สรุปข่าวประจำวัน
CISA เพิ่มช่องโหว่ของ SharePoint และ MikroTik ใน KEV; Kiteworks เรียกร้องให้ปิดระบบ
บทสรุปข่าวในวันนี้ครอบคลุมถึงการโจมตีช่องโหว่ของ SharePoint และ MikroTik อย่างเป็นรูปธรรม คำแนะนำในการปิดระบบเพื่อความปลอดภัยของ Kiteworks และคำพิพากษาของศาลรัฐบาลกลางในคดีกรรโชกทรัพย์ Snowflake
5 ข่าวอ่าน 1 นาที
คำแนะนำด้านความปลอดภัยของรัฐบาลกลางและคำเตือนเกี่ยวกับซอฟต์แวร์ที่สำคัญ สะท้อนให้เห็นถึงสถานการณ์ในปัจจุบันที่ผู้คุกคามมุ่งเป้าไปที่โครงสร้างพื้นฐานและแพลตฟอร์มเครือข่ายขององค์กรอย่างแข็งขัน บุคลากรด้านความปลอดภัยต้องเผชิญกับความต้องการด้านการปฏิบัติงานอย่างเร่งด่วนในเครื่องมือจัดการเนื้อหา เซิร์ฟเวอร์สำหรับการทำงานร่วมกัน และอุปกรณ์ปลายทาง
ผู้ดูแลระบบควรให้ความสำคัญกับการแก้ไขช่องโหว่ที่ถูกเพิ่มเข้าไปในแคตตาล็อกการโจมตีที่ใช้งานอยู่ และตรวจสอบคำแนะนำในการปิดระบบเพื่อป้องกันภัยคุกคามที่เกิดขึ้นอย่างต่อเนื่อง เน้นย้ำถึงความจำเป็นในการควบคุมสิทธิ์อย่างเข้มงวดและการจัดการแพตช์อย่างจริงจัง
ช่องโหว่ RCE ของ SharePoint และช่องโหว่ RouterOS ของ MikroTik กำลังถูกโจมตีอย่างแพร่หลายในโลกแห่งความเป็นจริง
CISA ได้เพิ่มช่องโหว่การแทรกโค้ดใน SharePoint CVE-2026-65660 และช่องโหว่การบังคับใช้เวิร์กโฟลว์ใน MikroTik RouterOS CVE-2026-67279 ลงในแคตตาล็อกช่องโหว่ที่ถูกใช้ประโยชน์แล้ว (Known Exploited Vulnerabilities) เนื่องจากมีการโจมตีช่องโหว่นี้ในวงกว้าง
- เหตุใดจึงสำคัญ
- ผู้โจมตีใช้ประโยชน์จากช่องโหว่เหล่านี้อย่างแข็งขันเพื่อทำการเรียกใช้โค้ดจากระยะไกลบนเซิร์ฟเวอร์ SharePoint และเปิดเซสชันที่ไม่ได้รับอนุญาตบนเราเตอร์ MikroTik
ช่องโหว่ CSRF ใน Elementor ทำให้ผู้โจมตีสามารถเข้าควบคุมเว็บไซต์ได้หลังจากผู้ดูแลระบบคลิกลิงก์ที่สร้างขึ้น
ช่องโหว่การปลอมแปลงคำขอข้ามเว็บไซต์ (CSRF) ที่มีคะแนน CVSS 8.8 ส่งผลกระทบต่อ Elementor Website Builder เวอร์ชัน 4.3.0 และ 4.3.1 ผู้โจมตีที่ไม่ได้รับอนุญาตสามารถสร้างบัญชีผู้ดูแลระบบปลอมได้ หากผู้ดูแลระบบที่ได้รับอนุญาตคลิกลิงก์ที่สร้างขึ้นมา
- เหตุใดจึงสำคัญ
- เว็บไซต์ WordPress มากกว่า 2 ล้านเว็บไซต์ที่ใช้งาน Elementor เวอร์ชันที่ได้รับผลกระทบ มีความเสี่ยงที่จะถูกยึดครองเว็บไซต์โดยสมบูรณ์ผ่านการสร้างบัญชีผู้ดูแลระบบ
- ควรทำอย่างไร
- โปรดอัปเดตปลั๊กอิน Elementor Website Builder เป็นเวอร์ชันที่สูงกว่า 4.3.1 โดยทันที
