I-SECURE CO., LTD.

Name: I-SECURE CO., LTD.
Address: 55 Soi Pradipat 17, Pradipat Road Samsennai, Phayathai, Bangkok, 10400, TH
Telephone: +6626157005

I-SECURE was founded by a team of internationally certified engineers who specialize in cybersecurity

Due to an increase of Computer crime in the network system of organizations that connect to internet so it's necessary to monitor and detect a suspicious incident continually in order to solve or respond the problems effectively.

28/08/2026

🧑‍💻 Microsoft เริ่มถอดเครื่องมือ WMIC ที่ถูกใช้โดยอาชญากรไซเบอร์ออกจาก Windows

Microsoft ประกาศว่า ได้ถอดเครื่องมือ Windows Management Instrumentation Command-line (WMIC) ออกจาก Windows 11 24H2 และ 25H2 รวมถึง Beta Build ของ Windows 11 ที่ปล่อยออกมาในสัปดาห์นี้แล้ว

WMIC เป็นเครื่องมือ Command-line รุ่นเก่าที่ติดตั้งมาพร้อมกับ Windows ซึ่งใช้สำหรับติดต่อกับระบบ Windows Management Instrumentation (WMI) ผ่านการพิมพ์คำสั่งแบบ text

การดำเนินการดังกล่าวเป็นส่วนหนึ่งของกระบวนการที่ประกาศไว้เมื่อเดือนกันยายน ซึ่งในตอนนั้นทางบริษัทระบุว่า WMIC จะถูกถอดออกหลังจากอัปเกรดไปยัง Windows 11 25H2 และเวอร์ชันที่ใหม่กว่า

Microsoft ได้ประกาศเลิกใช้งาน (Deprecate) WMIC ใน Windows Server 2012 เมื่อปี 2016 และใน Windows 10 21H1 เมื่อปี 2021 จากนั้นได้เปลี่ยนให้เป็น Feature on Demand (FoD) ตั้งแต่ Windows 11 22H2 เมื่อปี 2022 และประกาศเมื่อเดือนมกราคม 2024 ว่า จะถอดออกทั้งหมดหลังจากปิดการใช้งานเป็นค่าเริ่มต้นก่อน

โดย Microsoft ระบุว่า "Windows Management Instrumentation Command-line (WMIC) ได้ถูกถอดออกแล้วในรุ่นนี้ การเปลี่ยนแปลงนี้เป็นส่วนหนึ่งของกระบวนการ Deprecation และการถอด WMIC ออกจาก Windows ที่ดำเนินการอย่างต่อเนื่อง"

ก่อนหน้านั้นสามวัน Microsoft ยังได้เปิดเผยว่า เครื่องมือดังกล่าว "ถูกถอดออกเป็นค่าเริ่มต้นแล้วในการติดตั้ง Windows 11 เวอร์ชัน 24H2 และ 25H2 แบบใหม่ และไม่มีให้ใช้งานในรูปแบบ Feature on Demand (FoD) อีกต่อไป"

อย่างไรก็ตาม การเปลี่ยนแปลงเหล่านี้มีผลเฉพาะกับคอมโพเนนต์ WMIC รุ่นเก่าเท่านั้น ขณะที่ระบบ Windows Management Instrumentation (WMI) ยังคงไม่ได้รับผลกระทบ โดยผู้ดูแลระบบ IT ที่ใช้งาน WMIC สามารถดูคำแนะนำเพิ่มเติมได้จากเอกสารสนับสนุนดังกล่าว ซึ่งแนะนำให้ใช้ PowerShell และเครื่องมือสมัยใหม่อื่น ๆ เช่น COM API ของ WMI, ไลบรารี .NET หรือภาษาสคริปต์ สำหรับงานที่เคยทำผ่าน WMIC

การถอด WMIC ออกมีเป้าหมายเพื่อยกระดับความปลอดภัยโดยรวมของระบบปฏิบัติการ ด้วยการสกัดกั้นมัลแวร์ และเทคนิคการโจมตีจำนวนมากที่จะไม่สามารถใช้งานได้อีกต่อไป

เครื่องมือนี้ถูกจัดให้เป็น LOLBIN (Living-off-the-Land Binary) มาเป็นเวลานาน ซึ่งเป็นไฟล์ Executable ที่ติดตั้งมาพร้อมกับระบบ และลงนามรับรองโดย Microsoft ที่กลุ่มผู้โจมตีนำไปใช้ในกิจกรรมที่เป็นอันตรายหลากหลายรูปแบบ ระหว่างการโจมตีที่มุ่งเป้าไปยังอุปกรณ์ Windows

ตัวอย่างเช่น ตัวเข้ารหัสข้อมูลของ Ransomware มักใช้คำสั่ง WMIC ในการลบ Shadow Volume Copies เพื่อให้แน่ใจว่าเหยื่อจะไม่สามารถกู้คืนข้อมูลที่ถูกเข้ารหัสได้ นอกจากนี้ กลุ่มผู้โจมตีรายอื่นยังใช้ WMIC ในการ Query รายการโซลูชันด้านความปลอดภัย และซอฟต์แวร์แอนติไวรัสที่ติดตั้งอยู่ แล้วถอนการติดตั้งออกอีกด้วย

นอกจากนี้ ยังพบมัลแวร์ที่ใช้ WMIC ในการเพิ่มรายการ Exclusion ให้กับ Microsoft Defender ซึ่งช่วยให้สามารถหลบเลี่ยงการตรวจจับบนระบบที่ถูกโจมตีได้

ที่มา : bleepingcomputer

รูปภาพ: www.canva.com
-------------------------------------
-------------------------------------
🛡 I-SECURE 1st Managed Security Service Provider (MSSP) in Thailand
🛡 I-Secure มีทีมงานผู้เชี่ยวชาญที่จะคอยให้คำปรึกษาทางด้าน Cyber Security ให้กับองค์กรของท่าน

ติดต่อผู้เชี่ยวชาญของเราได้ที่
☎️ 02-615-7005
👩🏻‍💻 [email protected]
🌎 https://www.i-secure.co.th/

Line ID: -SECURE

27/08/2026

🤖 กลุ่มแฮ็กเกอร์ Akira ปิดการทำงานของ EDR ด้วย Safe Mode เพื่อขโมยข้อมูล แต่ไม่สามารถเข้ารหัสได้สำเร็จ

กลุ่ม Akira Ransomware ได้ปิดการทำงานของโซลูชัน Endpoint Detection and Response (EDR) บนระบบที่ถูกโจมตี โดยการรีสตาร์ทเครื่องเข้าสู่ Safe Mode with Networking (แบบเปิดใช้งานเครือข่าย)

