physician said the pontiff had faced such grave danger that his medical team considered halting treatment. During his hospitalization, the pope endured two critical health crises, prompting intense deliberations over whether aggressive interventions should continue, given the potential risks to his internal organs. Ultimately, the doctors opted to pursue “all available medicines and treatments,” a decision that proved pivotal to his recovery. populism noun: grass-roots democracy; working-class activism; egalitarianism From the headlines: Bernie Sanders is drawing unprecedented crowds on his “Fighting Oligarchy” tour, fueled by a message rooted in economic populism. His rhetoric resonates with disillusioned voters seeking an alternative to both President Trump and the Democratic Party. The independent senator from Vermont frequently denounces what he terms a “government of the billionaires, by the billionaires, and for the billionaires,” while chastising Democrats for failing to adequately champion the interests of the working class. prescription noun: a direction, usually written, by the physician to the pharmacist for the preparation and use of a medicine or remedy From the headlines: A new trend is emerging in healthcare — doctors are now prescribing museum visits. Backed by research showing that time spent in cultural spots can boost mental health and ease loneliness, more physicians are encouraging patients to explore art galleries, theaters, concert halls, and libraries. These cultural outings are said to reduce stress, alleviate mild anxiety and depression, and even improve conditions like high blood pressure. It’s the prescription you didn’t know you needed. pristine adjective: having its original purity; uncorrupted or unsullied From the headlines: Many countries are looking to Switzerland as a model, hoping to replicate its transformation of once heavily polluted rivers and lakes into some of the most pristine in Europe. In the 1960s, Swiss waterways were choked with algae and dead fish due to sewage and industrial pollution. However, over the following decades, the country made significant investments in advanced water treatment facilities. Today, nearly all of its lakes and rivers are once again pristine and safe for swimming. prolong verb: to lengthen out in time; extend the duration of; cause to continue longer From the headlines: After their quick trip to the International Space Station turned out to have an unexpectedly long duration, two NASA astronauts have been safely returned to Earth. What began as an eight-day mission for Butch Wilmore and Suni Williams had to be prolonged after their Starliner spacecraft experienced helium leaks and thruster problems. The two ended up staying on the ISS for more than nine months, until two seats were available on a returning space capsule. recruit verb: to attempt to acquire the services of (a person) for an employer From the headlines: As the White House cuts funding for scientific research, European countries are stepping up to recruit top U.S. scientists. Experts in climate change and vaccine safety are now eyeing job offers across the Atlantic, with France and the Netherlands boosting their budgets to hire talent for their universities. reinstate verb: to put back or establish again, as in a former position or state From the headlines: On March 24, a South Korean court reinstated impeached Prime Minister Han Duck-soo. Han was returned to the government and named acting leader once his impeachment was overturned. President Yoon Suk Yeol, who was also removed from office, is still awaiting a verdict. Han and Yoon were both suspended by South Korea’s National Assembly in December. repatriation noun: the act or process of returning a person or thing to the country of origin From the headlines: After several weeks of refusal, Venezuela agreed to accept repatriation flights from the United States, and the first plane carrying Venezuelan migrants back to their home country landed on March 24. About 200 people who had been deported from the U.S. were on the initial flight. Conflicts between the two countries had previously put the returns on hold. serenade verb: to entertain with or perform with vocal or instrumental music From the headlines: After an incredible 70-year career, Johnny Mathis, the legendary crooner with the famously smooth “velvet voice,” has announced his retirement at the age of 89. Known for his romantic ballads, jazz classics, and soft rock hits, Mathis has been serenading audiences since his teenage years. With more albums sold than any pop artist except Frank Sinatra, his voice has been the soundtrack to countless memories. tuition noun: the charge or fee for instruction, as at a private school or a college or university From the headlines: Starting this fall, attending Harvard University will cost nothing for most students. The school announced that tuition will be free for people whose families earn less than $200,000 per year. The average household income in the U.S. is $80,000. Food, housing, health insurance, and travel will also be free for less wealthy students. The University of Pennsylvania and the Massachusetts Institute of Technology have adopted the same financial aid policy. unredacted adjective: (of a document) with confidential or sensitive information included or visible From the headlines: The Trump administration released over 2,000 documents on JFK’s assassination, leading to a search for new insights. While the unredacted files do not dispute that Lee Harvey Oswald acted alone, they reveal long-hidden details about CIA agents and operations. Attorney Larry Schnapf, who has pushed for their release, argues the disclosures highlight excessive government secrecy. He believes the unredacted documents demonstrate how overclassification has been misused by national security officials. © 2025, Aakkhra, All rights reserved.
    0 Comments 0 Shares 944 Views 0 Reviews
  • เรื่องเล่าจาก reMarkable Paper Pro Move: เมื่อความเรียบง่ายกลายเป็นพลังของการจดจำและสร้างสรรค์

