🩷 รวมข่าวจากเวบ SecurityOnline 🩷
#รวมข่าวIT #20260113 #securityonline
ช่องโหว่ร้ายแรง Advantech เปิดช่องให้โจมตี IoT (CVE-2025-52694)
ช่องโหว่ SQL Injection ระดับวิกฤตคะแนนเต็ม 10 ทำให้อุปกรณ์ IoT ของ Advantech เสี่ยงถูกเจาะโดยไม่ต้องล็อกอิน ผู้โจมตีสามารถสั่งฐานข้อมูล แก้ไขค่าระบบ หรือยึดโครงสร้าง IoT ได้ทันที โดยกระทบหลายผลิตภัณฑ์เวอร์ชันเก่าและต้องอัปเดตด่วนผ่านการติดต่อซัพพอร์ตหรือดาวน์โหลดแพตช์ตามรุ่นที่ใช้
https://securityonline.info/cve-2025-52694-cvss-10-critical-advantech-sql-injection-exposes-iot-devices
สวิตช์ Moxa เสี่ยงถูกโจมตีผ่าน OpenSSH RCE (CVSS 9.8)
พบช่องโหว่ร้ายแรงในสวิตช์อุตสาหกรรมของ Moxa จากบั๊กใน OpenSSH ที่เปิดทางให้รันโค้ดจากระยะไกลได้ หากมีการใช้ ssh-agent forwarding โดยรุ่นที่ได้รับผลกระทบต้องติดต่อ Moxa เพื่อขอแพตช์เฉพาะ พร้อมคำแนะนำเสริมด้านความปลอดภัย เช่น แยกเครือข่าย จำกัดการเข้าถึง และตรวจสอบบันทึกการใช้งานอย่างใกล้ชิด
https://securityonline.info/critical-alert-moxa-switches-exposed-to-openssh-remote-code-execution-cvss-9-8
Google เตรียมนำ AirDrop มาสู่ Pixel 9
Google เดินหน้าเร่งพัฒนาการแชร์ไฟล์ข้ามระบบให้เทียบเท่า AirDrop โดยฟีเจอร์ Quick Share รุ่นใหม่ถูกพบในเฟิร์มแวร์ทดลองของ Pixel 9 ก่อนกำหนดเดิมที่ตั้งใจเปิดตัวพร้อม Pixel 10 สะท้อนว่าบริษัทต้องการผลักดันการเชื่อมต่อ Android–iOS ให้ไร้รอยต่อ และอาจเปิดใช้งานจริงพร้อมอัปเดต Android 16 QPR3 หรือ Android 17 ในอนาคต
https://securityonline.info/tearing-down-the-wall-google-brings-airdrop-support-to-the-pixel-9
Google เปิดตัว “Agentic Commerce” ยุคใหม่ของการช้อปด้วย AI
Google ประกาศแนวคิด Agentic Commerce และโปรโตคอล UCP ที่ช่วยให้ AI ทำงานแทนผู้ใช้ตั้งแต่ค้นหา เปรียบเทียบราคา ไปจนถึงสั่งซื้อสินค้าโดยไม่ต้องเปิดหลายแท็บหรือกรอกข้อมูลซ้ำ ระบบนี้ร่วมพัฒนากับยักษ์ค้าปลีกอย่าง Walmart, Shopify และบริษัทการเงินหลายแห่ง เพื่อสร้างมาตรฐานกลางให้ AI เชื่อมต่อร้านค้าต่าง ๆ ได้อย่างราบรื่น และอาจเป็นก้าวสำคัญในการท้าชน Amazon
https://securityonline.info/the-end-of-the-shopping-tab-google-unveils-agentic-commerce-and-ucp
Dell ยอมรับ “AI PC” ยังไม่จูงใจผู้บริโภค
แม้ผู้ผลิตชิปและผู้พัฒนาระบบจะผลักดัน AI PC อย่างหนัก แต่ Dell ระบุว่าผู้ใช้ทั่วไปยังไม่เห็นประโยชน์ชัดเจนและกังวลเรื่องความเป็นส่วนตัว ทำให้ยอดขายไม่ขยับตามคาด ผู้บริโภคยังให้ความสำคัญกับราคา ประสิทธิภาพ และความทนทานมากกว่า ส่งผลให้ Dell ปรับกลยุทธ์เน้นดีไซน์และประสบการณ์ใช้งานแทนการโปรโมต AI แบบเดิม
https://securityonline.info/the-hype-hangover-dell-admits-consumers-arent-buying-the-ai-pc-narrative
“TryCloudflare” ถูกใช้เป็นช่องทางซ่อนมัลแวร์ AsyncRAT
แคมเปญโจมตีใหม่กำลังใช้บริการ TryCloudflare และ WebDAV เพื่อสร้างโครงสร้างสั่งการมัลแวร์ที่ซ่อนตัวแนบเนียน โดยเริ่มจากอีเมลฟิชชิงที่หลอกให้เหยื่อเปิดไฟล์ลวงซึ่งดาวน์โหลด Python ของจริงมาติดตั้งสภาพแวดล้อมก่อนฉีด AsyncRAT เข้าไปใน explorer.exe ทำให้ผู้โจมตีควบคุมเครื่องได้อย่างต่อเนื่องและยากต่อการตรวจจับ แนวโน้มนี้สะท้อนการใช้บริการคลาวด์ถูกกฎหมายเป็นเครื่องมือโจมตีมากขึ้น