การโจมตีเกิดขึ้นเมื่อวันที่ 4 สิงหาคม หลังจากที่แฮ็กเกอร์ได้สิทธิ์การเข้าถึงเบื้องต้นผ่านอุปกรณ์ SonicWall VPN ที่มีช่องโหว่ โดยไม่มีการตรวจสอบการยืนยันตัวตนแบบ MFA

Huntress บริษัทผู้ให้บริการ Managed Detection and Response (MDR) ระบุว่า ประมาณสองชั่วโมงหลังจากล็อกอิน VPN สำเร็จ ผู้โจมตีได้เชื่อมต่อไปยัง Domain Controller ผ่าน RDP ทำการไล่ดูรายชื่อผู้ใช้ และคอมพิวเตอร์ใน Active Directory แล้วจึงย้ายไปยัง Application Server

พวกเขาใช้ WinRAR เพื่อ Archive ไฟล์ที่แชร์ไว้ และใช้เครื่องมือ command-line ที่ชื่อ s5cmd เพื่ออัปโหลดข้อมูลที่ขโมยมาไปยัง S3 bucket ที่ผู้โจมตีควบคุมอยู่ ก่อนที่จะติดตั้ง AnyDesk สำหรับการเข้าถึงจากระยะไกล

ในขั้นตอนนี้ ผู้โจมตีใช้ AnyDesk เพื่อบังคับให้ Host ที่ถูกโจมตี Boot เข้าสู่ Safe Mode with Networking และปิดการทำงานของทั้ง Huntress agent และระบบป้องกันแบบ Real-time ของ Microsoft Defender

Safe Mode คือสถานะการเริ่มต้นระบบของ Windows ที่ออกแบบมาสำหรับการแก้ไขปัญหา และวิเคราะห์ระบบ โดยจะเริ่มการทำงานของ Windows ด้วยชุด Drivers และ Services ที่จำกัด ซึ่งโดยทั่วไปจะป้องกันไม่ให้ Software และ Services ของ Third-party ส่วนใหญ่โหลดขึ้นมาทำงาน

Huntress ระบุว่า เป็นเวลา 10 นาทีขณะอยู่ใน Safe Mode "Host ดังกล่าวที่ไม่มี EDR ทำงานอยู่ และโปรแกรม Antivirus (AV) ก็ถูกทำให้มองไม่เห็นความผิดปกติ"

ในขณะเดียวกัน ผู้โจมตีได้เพิ่ม AnyDesk ลงใน Registry ของ Windows สำหรับ Safe Mode ทำให้โปรแกรมสามารถเริ่มทำงานได้หลังจาก Reboot และคงสิทธิ์การเข้าถึงเครื่องที่ถูกโจมตีจากระยะไกลเอาไว้ได้

อย่างไรก็ตาม เมื่อพวกเขาพยายามเรียกใช้ Payload หลักของ Ransomware (akira.exe) ผ่าน AnyDesk ใน Safe Mode กลับไม่สามารถทำงานได้ เนื่องจากระบบรายงานว่า Low virtual memory และสร้าง Error แบบ Out-of-memory รวมถึง Error ของ PowerShell

ในท้ายที่สุด การสแกนตามกำหนดเวลาของ Defender ก็ตรวจพบไฟล์ Executable ของ Akira แม้ว่าการป้องกันแบบ Real-time จะถูกปิดไว้ใน Safe Mode ก็ตาม แต่เครื่องมือรักษาความปลอดภัยดังกล่าวไม่สามารถลบไฟล์นั้นได้ในขณะที่เครื่องยังคงอยู่ในโหมดนั้น

Defender ทำการ Quarantine ไฟล์ดังกล่าวได้หลังจากที่ผู้โจมตี Rebooted ระบบเข้าสู่โหมดปกติ ซึ่งทำให้การป้องกันแบบ Real-time กลับมาทำงานอีกครั้ง

แม้จะไม่สามารถเข้ารหัสไฟล์ได้ แต่ผู้ควบคุม Akira Ransomware ก็ยังคงสามารถขโมยข้อมูล Credentials และไฟล์เพื่อนำไปใช้ในการเรียกค่าไถ่ได้สำเร็จ โดยทั้งหมดนี้ใช้เวลาไม่ถึงห้าชั่วโมงนับตั้งแต่มีการเริ่มเจาะระบบเข้ามา

Huntress ตั้งข้อสังเกตว่า Ransomware ตระกูลอื่น ๆ เช่น Sn**ch และ AvosLocker ได้ใช้กลยุทธ์นี้มานานหลายปีแล้ว แต่เหตุการณ์นี้นับเป็นครั้งแรกที่บริษัทพบเห็นการใช้วิธีดังกล่าวในการโจมตีของ Akira

นักวิจัยแนะนำให้เพิ่ม MFA ให้กับบัญชี VPN ทั้งหมด, ติดตั้งมาตรการตรวจจับการโจมตีแบบ Credential-spraying และเฝ้าระวังการเปลี่ยนแปลง Boot configuration ใน Safe Mode หรือการเพิ่มเครื่องมือการเข้าถึงจากระยะไกลลงใน Service Registry ของ Safe Mode

ที่มา : bleepingcomputer

รูปภาพ: www.canva.com
-------------------------------------
-------------------------------------
🛡 I-SECURE 1st Managed Security Service Provider (MSSP) in Thailand
🛡 I-Secure มีทีมงานผู้เชี่ยวชาญที่จะคอยให้คำปรึกษาทางด้าน Cyber Security ให้กับองค์กรของท่าน

ติดต่อผู้เชี่ยวชาญของเราได้ที่
☎️ 02-615-7005
👩🏻‍💻 [email protected]
🌎 https://www.i-secure.co.th/

Line ID: -SECURE

26/08/2026

🛡️ ช่องโหว่ Zero-Day “ShieldBreak” ใน Microsoft Defender ทำให้สามารถยกระดับสิทธิ์เป็น SYSTEM ได้

นักวิจัยด้านความปลอดภัยที่ใช้ชื่อว่า Nightmare Eclipse ได้เผยแพร่ Exploit ของช่องโหว่ zero-day ตัวใหม่ใน Microsoft Defender ที่มีชื่อว่า "ShieldBreak" หลังจากที่ Microsoft ได้ปล่อยแพตช์อัปเดตด้านความปลอดภัยประจำเดือนสิงหาคม 2026 (Patch Tuesday)

ช่องโหว่ใหม่นี้ถูกอธิบายว่า เป็นการ Bypass ช่องโหว่ RoguePlanet ซึ่งเป็นอีกหนึ่งช่องโหว่ประเภทการยกระดับสิทธิ์ (Privilege Escalation) ใน Defender ที่ถูกเปิดเผยเมื่อเดือนมิถุนายน และ Microsoft ได้ออกแพตช์แก้ไขในอีกหนึ่งเดือนถัดมา