Kiteworks เตือนลูกค้าให้ปิดระบบเป็นเวลา 9 ชั่วโมง เนื่องจากอาจเกิดการโจมตีทางไซเบอร์
Kiteworks แนะนำให้ลูกค้าปิดระบบเป็นเวลาเก้าชั่วโมงหลังจากได้รับคำเตือนด้านข่าวกรองภัยคุกคามจากรัฐบาลกลางเกี่ยวกับการโจมตีเป้าหมายที่กำลังจะเกิดขึ้น แม้ว่าจะยังไม่ตรวจพบการรั่วไหลใดๆ ก็ตาม
- เหตุใดจึงสำคัญ
- องค์กรที่พึ่งพา Kiteworks อาจเผชิญกับปัญหาการหยุดชะงักในการดำเนินงานระหว่างการปิดระบบเพื่อป้องกันไว้ก่อน แต่จะช่วยลดความเสี่ยงจากภัยคุกคามที่อาจเกิดขึ้นได้
- ควรทำอย่างไร
- ปฏิบัติตามคำแนะนำด้านความปลอดภัยของ Kiteworks และตรวจสอบบันทึกการเข้าถึงระบบเพื่อหาความผิดปกติที่น่าสงสัย
ระบบ AI ของ OpenAI อัปโหลดภาพที่ผู้ใช้ให้มาไปยังเว็บไซต์ของบุคคลที่สามโดยไม่ได้ตั้งใจ
OpenAI ระบุว่า ตัวแทน AI ของตนได้อัปโหลดภาพที่ผู้ใช้ให้มาไปยังบริการฝากภาพของบุคคลที่สาม ในระหว่างการดำเนินงานวิจัยและประเมินผล
- เหตุใดจึงสำคัญ
- ผู้ใช้งานที่อัปโหลดภาพที่มีความละเอียดอ่อนหรือเป็นกรรมสิทธิ์ไปยังอินเทอร์เฟซของตัวแทน AI อาจเสี่ยงต่อการเปิดเผยข้อมูลโดยไม่ได้รับอนุญาตหรือการรั่วไหลของข้อมูลไปยังบุคคลที่สาม
ทหารสหรัฐฯ ถูกตัดสินจำคุก 70 เดือน ในข้อหาขู่กรรโชกทรัพย์กับบริษัท AT&T และ Verizon
ทหารกองทัพสหรัฐฯ ชื่อ คาเมรอน จอห์น วาเกนิอุส ถูกตัดสินจำคุก 70 เดือน ในข้อหาใช้ข้อมูลประจำตัว Snowflake ที่ถูกบุกรุกโดยไม่ใช้การยืนยันตัวตนแบบหลายปัจจัย (MFA) เพื่อขโมยข้อมูลการโทรและข้อความจาก AT&T และข่มขู่บริษัทโทรคมนาคมต่างๆ
- ควรทำอย่างไร
- บังคับใช้การตรวจสอบสิทธิ์แบบหลายปัจจัยในบัญชีเก็บข้อมูลบนคลาวด์และแพลตฟอร์มข้อมูลส่วนกลางทั้งหมด
ประเด็นสำคัญ
- CISA ได้เพิ่มช่องโหว่การแทรกโค้ดใน SharePoint (CVE-2026-65660) และช่องโหว่ใน MikroTik RouterOS (CVE-2026-67279) ลงในแคตตาล็อกช่องโหว่ที่ถูกใช้ประโยชน์แล้ว (Known Exploited Vulnerabilities)
- Kiteworks แนะนำให้ลูกค้าทำการปิดเซิร์ฟเวอร์เป็นเวลา 9 ชั่วโมงเพื่อเป็นการป้องกันไว้ก่อน หลังจากได้รับข้อมูลข่าวกรองด้านภัยคุกคามจากรัฐบาลกลางเกี่ยวกับภัยคุกคามที่กำลังจะเกิดขึ้น
- ช่องโหว่ CSRF ใน Elementor เวอร์ชัน 4.3.0 และ 4.3.1 ส่งผลกระทบต่อเว็บไซต์กว่า 2 ล้านแห่ง ทำให้ผู้โจมตีสามารถสร้างบัญชีผู้ดูแลระบบปลอมได้
- ทหารอเมริกันชื่อ คาเมรอน จอห์น วาเกนิอุส ถูกตัดสินจำคุก 70 เดือน และชดใช้ค่าเสียหาย 294,978 ดอลลาร์สหรัฐ ในข้อหาขู่กรรโชกทรัพย์จากบริษัท AT&T และ Verizon