https://securityonline.info/trycloudflare-abuse-asyncrat-exploits-free-tunnels-to-build-stealthy-webdav-network
Apple จับมือ Google Gemini ปั้น Siri เวอร์ชันใหม่
Apple และ Google ประกาศความร่วมมือครั้งใหญ่ โดย Apple จะนำโมเดล Gemini มาเป็นแกนหลักของ Apple Foundation Models เพื่อยกระดับ Siri ให้ฉลาดขึ้น เข้าใจภาษาธรรมชาติดีขึ้น และรองรับฟีเจอร์ Apple Intelligence รุ่นใหม่ แม้จะยังคงประมวลผลข้อมูลส่วนตัวบนอุปกรณ์และ Private Cloud Compute ของ Apple แต่ดีลนี้สะท้อนว่า Apple ต้องเร่งปิดช่องว่างการแข่งขันด้าน AI ขณะที่ Google ได้ประโยชน์จากดีมานด์มหาศาลของผู้ใช้ iPhone
https://securityonline.info/the-ai-alliance-apple-taps-google-gemini-to-power-the-new-siri
อินเดียขอซอร์สโค้ดมือถือ จุดชนวนความไม่พอใจในวงการเทค
รัฐบาลอินเดียเสนอข้อกำหนดด้านความปลอดภัย 83 ข้อ โดยหนึ่งในนั้นคือการให้ผู้ผลิตสมาร์ตโฟนส่งมอบ “ซอร์สโค้ด” ให้รัฐตรวจสอบ อ้างเพื่อความมั่นคงไซเบอร์ แต่บริษัทใหญ่ทั้ง Apple, Samsung และ MAIT ต่างคัดค้านอย่างหนักเพราะซอร์สโค้ดคือทรัพย์สินสำคัญและเสี่ยงต่อการถูกเจาะระบบ หากข้อกำหนดนี้เดินหน้าจริงอาจทำให้อินเดียเสียความเชื่อมั่นจากผู้ผลิตรายใหญ่ทั่วโลก
https://securityonline.info/indias-source-code-demand-sparks-tech-revolt
QEMU 11.0 เตรียมตัดการรองรับ 32-bit บน Cloud Variant
QEMU กำลังเดินหน้าลดภาระโค้ดโดยเตรียมลบการรองรับโฮสต์ 32-bit ในเวอร์ชัน Cloud ซึ่งจะช่วยลดโค้ดกว่า 7,000 บรรทัด แม้เวอร์ชันปกติยังรองรับอยู่ แต่ผู้ใช้ 32-bit จะไม่สามารถอัปเกรดเป็น QEMU 11.0 ได้และต้องค้างอยู่บน 10.x ที่ไม่มีแพตช์ความปลอดภัย ทำให้เสี่ยงต่อการใช้งานระยะยาว การเปลี่ยนแปลงยังอยู่ระหว่างพิจารณาแต่มีแนวโน้มสูงว่าจะเกิดขึ้นจริง
https://securityonline.info/cutting-the-cord-qemu-11-0-to-expunge-32-bit-host-support-in-cloud-variant
พบช่องโหว่ร้ายแรงใน Ruckus IoT Controller เสี่ยงถูกยึดระบบเต็มรูปแบบ
มีการเปิดเผยช่องโหว่ CVSS 10 สองรายการใน Ruckus vRIoT Controller ที่เกิดจากการฝังคีย์ลับและข้อมูลล็อกอินแบบฮาร์ดโค้ด ทำให้ผู้โจมตีสามารถเข้าถึงบริการบนพอร์ต 2004 เพื่อรันคำสั่งระดับ root หรือใช้บัญชี SSH ที่ฝังไว้เพื่อเจาะออกจาก Docker และยึดระบบทั้งหมดได้ Ruckus ออกแพตช์แก้ไขแล้วในเวอร์ชัน 3.0.0.0 และแนะนำให้อัปเดตทันที
https://securityonline.info/double-critical-hardcoded-secrets-expose-ruckus-iot-controllers-to-root-rce
Hikvision เจอช่องโหว่ Stack Overflow กระทบกล้องวงจรปิดและระบบควบคุมการเข้าออก
รายงานชี้ว่าอุปกรณ์ของ Hikvision ทั้งกล้องวงจรปิดและระบบ Access Control ถูกพบช่องโหว่แบบ Stack Overflow ที่อาจเปิดทางให้ผู้โจมตีทำให้ระบบล่มหรือเข้าควบคุมอุปกรณ์ได้ โดยข้อมูลเชิงลึกถูกจำกัดให้เฉพาะผู้สนับสนุน แต่ประเด็นหลักคือความเสี่ยงต่อโครงสร้างพื้นฐานด้านความปลอดภัยที่ใช้อุปกรณ์เหล่านี้อย่างแพร่หลาย
https://securityonline.info/hikvision-security-cameras-and-access-controls-hit-by-stack-overflow-flaws
ช่องโหว่ร้ายแรงใน ServiceNow (CVE-2025-12420) เปิดทางปลอมตัวเป็นผู้ใช้