อย่างไรก็ตาม Kevin Beaumont ผู้เชี่ยวชาญด้านความปลอดภัยไซเบอร์ ซึ่งได้เผยแพร่ Query สำหรับตรวจจับการโจมตีด้วย ShieldBreak บน Microsoft Defender for Endpoint ด้วยนั้นระบุว่า Exploit ทั้งสองตัวมีการทำงานที่แตกต่างกันอย่างมาก

Beaumont ให้ความเห็นว่า "RoguePlanet เป็นช่องโหว่ประเภท Race condition ในระบบไฟล์ ซึ่งใช้ Virtual Disk และการจัดการไฟล์ผ่าน NT native เพื่อหลอกกระบวนการ Quarantine ให้เขียนทับไฟล์ระบบ" และ "ShieldBreak ใช้ User-mode Callback Hook ในการเปลี่ยนเนื้อหาของไฟล์ ระหว่างที่ Defender ทำการสแกนแบบ Cloud-hydration ผ่าน cfapi (Cloud Filter API)"

Nightmare Eclipse ระบุว่า ShieldBreak สามารถนำไปใช้เพื่อยกระดับสิทธิ์เป็น SYSTEM บนระบบ Windows 10, Windows 11 และ Windows Server ที่ติดตั้งแพตช์ครบถ้วนแล้วได้

นักวิจัยรายนี้ระบุว่า "Microsoft ไม่สามารถแก้ไขช่องโหว่ RoguePlanet หมายเลข CVE-2026-50656 ได้อย่างถูกต้อง โดย PoC นี้แสดงให้เห็นว่าสามารถ Bypass แพตช์ดังกล่าวได้ทั้งหมด"

"PoC นี้ได้รับการทดสอบบน Windows 11 25H2 เวอร์ชันล่าสุด (+Canary channel) และ Windows Server 2025 อีกทั้ง PoC ยังมีอัตราความสำเร็จ 100% ทั้งนี้ Windows 10 (รวมถึงเวอร์ชัน Server ที่เกี่ยวข้อง) ยังไม่ได้รับการรองรับในขณะนี้ แต่ก็มีความเสี่ยงต่อ ShieldBreak เช่นเดียวกัน"

Will Dormann หัวหน้านักวิเคราะห์ด้านช่องโหว่จาก Tharros ได้ยืนยันเมื่อวันอังคารที่ผ่านมาว่า Exploit ดังกล่าวสามารถใช้งานได้จริง โดยระบุว่า จำเป็นต้องมีการเปิดใช้งาน Microsoft Defender อยู่ Exploit ของ ShieldBreak จึงจะสามารถยกระดับสิทธิ์ของผู้โจมตีได้

Exploit ของ ShieldBreak นี้เป็นส่วนหนึ่งของข้อพิพาทที่ยังคงดำเนินอยู่ และทวีความรุนแรงระหว่าง Microsoft กับ Nightmare Eclipse เกี่ยวกับแนวปฏิบัติด้านการเปิดเผยช่องโหว่ และโครงการ Bug Bounty ของบริษัท

Microsoft ได้ตอบสนองต่อการเปิดเผยช่องโหว่ของ Nightmare Eclipse ด้วยการเตือนถึงการดำเนินการทางกฎหมายต่อผู้ที่มีส่วนเกี่ยวข้องกับกิจกรรมที่เป็นอันตรายซึ่งก่อให้เกิดความเสียหายจริงต่อลูกค้าของบริษัท ซึ่งทำให้ผู้เชี่ยวชาญด้านความปลอดภัยไซเบอร์เชื่อว่า บริษัทกำลังข่มขู่นักวิจัยด้านความปลอดภัยรายนี้โดยตรง

นับตั้งแต่เดือนเมษายน 2026 นักวิจัยรายนี้ได้เปิดเผย Exploit ของช่องโหว่ zero-day ได้แก่ LegacyHive, RoguePlanet, BlueHammer, RedSun, YellowKey, GreenPlasma, MiniPlasma และ UnDefend ซึ่งมุ่งเป้าโจมตี Microsoft Defender, BitLocker และคอมโพเนนต์อื่น ๆ อีกหลายส่วนของ Windows

แม้ว่า Microsoft จะได้แก้ไขช่องโหว่ RoguePlanet ไปเมื่อเดือนกรกฎาคม และแก้ไขช่องโหว่ YellowKey, GreenPlasma และ MiniPlasma ไปในการอัปเดต Patch Tuesday ประจำเดือนมิถุนายน 2026 แล้ว แต่ช่องโหว่อื่น ๆ ที่ถูกเปิดเผยโดย Nightmare Eclipse ยังคงรอการออกแพตช์อย่างเป็นทางการอยู่

ที่มา : bleepingcomputer

รูปภาพ: www.canva.com
-------------------------------------
-------------------------------------
🛡 I-SECURE 1st Managed Security Service Provider (MSSP) in Thailand
🛡 I-Secure มีทีมงานผู้เชี่ยวชาญที่จะคอยให้คำปรึกษาทางด้าน Cyber Security ให้กับองค์กรของท่าน

ติดต่อผู้เชี่ยวชาญของเราได้ที่
☎️ 02-615-7005
👩🏻‍💻 [email protected]
🌎 https://www.i-secure.co.th/

Line ID: -SECURE

19/08/2026

Knowledge Sharing #07/2026 มาแล้ว! 🚀

ชวนชาว I-SECURE มาล้อมวงคุยเรื่อง Tech Trend สุดฮิตในวันศุกร์ที่ 31 กรกฎาคม 2026 ที่ผ่านมานี้!

