สรุปข่าวประจำวัน
ช่องโหว่ Brotli Decoder ที่อยู่เบื้องหลังการโจมตีแบบ RCE ใน Node.js ยังส่งผลกระทบต่อ Bun, Python และภาษาโปรแกรมอื่นๆ ที่ใช้งานกันอย่างแพร่หลาย…
การสรุปข่าวในวันนี้ครอบคลุมถึงข้อบกพร่องที่พบได้ทั่วไปในตัวถอดรหัส Brotli การรั่วไหลของห่วงโซ่อุปทานใน LiteLLM และช่องโหว่ที่ใช้งานอยู่ใหม่ซึ่งถูกตรวจพบโดย CISA
5 ข่าวอ่าน 1 นาที
ความเสี่ยงในห่วงโซ่อุปทานซอฟต์แวร์และช่องโหว่โครงสร้างพื้นฐานที่ยังไม่ได้รับการแก้ไข เป็นประเด็นสำคัญในการพัฒนาด้านความปลอดภัยในปัจจุบัน องค์กรที่พึ่งพาองค์ประกอบโอเพนซอร์สและอุปกรณ์ระดับองค์กรต้องเผชิญกับภารกิจการบำรุงรักษาที่เร่งด่วน
ประการแรก ช่องโหว่การเสียหายของหน่วยความจำในตัวถอดรหัส Brotli ของ Google ส่งผลกระทบต่อระบบซอฟต์แวร์ที่ใช้กันอย่างแพร่หลาย รวมถึง Node.js, Bun, Python และ Envoy ในขณะเดียวกัน CISA ได้เพิ่มช่องโหว่ที่ถูกใช้ประโยชน์อย่างต่อเนื่องใน Collabora Online และ Arista VeloCloud Orchestrator ลงในแคตตาล็อกช่องโหว่ที่ถูกใช้ประโยชน์ที่ทราบแล้ว (Known Exploited Vulnerabilities)
ทีมรักษาความปลอดภัยควรตรวจสอบความลับที่รั่วไหลในที่เก็บของนักพัฒนาทันที ติดตั้งแพทช์ของผู้จำหน่ายสำหรับระบบรักษาความปลอดภัยที่ระบุไว้ในแคตตาล็อก CISA และอัปเดตส่วนประกอบที่จำเป็นของ Brotli ในสภาพแวดล้อมต่างๆ
คีย์หลักของ LiteLLM ที่รั่วไหลทำให้แฮกเกอร์สามารถขโมยโทเค็นของ GitHub และเข้าควบคุม Release Pipeline ได้
คีย์หลักของ Agent Platform รั่วไหลในที่เก็บข้อมูลสาธารณะของ GitHub (LiteLLM-Labs/lite-harness) ในช่วงปลายเดือนพฤษภาคม 2026 ทำให้ผู้โจมตีสามารถขโมยโทเค็นของ GitHub ได้ จากนั้นผู้ก่อภัยคุกคามได้ใช้สิทธิ์การเข้าถึงที่ถูกขโมยไปเพื่อยึดครองกระบวนการเผยแพร่ของ LiteLLM และเผยแพร่แพ็กเกจ Python เวอร์ชันที่เป็นอันตราย
- ควรทำอย่างไร
- หมุนเวียนคีย์ API และโทเค็น GitHub ที่เปิดเผย ตรวจสอบไปป์ไลน์การเผยแพร่ CI/CD และตรวจสอบความสมบูรณ์ของแพ็กเกจ LiteLLM
CISA ตรวจพบช่องโหว่ร้ายแรง 2 จุดที่ถูกโจมตีอย่างแพร่หลายใน Collabora Online และ Arista VeloCloud
CISA ได้เพิ่ม CVE-2026-110447 ใน Collabora Online Built-in CODE Server และ CVE-2026-114625 ใน Arista VeloCloud Orchestrator ลงในแคตตาล็อกช่องโหว่ที่ถูกโจมตีแล้ว (Known Exploited Vulnerabilities) หลังจากมีการโจมตีเกิดขึ้นจริงในวงกว้าง ช่องโหว่นี้อนุญาตให้มีการโจมตีแบบฉีดคำสั่งระบบปฏิบัติการ (OS command injection) และการโจมตีแบบฉีดคำสั่ง SQL (SQL injection) ตามลำดับ
- ควรทำอย่างไร
- อัปเดต Collabora Online Built-in CODE Server เป็นเวอร์ชัน 26.4.303 หรือใหม่กว่า และติดตั้งแพทช์สำหรับ Arista VeloCloud Orchestrator