มีการค้นพบช่องโหว่ระดับวิกฤตในแพลตฟอร์ม AI ของ ServiceNow ที่เปิดโอกาสให้ผู้โจมตีที่ไม่ได้รับการยืนยันตัวตนสามารถสวมรอยเป็นผู้ใช้จริงและทำสิ่งที่ผู้ใช้คนนั้นมีสิทธิ์ทำได้ แม้ ServiceNow จะออกแพตช์แก้ไขแล้วสำหรับระบบที่โฮสต์โดยบริษัท แต่ลูกค้าที่ติดตั้งเองยังต้องเร่งอัปเดตเพื่อปิดความเสี่ยงนี้ทันที
https://securityonline.info/ai-identity-theft-critical-servicenow-flaw-cve-2025-12420-allows-unauthenticated-impersonation
CISA เตือนด่วน! ช่องโหว่ Gogs (CVE-2025-8110) ถูกโจมตีจริงแล้ว
CISA ออกประกาศ “Must-Patch” หลังพบว่าช่องโหว่ใน Gogs ซึ่งเป็นระบบ Git แบบ self-hosted ถูกใช้โจมตีจริงในโลกไซเบอร์ โดยช่องโหว่นี้เป็นการเลี่ยงแพตช์เดิม ทำให้ผู้ใช้ที่ผ่านการยืนยันตัวตนสามารถทำ Path Traversal และเขียนไฟล์ออกนอกไดเรกทอรีได้ ส่งผลให้สามารถรันโค้ดบนเซิร์ฟเวอร์ได้ หน่วยงานรัฐสหรัฐฯ ถูกกำหนดเส้นตายให้แก้ไขก่อนกุมภาพันธ์ 2026
https://securityonline.info/cisa-must-patch-alert-critical-gogs-exploit-cve-2025-8110-active-in-wild
มิจฉาชีพใช้ PDF ปลอมล่อเหยื่อ ติดตั้ง RMM Tools เพื่อยึดเครื่อง
รายงานจาก ASEC ระบุว่าผู้โจมตีกำลังใช้ไฟล์ PDF ปลอมที่แกล้งทำเป็นเอกสารเสียหรือโหลดไม่ขึ้น เพื่อหลอกให้เหยื่อคลิกลิงก์ดาวน์โหลดเครื่องมือ Remote Monitoring & Management (RMM) เช่น Syncro, NinjaOne หรือ ScreenConnect ซึ่งเป็นซอฟต์แวร์ถูกต้องตามกฎหมาย แต่ถูกนำมาใช้เป็นช่องทางเข้าควบคุมเครื่องของเหยื่อแบบแนบเนียน ทำให้ตรวจจับได้ยากมาก
https://securityonline.info/attackers-weaponize-legitimate-rmm-tools-via-fake-pdfs
Angular พบช่องโหว่ร้ายแรงใน SVG (CVE-2026-22610) เสี่ยงถูกโจมตีแบบ XSS
ช่องโหว่ใหม่ใน Angular Template Compiler ทำให้ผู้โจมตีสามารถใช้คุณสมบัติของ SVG script เพื่อหลบเลี่ยงระบบ Sanitization และฝังโค้ด JavaScript อันตรายได้ หากแอปมีการผูกข้อมูลแบบไดนามิกกับ attribute ของ SVG script อาจถูกใช้ขโมย session, ดึงข้อมูล หรือสั่งการโดยไม่ได้รับอนุญาต นักพัฒนาถูกแนะนำให้อัปเดตเวอร์ชัน Angular ทันทีเพื่อปิดช่องโหว่นี้
https://securityonline.info/angular-security-alert-high-severity-svg-flaw-cve-2026-22610-exposes-apps-to-xss
#รวมข่าวIT #20260113 #securityonline
ช่องโหว่ร้ายแรง Advantech เปิดช่องให้โจมตี IoT (CVE-2025-52694)
ช่องโหว่ SQL Injection ระดับวิกฤตคะแนนเต็ม 10 ทำให้อุปกรณ์ IoT ของ Advantech เสี่ยงถูกเจาะโดยไม่ต้องล็อกอิน ผู้โจมตีสามารถสั่งฐานข้อมูล แก้ไขค่าระบบ หรือยึดโครงสร้าง IoT ได้ทันที โดยกระทบหลายผลิตภัณฑ์เวอร์ชันเก่าและต้องอัปเดตด่วนผ่านการติดต่อซัพพอร์ตหรือดาวน์โหลดแพตช์ตามรุ่นที่ใช้
https://securityonline.info/cve-2025-52694-cvss-10-critical-advantech-sql-injection-exposes-iot-devices
สวิตช์ Moxa เสี่ยงถูกโจมตีผ่าน OpenSSH RCE (CVSS 9.8)
พบช่องโหว่ร้ายแรงในสวิตช์อุตสาหกรรมของ Moxa จากบั๊กใน OpenSSH ที่เปิดทางให้รันโค้ดจากระยะไกลได้ หากมีการใช้ ssh-agent forwarding โดยรุ่นที่ได้รับผลกระทบต้องติดต่อ Moxa เพื่อขอแพตช์เฉพาะ พร้อมคำแนะนำเสริมด้านความปลอดภัย เช่น แยกเครือข่าย จำกัดการเข้าถึง และตรวจสอบบันทึกการใช้งานอย่างใกล้ชิด
https://securityonline.info/critical-alert-moxa-switches-exposed-to-openssh-remote-code-execution-cvss-9-8
Google เตรียมนำ AirDrop มาสู่ Pixel 9