พบกับ 2 หัวข้อที่น่าสนใจดังนี้:

📌 หัวข้อ 1 : “สิทธิประโยชน์กองทุนประกันสังคม และกองทุนเงินทดแทน” บรรยายโดยสำนักงานประกันสังคม

หลายคนอาจยังสับสนว่า 2 กองทุนนี้ต่างกันตรงไหน? สรุปสั้นๆ ให้จำง่าย

ประกันสังคม: คุ้มครองเจ็บป่วย "นอกเวลางาน / ทั่วไป" (ลูกจ้าง + นายจ้าง ร่วมกันจ่ายสมทบ)

กองทุนเงินทดแทน: คุ้มครอง "เจ็บป่วย/อุบัติเหตุจากการทำงาน" (นายจ้างจ่าย 100% ลูกจ้างไม่ต้องจ่ายสักบาท! คุ้มครองตั้งแต่ทดลองงาน)

1️⃣ สิทธิประโยชน์ 7 ด้าน จาก "ประกันสังคม" (นอกเวลางาน)

1.1 เจ็บป่วย / อุบัติเหตุ: รักษาฟรี ณ รพ. ตามสิทธิ + ได้เงินชดเชยหยุดงาน 50% ของค่าจ้าง

1.2 คลอดบุตร: เหมาจ่ายค่าคลอด 15,000 บาท + ค่าฝากครรภ์ 1,500 บาท + เงินชดเชยหยุดคลอด 50% (นาน 90 วัน)

1.3 สงเคราะห์บุตร: รับเงิน 800 บาท/เดือน/คน (ตั้งแต่แรกเกิด - 6 ขวบ ไม่เกิน 3 คน)

1.4 ทุพพลภาพ: ค่ารักษาพยาบาล + เงินชดเชยขาดรายได้ 30-50% ตลอดชีวิต

อัตราจ่ายค่าทดแทน กรณีสูญเสียอวัยวะ (กองทุนเงินทดแทน)

จ่ายเงินทดแทน 70% ของค่าจ้าง/เดือน โดยกำหนด จำนวนเดือน ตามระดับความสูญเสีย (ประเมินโดยแพทย์ประกันสังคม) ดังนี้:

⏱️ จำนวนเดือนตามอวัยวะที่สูญเสีย (โดยประมาณ)

- นิ้วก้อย: 4 – 12 เดือน
- นิ้วนาง / กลาง / ชี้: 6 – 18 เดือน
- นิ้วหัวแม่มือ: 18 – 36 เดือน
- มือ หรือ เท้า (ข้อขึ้นไป): 36 – 60 เดือน
- ตาบอด 1 ข้าง: 36 – 60 เดือน
- หูหนวก 2 ข้าง: 60 – 90 เดือน
- แขน หรือ ขา (ตัดระดับข้อศอก/เข่า): 72 – 120 เดือน (6 – 10 ปี)

📌 เพดานระยะเวลาจ่ายสูงสุด

- สูญเสียไม่เกิน 60% ของร่างกาย: จ่ายสูงสุด ไม่เกิน 10 ปี (120 เดือน)
- สูญเสียเกิน 60% ของร่างกาย (ทุพพลภาพ): จ่าย ตลอดชีวิต

1.5 ว่างงาน:
• ถูกเลิกจ้าง รับเงินชดเชย 50% (สูงสุด 180 วัน)
• ลาออกเอง รับเงินชดเชย 30% (สูงสุด 90 วัน)

1.6 ชราภาพ:
• ส่งไม่ถึง 15 ปี ➡️ รับ "เงินก้อน (บำเหน็จ)"
• ส่งครบ 15 ปีขึ้นไป ➡️ รับ "เงินรายเดือน (บำนาญ)" ตลอดชีวิต

1.7 เสียชีวิต: ค่าทำศพ 50,000 บาท + เงินสงเคราะห์แก่ผู้มีสิทธิ

2️⃣ สิทธิประโยชน์ 4 ด้าน จาก "กองทุนเงินทดแทน" (เนื่องจากการทำงาน)

2.1 ค่ารักษาพยาบาล: จ่ายตามจริงเริ่มที่ 50,000 บาทแรก และขยายได้สูงสุดถึง 1,000,000 บาท (กรณีบาดเจ็บรุนแรง หรือรักษาใน รพ.รัฐ)

2.2 เงินทดแทนการขาดรายได้ (70% ของค่าจ้าง): กรณีหยุดพักรักษาตัวตามคำสั่งแพทย์ (จ่ายตั้งแต่วันแรก), สูญเสียอวัยวะ, ทุพพลภาพ หรือเสียชีวิต/สูญหายจากการทำงาน

2.3 ค่าฟื้นฟูสมร
รถภาพ: ค่ากายภาพบำบัด, ผ่าตัดฟื้นฟู, อุปกรณ์เวชศาสตร์ และค่าฝึกอาชีพใหม่

2.4 ค่าทำศพ: เหมาจ่าย 50,000 บาท ให้แก่ผู้จัดการศพ

💡 ใครได้รับสิทธิบ้าง? พนักงานประจำ, พนักงานทดลองงาน, และลูกจ้างสัญญาจ้างทุกประเภท ได้รับความคุ้มครองทันที!

📌 หัวข้อ 2 : บรรยายโดยน้องนุ๊ก และ น้องนิว จาก ทีม SOC3 ในหัวข้อเรื่อง “ Phishing Trend 2026 ”

🚨 เตือนภัย! 5 ภัยคุกคามไซเบอร์ยุคใหม่ เจาะระบบ-ขโมยข้อมูลเนียนกว่าที่คิด รู้ไว้ก่อนตกเป็นเหยื่อ

1️⃣ Browser-in-the-Middle (BitM) : ดักจับข้อมูล

- กลวิธี: แฮกเกอร์รันเบราว์เซอร์จำลองดักกลาง ดักจับรหัสและ Session Token

- ความน่ากลัว: ข้ามผ่านระบบยืนยันตัวตน 2 ชั้น (MFA / OTP) ได้สบายๆ โดยมือถือเราไม่มีเตือนเลย

- วิธีป้องกัน: เปลี่ยนไปใช้การสแกนลายนิ้วมือ/ใบหน้า (Passkeys / FIDO2) แทนการใช้รหัสผ่าน

2️⃣ Browser-in-the-Browser (BitB) : หน้าต่าง Pop-up ปลอม

- กลวิธี: วาดหน้าต่าง Pop-up ปลอมซ้อนบนหน้าเว็บ เช่น ปุ่ม Sign in with Google/Facebook พร้อม-แสดงช่อง URL ปลอมที่เนียนสมบูรณ์แบบ

- วิธีป้องกัน: * Drag Test: ลองลาก Pop-up ออกนอกขอบเบราว์เซอร์หลัก ถ้าลากไม่ได้ = ปลอมแน่นอน!
Password Manager: โปรแกรมจำรหัสผ่านจะไม่ยอมกรอกข้อมูลให้อัตโนมัติหากเบื้องหลังเป็นเว็บปลอม

3️⃣ Device Code OAuth Attack : สวมรอยสิทธิ์องค์กร

- กลวิธี: ส่งเมลขู่เร่งด่วน (เช่น รหัสผ่านกำลังจะหมดอายุ) หลอกให้เรานำ "Device Code" ไปกรอกในเว็บจริง

- เพื่อแอบสวมรอยเข้าถึงเมลและไฟล์องค์กรถาวรโดยไม่ต้องใช้รหัสผ่าน

- วิธีป้องกัน: ปิดใช้งาน Device Code Flow ในองค์กรหากไม่ได้ใช้ และตั้งสติอ่านสิทธิ์ที่แอปขออย่างละเอียดก่อนกดอนุญาต