ช่องโหว่ Brotli Decoder ที่อยู่เบื้องหลังการโจมตีแบบ RCE ใน Node.js ยังส่งผลกระทบต่อ Bun, Python และซอฟต์แวร์อื่นๆ ที่ใช้งานกันอย่างแพร่หลาย
ช่องโหว่ที่ทำให้หน่วยความจำเสียหายในตัวถอดรหัส Brotli ของ Google พบได้ในโปรแกรมหลายโปรแกรมที่ใช้คลายข้อมูลที่บีบอัดด้วย Brotli ซึ่งรวมถึง Bun, แพ็กเกจ Python Brotli และ brotlicffi และพร็อกซี Envoy ที่ตั้งค่าไว้เพื่อคลายการบีบอัด Brotli
- เหตุใดจึงสำคัญ
- เนื่องจากแอปพลิเคชันที่ได้รับผลกระทบแต่ละตัวจะรวมสำเนาของตัวถอดรหัส Brotli ของ Google ไว้ด้วย องค์กรที่พึ่งพารันไทม์และพร็อกซีเหล่านี้จึงต้องติดตามและติดตั้งการอัปเดตจากผู้จำหน่ายแต่ละรายเพื่อป้องกันการเรียกใช้โค้ด
- ควรทำอย่างไร
- อัปเดตรันไทม์และแพ็กเกจที่ได้รับผลกระทบ รวมถึง Bun, Envoy และ Python Brotli ให้เป็นเวอร์ชันที่แก้ไขแล้ว
Google ระบุว่า ข้อมูล Gmail และรูปภาพที่แชร์กับระบบค้นหา AI อาจถูกนำไปใช้สำหรับการโฆษณาแบบเจาะกลุ่มเป้าหมาย
Google ได้อัปเดตนโยบายความเป็นส่วนตัว โดยมีผลบังคับใช้ตั้งแต่วันที่ 16 ตุลาคม 2026 เพื่อชี้แจงว่า ข้อมูลที่แชร์จาก Google Photos, Gmail และ Drive ร่วมกับฟีเจอร์ AI ใน Search หรือ Gemini Apps อาจถูกประมวลผลเพื่อแสดงโฆษณาแบบกำหนดเป้าหมาย
- เหตุใดจึงสำคัญ
- ผู้ใช้และองค์กรที่ผสานรวมข้อมูลส่วนบุคคลหรือข้อมูลจาก Workspace เข้ากับฟีเจอร์ Google Search และ Gemini AI อาจทำให้เนื้อหาจาก Gmail, Photos และ Drive ตกอยู่ภายใต้การกำหนดเป้าหมายโฆษณาแบบส่วนบุคคลได้
- ควรทำอย่างไร
- ตรวจสอบการตั้งค่าความเป็นส่วนตัวของบัญชี Google เพื่อจำกัดการแชร์ข้อมูลระหว่างแอป Workspace และ Search/Gemini
นักวิจัยผลักดันการอัปเดตมากกว่า 2 ล้านครั้งเพื่อปิดการใช้งานโปรแกรมอัปเดต Popcorn Time จากระยะไกล ซึ่งอาจเป็นแหล่งพลังงานให้กับบอทเน็ต
บริษัทรักษาความปลอดภัย Eye Security จากประเทศเนเธอร์แลนด์ ดำเนินการปฏิบัติการ IXIM โดยส่งการอัปเดตระยะไกลกว่าสองล้านครั้งเพื่อปิดใช้งานโปรแกรมอัปเดตพื้นหลังที่มีช่องโหว่ (Updater.exe) ในแอปพลิเคชัน Time4Popcorn ที่ถูกทิ้งร้าง โดเมนที่ไม่ได้จดทะเบียนซึ่งโปรแกรมอัปเดตเรียกใช้มีความเสี่ยงที่จะถูกแฮ็กเพื่อสร้างบอทเน็ตขนาดใหญ่
- ควรทำอย่างไร
- ค้นหาและลบซอฟต์แวร์รุ่นเก่าที่ไม่ได้รับอนุญาต เช่น Time4Popcorn และบล็อกการเชื่อมต่อกับโดเมนอัปเดตที่ไม่ได้รับการตรวจสอบ
ประเด็นสำคัญ
- อัปเดตการใช้งานตัวถอดรหัส Brotli ใน Node.js, Bun, Python และ Envoy เพื่อแก้ไขช่องโหว่การเสียหายของหน่วยความจำ CVE-2026-111497
- ทำการแพทช์ Collabora Online Built-in CODE Server (CVE-2026-110447) และ Arista VeloCloud Orchestrator (CVE-2026-114625) ตามคำเตือนของ CISA