Google เดินหน้าเร่งพัฒนาการแชร์ไฟล์ข้ามระบบให้เทียบเท่า AirDrop โดยฟีเจอร์ Quick Share รุ่นใหม่ถูกพบในเฟิร์มแวร์ทดลองของ Pixel 9 ก่อนกำหนดเดิมที่ตั้งใจเปิดตัวพร้อม Pixel 10 สะท้อนว่าบริษัทต้องการผลักดันการเชื่อมต่อ Android–iOS ให้ไร้รอยต่อ และอาจเปิดใช้งานจริงพร้อมอัปเดต Android 16 QPR3 หรือ Android 17 ในอนาคต
https://securityonline.info/tearing-down-the-wall-google-brings-airdrop-support-to-the-pixel-9
Google เปิดตัว “Agentic Commerce” ยุคใหม่ของการช้อปด้วย AI
Google ประกาศแนวคิด Agentic Commerce และโปรโตคอล UCP ที่ช่วยให้ AI ทำงานแทนผู้ใช้ตั้งแต่ค้นหา เปรียบเทียบราคา ไปจนถึงสั่งซื้อสินค้าโดยไม่ต้องเปิดหลายแท็บหรือกรอกข้อมูลซ้ำ ระบบนี้ร่วมพัฒนากับยักษ์ค้าปลีกอย่าง Walmart, Shopify และบริษัทการเงินหลายแห่ง เพื่อสร้างมาตรฐานกลางให้ AI เชื่อมต่อร้านค้าต่าง ๆ ได้อย่างราบรื่น และอาจเป็นก้าวสำคัญในการท้าชน Amazon
https://securityonline.info/the-end-of-the-shopping-tab-google-unveils-agentic-commerce-and-ucp
Dell ยอมรับ “AI PC” ยังไม่จูงใจผู้บริโภค
แม้ผู้ผลิตชิปและผู้พัฒนาระบบจะผลักดัน AI PC อย่างหนัก แต่ Dell ระบุว่าผู้ใช้ทั่วไปยังไม่เห็นประโยชน์ชัดเจนและกังวลเรื่องความเป็นส่วนตัว ทำให้ยอดขายไม่ขยับตามคาด ผู้บริโภคยังให้ความสำคัญกับราคา ประสิทธิภาพ และความทนทานมากกว่า ส่งผลให้ Dell ปรับกลยุทธ์เน้นดีไซน์และประสบการณ์ใช้งานแทนการโปรโมต AI แบบเดิม
https://securityonline.info/the-hype-hangover-dell-admits-consumers-arent-buying-the-ai-pc-narrative
“TryCloudflare” ถูกใช้เป็นช่องทางซ่อนมัลแวร์ AsyncRAT
แคมเปญโจมตีใหม่กำลังใช้บริการ TryCloudflare และ WebDAV เพื่อสร้างโครงสร้างสั่งการมัลแวร์ที่ซ่อนตัวแนบเนียน โดยเริ่มจากอีเมลฟิชชิงที่หลอกให้เหยื่อเปิดไฟล์ลวงซึ่งดาวน์โหลด Python ของจริงมาติดตั้งสภาพแวดล้อมก่อนฉีด AsyncRAT เข้าไปใน explorer.exe ทำให้ผู้โจมตีควบคุมเครื่องได้อย่างต่อเนื่องและยากต่อการตรวจจับ แนวโน้มนี้สะท้อนการใช้บริการคลาวด์ถูกกฎหมายเป็นเครื่องมือโจมตีมากขึ้น
https://securityonline.info/trycloudflare-abuse-asyncrat-exploits-free-tunnels-to-build-stealthy-webdav-network
Apple จับมือ Google Gemini ปั้น Siri เวอร์ชันใหม่
Apple และ Google ประกาศความร่วมมือครั้งใหญ่ โดย Apple จะนำโมเดล Gemini มาเป็นแกนหลักของ Apple Foundation Models เพื่อยกระดับ Siri ให้ฉลาดขึ้น เข้าใจภาษาธรรมชาติดีขึ้น และรองรับฟีเจอร์ Apple Intelligence รุ่นใหม่ แม้จะยังคงประมวลผลข้อมูลส่วนตัวบนอุปกรณ์และ Private Cloud Compute ของ Apple แต่ดีลนี้สะท้อนว่า Apple ต้องเร่งปิดช่องว่างการแข่งขันด้าน AI ขณะที่ Google ได้ประโยชน์จากดีมานด์มหาศาลของผู้ใช้ iPhone
https://securityonline.info/the-ai-alliance-apple-taps-google-gemini-to-power-the-new-siri
อินเดียขอซอร์สโค้ดมือถือ จุดชนวนความไม่พอใจในวงการเทค
รัฐบาลอินเดียเสนอข้อกำหนดด้านความปลอดภัย 83 ข้อ โดยหนึ่งในนั้นคือการให้ผู้ผลิตสมาร์ตโฟนส่งมอบ “ซอร์สโค้ด” ให้รัฐตรวจสอบ อ้างเพื่อความมั่นคงไซเบอร์ แต่บริษัทใหญ่ทั้ง Apple, Samsung และ MAIT ต่างคัดค้านอย่างหนักเพราะซอร์สโค้ดคือทรัพย์สินสำคัญและเสี่ยงต่อการถูกเจาะระบบ หากข้อกำหนดนี้เดินหน้าจริงอาจทำให้อินเดียเสียความเชื่อมั่นจากผู้ผลิตรายใหญ่ทั่วโลก