4️⃣ ClickFix : หลอกให้รันโค้ดอันตราย

- กลวิธี: หน้าเว็บขึ้นแอนิเมชันหลอกว่า Windows Update ค้าง แล้วหลอกให้เหยื่อกด Win + R ➡️ Ctrl + V ➡️ Enter เพื่อแก้ปัญหา ซึ่งแท้จริงคือการรันมัลแวร์ขโมยรหัสผ่าน

- วิธีป้องกัน: ห้าม! คัดลอกคำสั่งแปลกๆ จากหน้าเว็บไปวางรันในเครื่องเด็ดขาด

5️⃣ AI-Amplified Social Engineering : AI เลียนแบบตัวตน

- กลวิธี: ใช้ AI ปลอมเสียง/ใบหน้า (Deepfake) ผู้บริหารมาสั่งโอนเงิน หรือใช้ AI ขยับหน้า (กะพริบตา/อ้า- ปาก) ข้ามระบบสแกนหน้าของธนาคาร

-🛡️ วิธีป้องกัน: ยึดหลัก "ไม่เชื่อไว้ก่อน" หากมีการขอข้อมูลสำคัญหรือสั่งโอนเงิน ให้โทรศัพท์กลับไปยืนยันผ่านช่องทางอื่นเสมอ

💡 สรุป: สติและเทคโนโลยีป้องกันที่ถูกต้อง จะช่วยให้เราปลอดภัยจากแฮกเกอร์ได้ saveโพสต์นี้เก็บไว้ หรือกดแชร์เตือนเพื่อนร่วมงานกันได้เลย!

โดย EP ต่อไป พี่ๆ จะมาอัปเดต Technology Trend ในหัวข้ออะไรนั้น ต้องรอติดตาม แล้วเจอกันเร็วๆ นี้ นะคะ 🗓️🖊️

ทางไอ-ซีเคียว เปิดรับพนักงานอยู่เป็นจำนวนมาก หากสนใจสามารถส่งเรซูเม่เข้ามาทาง Email: [email protected] ได้เลยค่ะ
-------------------------------------
🛡 I-SECURE 1st Managed Security Service Provider (MSSP) in Thailand
🛡 I-Secure มีทีมงานผู้เชี่ยวชาญที่จะคอยให้คำปรึกษาทางด้าน Cyber Security ให้กับองค์กรของท่าน

ติดต่อผู้เชี่ยวชาญของเราได้ที่
☎️ 02-615-7005
👩🏻‍💻 [email protected]
🌎 https://www.i-secure.co.th/

17/08/2026

🛡️ พบช่องโหว่ในเครื่องมือ Annotation ของ Zoom ทำให้ผู้เข้าร่วมประชุมสามารถเข้าควบคุมเครื่องของผู้เข้าร่วมรายอื่นได้

ผู้ที่แชร์หน้าจอในการประชุมผ่าน Zoom สามารถเข้าควบคุมเครื่องคอมพิวเตอร์ของผู้เข้าร่วมทุกคนที่กำลังรับชมอยู่ได้ และในทางกลับกัน ผู้เข้าร่วมที่กำลังรับชมก็สามารถเข้าควบคุมเครื่องของผู้ที่แชร์หน้าจอได้เช่นกัน

ช่องโหว่นี้อยู่ในเครื่องมือ Annotation ซึ่งเป็นฟีเจอร์ที่ให้ผู้เข้าร่วมประชุมวาด และพิมพ์ข้อความลงบนหน้าจอที่ถูกแชร์ได้ โดยการโจมตีไม่จำเป็นต้องอาศัยการกระทำใด ๆ จากเหยื่อ นอกจากการอยู่ในห้องประชุมเท่านั้น ไม่ต้องคลิก ไม่ต้องดาวน์โหลด ไม่มีหน้าต่างแจ้งเตือน และไม่มีสิ่งใดปรากฏบนหน้าจอที่บ่งชี้ว่าการโจมตีได้เกิดขึ้นแล้ว

แพตช์สำหรับช่องโหว่เหล่านี้ไม่ใช่ของใหม่ โดยการแก้ไขในฝั่ง Client ถูกปล่อยออกมาตั้งแต่เดือนมิถุนายน และกรกฎาคม ซึ่งเป็นเวลาราวสองเดือนก่อนที่ช่องโหว่จะถูกเปิดเผยต่อสาธารณะ และยังไม่มีรายงานการนำไปใช้โจมตีจริงจนถึงวันที่เผยแพร่รายงาน อีกทั้งช่องโหว่ทั้งสามรายการยังไม่ปรากฏอยู่ในบัญชีรายการช่องโหว่ที่กำลังถูกใช้โจมตีจริง (Known Exploited Vulnerabilities: KEV) ของหน่วยงานความมั่นคงปลอดภัยไซเบอร์ และโครงสร้างพื้นฐานของสหรัฐฯ (CISA)

เวอร์ชันที่ปิดช่องโหว่เหล่านี้ ได้แก่
- Zoom Workplace ทุกแพลตฟอร์มที่ยังอยู่ในการ support : เวอร์ชันก่อน 7.1.5 และ 7.0.6 ในแต่ละ branch ของตัวเอง
- Zoom Workplace VDI Client for Windows : เวอร์ชันก่อน 7.0.11 และ 6.6.16
- Zoom Rooms และ Zoom Meeting SDK ทุกแพลตฟอร์ม : เวอร์ชันก่อน 7.1.0 และเวอร์ชันก่อน 7.1.5 สำหรับช่องโหว่รายการที่สาม

งานวิจัยนี้มาจาก A Security ซึ่งเป็นสตาร์ทอัพด้าน Offensive Security ที่ก่อตั้งโดยชาวอิสราเอล และเพิ่งเปิดตัวออกจากสถานะ Stealth เมื่อเดือนมิถุนายน พร้อมเงินระดมทุน 37 ล้านดอลลาร์ โดยบริษัทระบุว่า ใช้เวลาไม่ถึงหนึ่งวันนับจากการค้นพบช่องโหว่จนได้ Exploit ที่ใช้งานได้จริง ด้วยการใช้ Prompt ไม่ถึง 20 ครั้งบนโมเดล AI ที่เปิดให้ใช้งานทั่วไป

ไม่มีใครภายนอกบริษัทสามารถตรวจสอบคำกล่าวอ้างนี้ได้ เนื่องจากรายงานไม่ได้ระบุชื่อโมเดลที่ใช้ นอกจากนี้ ทางผู้ผลิตเองยังให้คะแนนความรุนแรงของช่องโหว่ต่ำกว่าที่บริษัทดังกล่าวประเมินไว้ และยังให้เครดิตช่องโหว่หนึ่งในสามรายการแก่ทีมงานภายในของตนเอง