    ในยุคที่สมาร์ทโฟนทำได้ทุกอย่าง แต่ก็รบกวนทุกอย่างไปพร้อมกัน reMarkable จึงออกแบบอุปกรณ์ที่ “ทำได้น้อย แต่ทำได้ดี” โดยเฉพาะกับรุ่นใหม่ล่าสุดอย่าง Paper Pro Move ซึ่งเป็นสมุดโน้ตดิจิทัลขนาด 7.3 นิ้ว ที่พกพาได้ง่ายเหมือนสมุดนักข่าว และให้สัมผัสการเขียนที่ใกล้เคียงกับปากกาบนกระดาษมากที่สุดในตลาดตอนนี้

    หน้าจอ Canvas Color ใช้เทคโนโลยี e-paper ที่สะท้อนแสงธรรมชาติ ลดอาการล้าตา พร้อมไฟอ่านในตัวสำหรับใช้งานในที่มืด และรองรับสีได้มากกว่า 20,000 เฉด แม้จะไม่สดใสเท่า OLED แต่กลับให้ความรู้สึก “จริง” มากกว่าเมื่อเขียนด้วย Marker stylus ที่มีแรงเสียดทานพอดี ๆ เหมือนปากกาบนกระดาษ4

    ฟีเจอร์ใหม่ที่เพิ่มเข้ามา ได้แก่ handwriting search ที่ช่วยค้นหาข้อความจากลายมือ, การแปลงลายมือเป็นข้อความ, การส่งอีเมลจากอุปกรณ์โดยตรง, และการเชื่อมต่อกับบริการ cloud เช่น Dropbox, Google Drive และ OneDrive ผ่าน Wi-Fi

    ตัวเครื่องบางเพียง 6.5 มม. น้ำหนัก 235 กรัม ทำจากอะลูมิเนียมรีไซเคิลมากกว่า 50% และมีแบตเตอรี่ที่ใช้งานได้นานถึง 2 สัปดาห์ ชาร์จเพียง 10 นาทีได้พลังงานใช้งานถึง 3 วัน เหมาะกับการพกพาไปประชุม สนามบิน หรือคาเฟ่ โดยไม่ต้องพึ่งแล็ปท็อปหรือมือถือที่เต็มไปด้วยสิ่งรบกวน

    https://www.slashgear.com/1957782/remarkable-paper-pro-move-first-look-epaper-notebook/
    🎙️ เรื่องเล่าจาก reMarkable Paper Pro Move: เมื่อความเรียบง่ายกลายเป็นพลังของการจดจำและสร้างสรรค์ ในยุคที่สมาร์ทโฟนทำได้ทุกอย่าง แต่ก็รบกวนทุกอย่างไปพร้อมกัน reMarkable จึงออกแบบอุปกรณ์ที่ “ทำได้น้อย แต่ทำได้ดี” โดยเฉพาะกับรุ่นใหม่ล่าสุดอย่าง Paper Pro Move ซึ่งเป็นสมุดโน้ตดิจิทัลขนาด 7.3 นิ้ว ที่พกพาได้ง่ายเหมือนสมุดนักข่าว และให้สัมผัสการเขียนที่ใกล้เคียงกับปากกาบนกระดาษมากที่สุดในตลาดตอนนี้ หน้าจอ Canvas Color ใช้เทคโนโลยี e-paper ที่สะท้อนแสงธรรมชาติ ลดอาการล้าตา พร้อมไฟอ่านในตัวสำหรับใช้งานในที่มืด และรองรับสีได้มากกว่า 20,000 เฉด แม้จะไม่สดใสเท่า OLED แต่กลับให้ความรู้สึก “จริง” มากกว่าเมื่อเขียนด้วย Marker stylus ที่มีแรงเสียดทานพอดี ๆ เหมือนปากกาบนกระดาษ4 ฟีเจอร์ใหม่ที่เพิ่มเข้ามา ได้แก่ handwriting search ที่ช่วยค้นหาข้อความจากลายมือ, การแปลงลายมือเป็นข้อความ, การส่งอีเมลจากอุปกรณ์โดยตรง, และการเชื่อมต่อกับบริการ cloud เช่น Dropbox, Google Drive และ OneDrive ผ่าน Wi-Fi ตัวเครื่องบางเพียง 6.5 มม. น้ำหนัก 235 กรัม ทำจากอะลูมิเนียมรีไซเคิลมากกว่า 50% และมีแบตเตอรี่ที่ใช้งานได้นานถึง 2 สัปดาห์ ชาร์จเพียง 10 นาทีได้พลังงานใช้งานถึง 3 วัน เหมาะกับการพกพาไปประชุม สนามบิน หรือคาเฟ่ โดยไม่ต้องพึ่งแล็ปท็อปหรือมือถือที่เต็มไปด้วยสิ่งรบกวน https://www.slashgear.com/1957782/remarkable-paper-pro-move-first-look-epaper-notebook/
    WWW.SLASHGEAR.COM
    It's Not Cheap, But This E-Paper Notebook Is Unexpectedly Delightful - SlashGear
    You can go with the iPad mini if you want, but maybe consider another option, because this E-paper notebook is worth considering.
    0 Comments 0 Shares 190 Views 0 Reviews
More Results