https://securityonline.info/indias-source-code-demand-sparks-tech-revolt
QEMU 11.0 เตรียมตัดการรองรับ 32-bit บน Cloud Variant
QEMU กำลังเดินหน้าลดภาระโค้ดโดยเตรียมลบการรองรับโฮสต์ 32-bit ในเวอร์ชัน Cloud ซึ่งจะช่วยลดโค้ดกว่า 7,000 บรรทัด แม้เวอร์ชันปกติยังรองรับอยู่ แต่ผู้ใช้ 32-bit จะไม่สามารถอัปเกรดเป็น QEMU 11.0 ได้และต้องค้างอยู่บน 10.x ที่ไม่มีแพตช์ความปลอดภัย ทำให้เสี่ยงต่อการใช้งานระยะยาว การเปลี่ยนแปลงยังอยู่ระหว่างพิจารณาแต่มีแนวโน้มสูงว่าจะเกิดขึ้นจริง
https://securityonline.info/cutting-the-cord-qemu-11-0-to-expunge-32-bit-host-support-in-cloud-variant
พบช่องโหว่ร้ายแรงใน Ruckus IoT Controller เสี่ยงถูกยึดระบบเต็มรูปแบบ
มีการเปิดเผยช่องโหว่ CVSS 10 สองรายการใน Ruckus vRIoT Controller ที่เกิดจากการฝังคีย์ลับและข้อมูลล็อกอินแบบฮาร์ดโค้ด ทำให้ผู้โจมตีสามารถเข้าถึงบริการบนพอร์ต 2004 เพื่อรันคำสั่งระดับ root หรือใช้บัญชี SSH ที่ฝังไว้เพื่อเจาะออกจาก Docker และยึดระบบทั้งหมดได้ Ruckus ออกแพตช์แก้ไขแล้วในเวอร์ชัน 3.0.0.0 และแนะนำให้อัปเดตทันที
https://securityonline.info/double-critical-hardcoded-secrets-expose-ruckus-iot-controllers-to-root-rce
Hikvision เจอช่องโหว่ Stack Overflow กระทบกล้องวงจรปิดและระบบควบคุมการเข้าออก
รายงานชี้ว่าอุปกรณ์ของ Hikvision ทั้งกล้องวงจรปิดและระบบ Access Control ถูกพบช่องโหว่แบบ Stack Overflow ที่อาจเปิดทางให้ผู้โจมตีทำให้ระบบล่มหรือเข้าควบคุมอุปกรณ์ได้ โดยข้อมูลเชิงลึกถูกจำกัดให้เฉพาะผู้สนับสนุน แต่ประเด็นหลักคือความเสี่ยงต่อโครงสร้างพื้นฐานด้านความปลอดภัยที่ใช้อุปกรณ์เหล่านี้อย่างแพร่หลาย
https://securityonline.info/hikvision-security-cameras-and-access-controls-hit-by-stack-overflow-flaws
ช่องโหว่ร้ายแรงใน ServiceNow (CVE-2025-12420) เปิดทางปลอมตัวเป็นผู้ใช้
มีการค้นพบช่องโหว่ระดับวิกฤตในแพลตฟอร์ม AI ของ ServiceNow ที่เปิดโอกาสให้ผู้โจมตีที่ไม่ได้รับการยืนยันตัวตนสามารถสวมรอยเป็นผู้ใช้จริงและทำสิ่งที่ผู้ใช้คนนั้นมีสิทธิ์ทำได้ แม้ ServiceNow จะออกแพตช์แก้ไขแล้วสำหรับระบบที่โฮสต์โดยบริษัท แต่ลูกค้าที่ติดตั้งเองยังต้องเร่งอัปเดตเพื่อปิดความเสี่ยงนี้ทันที
https://securityonline.info/ai-identity-theft-critical-servicenow-flaw-cve-2025-12420-allows-unauthenticated-impersonation
CISA เตือนด่วน! ช่องโหว่ Gogs (CVE-2025-8110) ถูกโจมตีจริงแล้ว
CISA ออกประกาศ “Must-Patch” หลังพบว่าช่องโหว่ใน Gogs ซึ่งเป็นระบบ Git แบบ self-hosted ถูกใช้โจมตีจริงในโลกไซเบอร์ โดยช่องโหว่นี้เป็นการเลี่ยงแพตช์เดิม ทำให้ผู้ใช้ที่ผ่านการยืนยันตัวตนสามารถทำ Path Traversal และเขียนไฟล์ออกนอกไดเรกทอรีได้ ส่งผลให้สามารถรันโค้ดบนเซิร์ฟเวอร์ได้ หน่วยงานรัฐสหรัฐฯ ถูกกำหนดเส้นตายให้แก้ไขก่อนกุมภาพันธ์ 2026
https://securityonline.info/cisa-must-patch-alert-critical-gogs-exploit-cve-2025-8110-active-in-wild
มิจฉาชีพใช้ PDF ปลอมล่อเหยื่อ ติดตั้ง RMM Tools เพื่อยึดเครื่อง