Zoom ไม่ได้เผยแพร่รายละเอียดทางเทคนิคใด ๆ ดังนั้นรายละเอียดการทำงานภายในจึงมาจากการทำ Reverse Engineering ของบริษัทดังกล่าวเอง

โดยภาพที่ถูกวาดขึ้นจะไม่ได้ถูกส่งผ่านเครือข่ายในรูปแบบของรูปภาพ แต่ Client จะแปลงให้อยู่ในรูปของ Object ที่มีโครงสร้าง และส่งออกไปในรูปแบบของชุดจำนวน Count ตามด้วยข้อมูล ซึ่งฝั่งผู้รับจะเชื่อถือค่าจำนวนเหล่านั้นในการกำหนดว่าจะอ่านข้อมูลมากน้อยเพียงใด

หนึ่งในค่าเหล่านั้นจะถูกนำไปเขียนลงใน Buffer ขนาดคงที่ 128 ไบต์ โดยไม่มีการตรวจสอบว่าข้อมูลมีขนาดพอดีหรือไม่ และเนื่องจากเป็นฟิลด์สุดท้ายของ Object ดังกล่าว ค่าจำนวนที่ใหญ่เกินจริงจึงทำให้การเขียนข้อมูลล้นออกไปนอกขอบเขต และทับลงบน Return Address ได้

สิ่งที่ทำให้ภาพวาดที่ถูกดัดแปลงเพียงชิ้นเดียวส่งผลกระทบต่อผู้เข้าร่วมทั้งห้องประชุมได้ คือการที่ไม่มีการตรวจสอบว่าข้อความนั้นถูกส่งมาจากที่ใด โดยผู้เข้าร่วมที่กำลังรับชมทุกคนจะมีช่องทางการสื่อสาร เชื่อมไปยังผู้ที่กำลังแชร์หน้าจอ และผู้ที่แชร์หน้าจอก็จะมีช่องทางย้อนกลับ ซึ่งถูกออกแบบมาเพื่อใช้ส่งข้อความตอบรับเท่านั้น

จากเส้นทางการทำงานที่นักวิจัยได้ตรวจสอบ ส่วนที่ทำหน้าที่กระจายข้อความ จะอ่านหมายเลขประเภทของข้อความจากข้อมูลที่ส่งมาบนเครือข่าย แล้วส่งต่อไปยัง Parser ที่ตรงกัน โดยไม่ตรวจสอบว่าผู้ส่งอยู่ในบทบาทใด ทั้งนี้ 0x10001 หมายถึง "นี่คือ Object" ส่วน 0x10002 หมายถึง "ได้รับ Object ของคุณแล้ว" ดังนั้นเมื่อส่งข้อความประเภทแรกเข้าไปในช่องทางที่ควรจะเป็นของประเภทที่สอง Client ของเหยื่อก็จะประกอบ Object ขึ้นมาใหม่ทั้งหมด

Zoom ติดตามช่องโหว่เหล่านี้ด้วยหมายเลข CVE-2026-53413 (CVSS 8.3) ซึ่งเป็นช่องโหว่ประเภท Buffer over-write และ CVE-2026-53414 (CVSS 6.5) ซึ่งเป็นช่องโหว่ประเภท Buffer over-read โดยทั้งสองรายการอยู่ภายใต้ ZSB-26015 และ ZSB-26016 รวมถึง CVE-2026-53415 (CVSS 8.3) ซึ่งเป็นช่องโหว่ประเภท Use-after-free ที่อยู่ภายใต้ ZSB-26017

ขณะที่บริษัทผู้ค้นพบให้คะแนนช่องโหว่ทั้งสามรายการอยู่ที่ 9.0 ตามมาตรฐาน CVSS 4.0 ซึ่งเป็นคะแนนที่ไม่ปรากฏอยู่ในประกาศแจ้งเตือนฉบับใดเลย ทั้งนี้ Zoom เป็นผู้ออก CVE record ของตนเอง และ NIST ก็ไม่ได้ให้คะแนนใหม่เป็นปกติอีกต่อไป ดังนั้นคะแนนที่ต่ำกว่าจึงมีแนวโน้มที่จะถูกใช้ต่อไป นอกจากนี้ CVSS Vector จากทางผู้ผลิตทั้งสามรายการยังระบุว่า จำเป็นต้องมีการโต้ตอบจากผู้ใช้ ซึ่งขัดแย้งกับการนำเสนอว่าเป็นช่องโหว่แบบ Zero-click

ข้อมูลจากทั้งสองฝ่ายแตกต่างกันมากที่สุดในกรณีของช่องโหว่ Buffer over-read โดยบริษัทผู้ค้นพบระบุว่า สามารถดึงข้อมูลในหน่วยความจำ Heap ที่ยังไม่ได้ถูกกำหนดค่าเริ่มต้นออกมาจาก Client ของเหยื่อได้ ซึ่งภายในมี Pointer ที่ชี้ไปยังโค้ดที่กำลังทำงานอยู่ และ vtable อันเป็นข้อมูลที่จำเป็นต่อการ Bypass การสุ่มตำแหน่งหน่วยความจำ (ASLR)

ในขณะที่ประกาศแจ้งเตือนระบุว่า ช่องโหว่เดียวกันนี้อาจทำให้ผู้เข้าร่วมประชุมสามารถทำ Denial of Service ได้ และให้คะแนนผลกระทบด้านความลับของข้อมูล (Confidentiality) อยู่ที่ระดับ None ส่วนการให้เครดิตก็แตกต่างกันเช่นกัน โดยประกาศสองฉบับระบุชื่อ Idan Levcovich จาก A Security ในขณะที่ฉบับที่ครอบคลุมช่องโหว่ Use-after-free ให้เครดิตแก่ Zoom Offensive Security ซึ่งเป็นทีมงานภายในที่อยู่เบื้องหลังการค้นพบช่องโหว่ยึดบัญชีผู้ใช้ระดับคะแนน 9.8 ที่บริษัทได้ออกแพตช์แก้ไขไปเมื่อเดือนกรกฎาคม

บล็อกโพสต์ของสตาร์ทอัพรายนี้ระบุว่า ช่องโหว่ทั้งสามรายการเป็นผลงานของตนเอง พร้อมกับยอมรับว่า Zoom ทราบถึงช่องโหว่รายการที่สามอยู่ก่อนแล้ว และได้ทำการกรองไว้ที่ฝั่งเซิร์ฟเวอร์ก่อนที่รายงานจะถูกส่งไปถึง อีกทั้งคำอธิบายเกี่ยวกับการใช้งาน AI ของบริษัทก็ยังมีรายละเอียดที่ยุ่งเหยิงกว่าบทสรุปที่บริษัทเขียนไว้เอง

การทำงานรอบแรกซึ่งเป็นการจัดอันดับฟังก์ชันที่สามารถเข้าถึงได้จาก Java layer แบบอัตโนมัติ ให้ผลลัพธ์ออกมาเป็นรายการฟังก์ชันจำนวน 3,762 รายการ จาก 70 ไลบรารี และไม่พบไลบรารีที่มีช่องโหว่เลย โดยจัดอันดับไลบรารีดังกล่าวไว้ที่ลำดับที่ 45 ซึ่งไลบรารีนี้ถูกพบก็ต่อเมื่อทีมงานได้ติดตามการทำงานของ Client ในระหว่างการประชุมจริงทีละฟีเจอร์ โดย Levcovich เขียนไว้ว่า กำแพงในการสร้าง Exploit ประเภทนี้ได้พังทลายลงแล้ว และจะไม่กลับมาอีก

การเปิดเผยครั้งนี้เกิดขึ้นหลังจากที่ OpenAI ได้แยกโปรแกรม Daybreak ออกจากกันก่อนหน้านั้นหนึ่งวัน และปล่อย GPT-5.6-Cyber ให้เฉพาะพาร์ทเนอร์ที่ผ่านการคัดกรองเท่านั้น ด้วยเหตุผลว่า ความสามารถระดับนี้จำเป็นต้องมีการควบคุมการเข้าถึง ขณะที่สตาร์ทอัพรายนี้ระบุว่า ได้ผลลัพธ์ดังกล่าวมาจากโมเดลที่ใครก็สามารถใช้งานได้ ทั้งนี้ จากการวัดผลของ OpenAI เอง โมเดลสาธารณะที่มี Guardrail จะตอบ Prompt ด้าน Offensive Security ขั้นสูงเพียง 1.5% เทียบกับ 95% ของโมเดลที่ถูกจำกัดการเข้าถึง

ที่มา : thehackernews

รูปภาพ: www.canva.com
-------------------------------------
-------------------------------------
🛡 I-SECURE 1st Managed Security Service Provider (MSSP) in Thailand
🛡 I-Secure มีทีมงานผู้เชี่ยวชาญที่จะคอยให้คำปรึกษาทางด้าน Cyber Security ให้กับองค์กรของท่าน

ติดต่อผู้เชี่ยวชาญของเราได้ที่
☎️ 02-615-7005
👩🏻‍💻 [email protected]
🌎 https://www.i-secure.co.th/

Line ID: -SECURE

17/08/2026

🛡️ Astra โมเดล AI รุ่นถัดไปของ OpenAI แสดงศักยภาพด้าน Cybersecurity สูงจนต้องสั่งหยุดการพัฒนาบางส่วน

OpenAI ประกาศระงับกิจกรรมภายในบางส่วนที่เกี่ยวข้องกับโมเดลปัญญาประดิษฐ์ (AI) รุ่นใหม่ที่กำลังพัฒนาอย่าง Astra หลังการประเมินภายในพบว่าโมเดลดังกล่าวมีความก้าวหน้าอย่างมีนัยสำคัญด้าน Agentic Coding และ Cybersecurity

จากการค้นพบดังกล่าว OpenAI ระบุว่า ได้เริ่มนำมาตรการควบคุมความปลอดภัยสำหรับโมเดลที่มีความสามารถสูงขึ้นมาใช้งาน รวมถึงกิจกรรมที่เกี่ยวข้อง โดยประกอบด้วย Isolated Testing Environment, การจำกัด Network และ Tool Access, การเพิ่มการป้องกัน และ Encryption สำหรับ Model Weights, การเพิ่มความสามารถด้าน Monitoring และ Detection ตลอดจนการทำงานแบบ Sandboxed Ex*****on

OpenAI ระบุในแถลงการณ์ว่า “เรากำลังระงับกิจกรรมภายในที่เกี่ยวข้องกับ Astra ซึ่งยังไม่ผ่านข้อกำหนดมาตรการควบคุมความปลอดภัยที่ถูกยกระดับให้เข้มงวดขึ้นเหล่านี้”

“เราได้ติดตั้งระบบ Monitoring แบบครอบคลุมสำหรับกิจกรรมที่มีความเสี่ยง และพฤติกรรมที่ไม่สอดคล้องกับเป้าหมาย (Misalignment) ในทุก Agentic Application ของ Astra รวมถึงกระบวนการ Training และ Evaluation โดยระบบ Monitor จะประเมิน Chain of Thought ของโมเดล และ Trigger Security Response เพื่อทบทวน และขัดขวางกิจกรรมที่มีความเสี่ยงสูง”

OpenAI ระบุเพิ่มเติมว่า บริษัทจะทำงานร่วมกับหน่วยงานรัฐบาลที่เกี่ยวข้อง และองค์กรด้าน AI Safety ที่ได้รับการคัดเลือก เพื่อทดสอบความสามารถของโมเดล รวมถึงแบ่งปันมาตรการควบคุมความปลอดภัยที่แนะนำให้กับ Third-Party Testing Partners เพื่อให้สามารถดำเนินการประเมิน และ Workload ที่มีความเสี่ยงสูงได้อย่างปลอดภัย

บริษัทระบุเพิ่มเติมว่า ยังตัดประเด็นทิ้งไม่ได้ว่าโมเดล Astra อาจมีความสามารถด้าน Cybersecurity อยู่ในระดับ “Critical” ตามเกณฑ์มาตรฐานการเตรียมความพร้อมรับมือภัยคุกคามของบริษัท ซึ่งกำหนดเกณฑ์ดังกล่าวไว้ว่า

โมเดลที่มี Tool Augmentation กล่าวอีกนัยหนึ่งคือ โมเดลสามารถค้นหา และพัฒนา Zero-day Exploit ที่ใช้งานได้จริง ครอบคลุมระบบสำคัญที่มีความมั่นคงปลอดภัยสูงในโลกจริงหลาย ๆ ระบบ โดยไม่ต้องอาศัยการแทรกแซงจากมนุษย์ หรือโมเดลสามารถคิดค้น และดำเนินกลยุทธ์ใหม่แบบ End-to-End สำหรับการโจมตีทางไซเบอร์ต่อเป้าหมายที่มีการป้องกันอย่างเข้มงวดได้ โดยได้รับเพียงเป้าหมายในระดับสูงเท่านั้น