รายงานจาก ASEC ระบุว่าผู้โจมตีกำลังใช้ไฟล์ PDF ปลอมที่แกล้งทำเป็นเอกสารเสียหรือโหลดไม่ขึ้น เพื่อหลอกให้เหยื่อคลิกลิงก์ดาวน์โหลดเครื่องมือ Remote Monitoring & Management (RMM) เช่น Syncro, NinjaOne หรือ ScreenConnect ซึ่งเป็นซอฟต์แวร์ถูกต้องตามกฎหมาย แต่ถูกนำมาใช้เป็นช่องทางเข้าควบคุมเครื่องของเหยื่อแบบแนบเนียน ทำให้ตรวจจับได้ยากมาก
https://securityonline.info/attackers-weaponize-legitimate-rmm-tools-via-fake-pdfs
Angular พบช่องโหว่ร้ายแรงใน SVG (CVE-2026-22610) เสี่ยงถูกโจมตีแบบ XSS
ช่องโหว่ใหม่ใน Angular Template Compiler ทำให้ผู้โจมตีสามารถใช้คุณสมบัติของ SVG script เพื่อหลบเลี่ยงระบบ Sanitization และฝังโค้ด JavaScript อันตรายได้ หากแอปมีการผูกข้อมูลแบบไดนามิกกับ attribute ของ SVG script อาจถูกใช้ขโมย session, ดึงข้อมูล หรือสั่งการโดยไม่ได้รับอนุญาต นักพัฒนาถูกแนะนำให้อัปเดตเวอร์ชัน Angular ทันทีเพื่อปิดช่องโหว่นี้
https://securityonline.info/angular-security-alert-high-severity-svg-flaw-cve-2026-22610-exposes-apps-to-xss
📌🔐🩷 รวมข่าวจากเวบ SecurityOnline 🩷🔐📌
#รวมข่าวIT #20260113 #securityonline
🔥 ช่องโหว่ร้ายแรง Advantech เปิดช่องให้โจมตี IoT (CVE-2025-52694)
ช่องโหว่ SQL Injection ระดับวิกฤตคะแนนเต็ม 10 ทำให้อุปกรณ์ IoT ของ Advantech เสี่ยงถูกเจาะโดยไม่ต้องล็อกอิน ผู้โจมตีสามารถสั่งฐานข้อมูล แก้ไขค่าระบบ หรือยึดโครงสร้าง IoT ได้ทันที โดยกระทบหลายผลิตภัณฑ์เวอร์ชันเก่าและต้องอัปเดตด่วนผ่านการติดต่อซัพพอร์ตหรือดาวน์โหลดแพตช์ตามรุ่นที่ใช้
🔗 https://securityonline.info/cve-2025-52694-cvss-10-critical-advantech-sql-injection-exposes-iot-devices
⚠️ สวิตช์ Moxa เสี่ยงถูกโจมตีผ่าน OpenSSH RCE (CVSS 9.8)
พบช่องโหว่ร้ายแรงในสวิตช์อุตสาหกรรมของ Moxa จากบั๊กใน OpenSSH ที่เปิดทางให้รันโค้ดจากระยะไกลได้ หากมีการใช้ ssh-agent forwarding โดยรุ่นที่ได้รับผลกระทบต้องติดต่อ Moxa เพื่อขอแพตช์เฉพาะ พร้อมคำแนะนำเสริมด้านความปลอดภัย เช่น แยกเครือข่าย จำกัดการเข้าถึง และตรวจสอบบันทึกการใช้งานอย่างใกล้ชิด
🔗 https://securityonline.info/critical-alert-moxa-switches-exposed-to-openssh-remote-code-execution-cvss-9-8
📱 Google เตรียมนำ AirDrop มาสู่ Pixel 9
Google เดินหน้าเร่งพัฒนาการแชร์ไฟล์ข้ามระบบให้เทียบเท่า AirDrop โดยฟีเจอร์ Quick Share รุ่นใหม่ถูกพบในเฟิร์มแวร์ทดลองของ Pixel 9 ก่อนกำหนดเดิมที่ตั้งใจเปิดตัวพร้อม Pixel 10 สะท้อนว่าบริษัทต้องการผลักดันการเชื่อมต่อ Android–iOS ให้ไร้รอยต่อ และอาจเปิดใช้งานจริงพร้อมอัปเดต Android 16 QPR3 หรือ Android 17 ในอนาคต
🔗 https://securityonline.info/tearing-down-the-wall-google-brings-airdrop-support-to-the-pixel-9
🛒 Google เปิดตัว “Agentic Commerce” ยุคใหม่ของการช้อปด้วย AI
Google ประกาศแนวคิด Agentic Commerce และโปรโตคอล UCP ที่ช่วยให้ AI ทำงานแทนผู้ใช้ตั้งแต่ค้นหา เปรียบเทียบราคา ไปจนถึงสั่งซื้อสินค้าโดยไม่ต้องเปิดหลายแท็บหรือกรอกข้อมูลซ้ำ ระบบนี้ร่วมพัฒนากับยักษ์ค้าปลีกอย่าง Walmart, Shopify และบริษัทการเงินหลายแห่ง เพื่อสร้างมาตรฐานกลางให้ AI เชื่อมต่อร้านค้าต่าง ๆ ได้อย่างราบรื่น และอาจเป็นก้าวสำคัญในการท้าชน Amazon
🔗 https://securityonline.info/the-end-of-the-shopping-tab-google-unveils-agentic-commerce-and-ucp
💻 Dell ยอมรับ “AI PC” ยังไม่จูงใจผู้บริโภค
แม้ผู้ผลิตชิปและผู้พัฒนาระบบจะผลักดัน AI PC อย่างหนัก แต่ Dell ระบุว่าผู้ใช้ทั่วไปยังไม่เห็นประโยชน์ชัดเจนและกังวลเรื่องความเป็นส่วนตัว ทำให้ยอดขายไม่ขยับตามคาด ผู้บริโภคยังให้ความสำคัญกับราคา ประสิทธิภาพ และความทนทานมากกว่า ส่งผลให้ Dell ปรับกลยุทธ์เน้นดีไซน์และประสบการณ์ใช้งานแทนการโปรโมต AI แบบเดิม
🔗 https://securityonline.info/the-hype-hangover-dell-admits-consumers-arent-buying-the-ai-pc-narrative
🕵️♂️ “TryCloudflare” ถูกใช้เป็นช่องทางซ่อนมัลแวร์ AsyncRAT
แคมเปญโจมตีใหม่กำลังใช้บริการ TryCloudflare และ WebDAV เพื่อสร้างโครงสร้างสั่งการมัลแวร์ที่ซ่อนตัวแนบเนียน โดยเริ่มจากอีเมลฟิชชิงที่หลอกให้เหยื่อเปิดไฟล์ลวงซึ่งดาวน์โหลด Python ของจริงมาติดตั้งสภาพแวดล้อมก่อนฉีด AsyncRAT เข้าไปใน explorer.exe ทำให้ผู้โจมตีควบคุมเครื่องได้อย่างต่อเนื่องและยากต่อการตรวจจับ แนวโน้มนี้สะท้อนการใช้บริการคลาวด์ถูกกฎหมายเป็นเครื่องมือโจมตีมากขึ้น
🔗 https://securityonline.info/trycloudflare-abuse-asyncrat-exploits-free-tunnels-to-build-stealthy-webdav-network
🤖 Apple จับมือ Google Gemini ปั้น Siri เวอร์ชันใหม่
Apple และ Google ประกาศความร่วมมือครั้งใหญ่ โดย Apple จะนำโมเดล Gemini มาเป็นแกนหลักของ Apple Foundation Models เพื่อยกระดับ Siri ให้ฉลาดขึ้น เข้าใจภาษาธรรมชาติดีขึ้น และรองรับฟีเจอร์ Apple Intelligence รุ่นใหม่ แม้จะยังคงประมวลผลข้อมูลส่วนตัวบนอุปกรณ์และ Private Cloud Compute ของ Apple แต่ดีลนี้สะท้อนว่า Apple ต้องเร่งปิดช่องว่างการแข่งขันด้าน AI ขณะที่ Google ได้ประโยชน์จากดีมานด์มหาศาลของผู้ใช้ iPhone
🔗 https://securityonline.info/the-ai-alliance-apple-taps-google-gemini-to-power-the-new-siri
🇮🇳 อินเดียขอซอร์สโค้ดมือถือ จุดชนวนความไม่พอใจในวงการเทค
รัฐบาลอินเดียเสนอข้อกำหนดด้านความปลอดภัย 83 ข้อ โดยหนึ่งในนั้นคือการให้ผู้ผลิตสมาร์ตโฟนส่งมอบ “ซอร์สโค้ด” ให้รัฐตรวจสอบ อ้างเพื่อความมั่นคงไซเบอร์ แต่บริษัทใหญ่ทั้ง Apple, Samsung และ MAIT ต่างคัดค้านอย่างหนักเพราะซอร์สโค้ดคือทรัพย์สินสำคัญและเสี่ยงต่อการถูกเจาะระบบ หากข้อกำหนดนี้เดินหน้าจริงอาจทำให้อินเดียเสียความเชื่อมั่นจากผู้ผลิตรายใหญ่ทั่วโลก
🔗 https://securityonline.info/indias-source-code-demand-sparks-tech-revolt
🧩 QEMU 11.0 เตรียมตัดการรองรับ 32-bit บน Cloud Variant
QEMU กำลังเดินหน้าลดภาระโค้ดโดยเตรียมลบการรองรับโฮสต์ 32-bit ในเวอร์ชัน Cloud ซึ่งจะช่วยลดโค้ดกว่า 7,000 บรรทัด แม้เวอร์ชันปกติยังรองรับอยู่ แต่ผู้ใช้ 32-bit จะไม่สามารถอัปเกรดเป็น QEMU 11.0 ได้และต้องค้างอยู่บน 10.x ที่ไม่มีแพตช์ความปลอดภัย ทำให้เสี่ยงต่อการใช้งานระยะยาว การเปลี่ยนแปลงยังอยู่ระหว่างพิจารณาแต่มีแนวโน้มสูงว่าจะเกิดขึ้นจริง
🔗 https://securityonline.info/cutting-the-cord-qemu-11-0-to-expunge-32-bit-host-support-in-cloud-variant
🔐 พบช่องโหว่ร้ายแรงใน Ruckus IoT Controller เสี่ยงถูกยึดระบบเต็มรูปแบบ
มีการเปิดเผยช่องโหว่ CVSS 10 สองรายการใน Ruckus vRIoT Controller ที่เกิดจากการฝังคีย์ลับและข้อมูลล็อกอินแบบฮาร์ดโค้ด ทำให้ผู้โจมตีสามารถเข้าถึงบริการบนพอร์ต 2004 เพื่อรันคำสั่งระดับ root หรือใช้บัญชี SSH ที่ฝังไว้เพื่อเจาะออกจาก Docker และยึดระบบทั้งหมดได้ Ruckus ออกแพตช์แก้ไขแล้วในเวอร์ชัน 3.0.0.0 และแนะนำให้อัปเดตทันที
🔗 https://securityonline.info/double-critical-hardcoded-secrets-expose-ruckus-iot-controllers-to-root-rce
🔐 Hikvision เจอช่องโหว่ Stack Overflow กระทบกล้องวงจรปิดและระบบควบคุมการเข้าออก
รายงานชี้ว่าอุปกรณ์ของ Hikvision ทั้งกล้องวงจรปิดและระบบ Access Control ถูกพบช่องโหว่แบบ Stack Overflow ที่อาจเปิดทางให้ผู้โจมตีทำให้ระบบล่มหรือเข้าควบคุมอุปกรณ์ได้ โดยข้อมูลเชิงลึกถูกจำกัดให้เฉพาะผู้สนับสนุน แต่ประเด็นหลักคือความเสี่ยงต่อโครงสร้างพื้นฐานด้านความปลอดภัยที่ใช้อุปกรณ์เหล่านี้อย่างแพร่หลาย
🔗 https://securityonline.info/hikvision-security-cameras-and-access-controls-hit-by-stack-overflow-flaws
🕵️♂️ ช่องโหว่ร้ายแรงใน ServiceNow (CVE-2025-12420) เปิดทางปลอมตัวเป็นผู้ใช้
มีการค้นพบช่องโหว่ระดับวิกฤตในแพลตฟอร์ม AI ของ ServiceNow ที่เปิดโอกาสให้ผู้โจมตีที่ไม่ได้รับการยืนยันตัวตนสามารถสวมรอยเป็นผู้ใช้จริงและทำสิ่งที่ผู้ใช้คนนั้นมีสิทธิ์ทำได้ แม้ ServiceNow จะออกแพตช์แก้ไขแล้วสำหรับระบบที่โฮสต์โดยบริษัท แต่ลูกค้าที่ติดตั้งเองยังต้องเร่งอัปเดตเพื่อปิดความเสี่ยงนี้ทันที
🔗 https://securityonline.info/ai-identity-theft-critical-servicenow-flaw-cve-2025-12420-allows-unauthenticated-impersonation
🚨 CISA เตือนด่วน! ช่องโหว่ Gogs (CVE-2025-8110) ถูกโจมตีจริงแล้ว
CISA ออกประกาศ “Must-Patch” หลังพบว่าช่องโหว่ใน Gogs ซึ่งเป็นระบบ Git แบบ self-hosted ถูกใช้โจมตีจริงในโลกไซเบอร์ โดยช่องโหว่นี้เป็นการเลี่ยงแพตช์เดิม ทำให้ผู้ใช้ที่ผ่านการยืนยันตัวตนสามารถทำ Path Traversal และเขียนไฟล์ออกนอกไดเรกทอรีได้ ส่งผลให้สามารถรันโค้ดบนเซิร์ฟเวอร์ได้ หน่วยงานรัฐสหรัฐฯ ถูกกำหนดเส้นตายให้แก้ไขก่อนกุมภาพันธ์ 2026
🔗 https://securityonline.info/cisa-must-patch-alert-critical-gogs-exploit-cve-2025-8110-active-in-wild
📄 มิจฉาชีพใช้ PDF ปลอมล่อเหยื่อ ติดตั้ง RMM Tools เพื่อยึดเครื่อง
รายงานจาก ASEC ระบุว่าผู้โจมตีกำลังใช้ไฟล์ PDF ปลอมที่แกล้งทำเป็นเอกสารเสียหรือโหลดไม่ขึ้น เพื่อหลอกให้เหยื่อคลิกลิงก์ดาวน์โหลดเครื่องมือ Remote Monitoring & Management (RMM) เช่น Syncro, NinjaOne หรือ ScreenConnect ซึ่งเป็นซอฟต์แวร์ถูกต้องตามกฎหมาย แต่ถูกนำมาใช้เป็นช่องทางเข้าควบคุมเครื่องของเหยื่อแบบแนบเนียน ทำให้ตรวจจับได้ยากมาก
🔗 https://securityonline.info/attackers-weaponize-legitimate-rmm-tools-via-fake-pdfs
🛡️ Angular พบช่องโหว่ร้ายแรงใน SVG (CVE-2026-22610) เสี่ยงถูกโจมตีแบบ XSS
ช่องโหว่ใหม่ใน Angular Template Compiler ทำให้ผู้โจมตีสามารถใช้คุณสมบัติของ SVG script เพื่อหลบเลี่ยงระบบ Sanitization และฝังโค้ด JavaScript อันตรายได้ หากแอปมีการผูกข้อมูลแบบไดนามิกกับ attribute ของ SVG script อาจถูกใช้ขโมย session, ดึงข้อมูล หรือสั่งการโดยไม่ได้รับอนุญาต นักพัฒนาถูกแนะนำให้อัปเดตเวอร์ชัน Angular ทันทีเพื่อปิดช่องโหว่นี้
🔗 https://securityonline.info/angular-security-alert-high-severity-svg-flaw-cve-2026-22610-exposes-apps-to-xss
0 ความคิดเห็น
0 การแบ่งปัน
42 มุมมอง
0 รีวิว