OpenAI ระบุว่า การประเมินเบื้องต้นของ Astra แสดงให้เห็นถึงประสิทธิภาพที่สูงเพียงพอ จนบริษัทยังไม่สามารถตัดความเป็นไปได้ที่โมเดลจะมีความสามารถอยู่ในระดับ “Critical” ออกไปได้ในขณะนี้ นอกจากนี้ บริษัทยังย้ำว่า Astra ไม่ได้มีส่วนเกี่ยวข้องกับเหตุการณ์ที่มุ่งโจมตี Hugging Face เมื่อเดือนที่ผ่านมา ขณะที่ในงานวิจัยฉบับล่าสุดของ OpenAI ระบุว่า Astra สามารถแก้ปัญหาทางคณิตศาสตร์ และ Theoretical Computer Science ที่ยังไม่มีคำตอบได้จำนวน 10 ปัญหา ด้วยค่าใช้จ่ายประมาณ 2,000 ดอลลาร์สหรัฐตามอัตราค่าบริการของ Sol API

OpenAI ระบุว่า เหตุผลที่บริษัทเปิดเผยข้อมูลดังกล่าวเนื่องจากเชื่อว่า การมีความโปร่งใสต่อสาธารณะ รวมถึงชุมชนด้าน Safety และ Security เกี่ยวกับความเป็นไปได้ของการเปลี่ยนแปลงด้านความสามารถของโมเดลนั้นเป็นเรื่องสำคัญ

OpenAI ระบุเพิ่มเติมว่า “เราเชื่อว่าโมเดลที่มีความสามารถด้าน Cybersecurity ขั้นสูงควรช่วยให้ฝ่าย Defender สามารถค้นหา และแก้ไขช่องโหว่ได้ก่อนที่ผู้โจมตีจะค้นพบ” “เรามุ่งมั่นที่จะทำงานร่วมกับรัฐบาล สถาบันด้าน Safety และภาคประชาสังคม เพื่อให้มั่นใจว่าความสามารถระดับ Frontier ของโมเดลอย่าง Astra รวมถึงโมเดลที่จะพัฒนาต่อจากนี้ จะถูกนำไปใช้อย่างมีความรับผิดชอบ และแพร่หลาย เพื่อประโยชน์ของมนุษยชาติทั้งหมด”

ความเคลื่อนไหวดังกล่าวถือเป็นสัญญาณล่าสุดที่สะท้อนถึงความก้าวหน้าอย่างรวดเร็วของความสามารถด้าน Cybersecurity ในโมเดลระดับ Frontier ขณะเดียวกัน นี่ยังเป็นครั้งแรกที่ห้องปฏิบัติการด้าน AI ประกาศต่อสาธารณะว่าจะชะลอความก้าวหน้าของโมเดล เนื่องจากข้อกังวลด้าน Cybersecurity

เมื่อช่วงต้นสัปดาห์ที่ผ่านมา U.K. AI Security Institute (AISI) เปิดเผยผลการประเมินของหน่วยงานเองว่า AI Models ที่สามารถเข้าถึงอินเทอร์เน็ตได้ สามารถออกไปดำเนินการในโลกจริงเพื่อมุ่งเป้าไปยังบุคคล และองค์กรต่าง ๆ ได้โดยอัตโนมัติใน 10 จากทั้งหมด 122 ครั้งที่ทำการทดสอบ โดยจากการกระทำดังกล่าวทั้งหมด 19 ครั้ง มี 17 ครั้งที่มาจาก Mythos 5 ของ Anthropic และอีก 2 ครั้งเกี่ยวข้องกับ GPT-5.6-Sol ของ OpenAI ที่ทำงานร่วมกับ Cyber Classifiers

AISI ระบุว่า “ในกรณีที่ร้ายแรงที่สุด Agent พยายามแทรก Malicious Code เข้าไปใน Open-source Project เพื่อพยายามทำให้ Code ดังกล่าวได้รับการอนุมัติ โดย Agent ได้ใช้วิธี Social Engineering ด้วยการสร้างตัวตนปลอมบนโลกออนไลน์ และใช้ตัวตนเหล่านั้นกดดัน Maintainer ของโครงการให้อนุมัติ Code ดังกล่าว อย่างไรก็ตาม Human Maintainer สามารถตรวจพบ และปฏิเสธที่จะอนุมัติ Malicious Code ได้”

“ความพยายามเหล่านี้ไม่ประสบความสำเร็จ และจากการตรวจสอบของเรายังไม่พบหลักฐานว่าก่อให้เกิดความเสียหายในโลกจริง แต่ถือเป็นครั้งแรกที่เราเห็นความเสี่ยงด้าน Autonomy และ Deception แสดงออกมาอย่างชัดเจนในโลกจริง โดยที่ไม่มีการ Prompt แบบเฉพาะเจาะจง”

การเปิดเผยข้อมูลดังกล่าวเกิดขึ้นท่ามกลางการเปิดเผยเหตุการณ์ที่โมเดลจาก Meta และบริษัทจีนอย่าง Moonshot ได้แก่ Muse Spark 1.1 และ Kimi K3 สามารถหลุดออกจากสภาพแวดล้อมที่ถูกจำกัดไว้ และเข้าถึงเป้าหมายในโลกจริงได้ ซึ่งยิ่งเพิ่มความกังวลเกี่ยวกับความสามารถของนักพัฒนาในการทำ Sandbox ให้กับ AI Systems ที่มีความสามารถเพิ่มขึ้นอย่างต่อเนื่อง โดยในทั้งสองกรณีพบว่าโมเดลอาศัยประโยชน์จาก Network Misconfiguration เพื่อเข้าถึงอินเทอร์เน็ต แทนที่จะสามารถค้นหา และ Exploit Vulnerability ที่ไม่เคยมีใครค้นพบมาก่อนด้วยตัวเอง

ขณะที่ AI Models ถูกทดสอบกับ Benchmark ที่ได้รับการยอมรับอย่างแพร่หลาย เพื่อประเมินความสามารถในการทำงานด้าน Offensive และ Defensive Cybersecurity ภายใน Test Environment ที่ถูก Isolate นั้น Frontier Security ระบุว่า Kimi K3 สามารถค้นพบ Network Egress Leak ซึ่งทำให้โมเดลสามารถเชื่อมต่อไปยัง github[.]com, Clone Official Repository ของ Benchmark Problem ที่โมเดลควรจะต้องแก้ไข และเข้าถึง Solution ได้โดยตรง แทนที่จะต้องแก้ Challenge ด้วยตัวเอง

Frontier Security ระบุว่า “ในกรณีของเรา โมเดลไม่ได้แก้ Task ด้วยความสามารถของตัวเองเลย แต่กลับตรวจสอบ Network และพบว่า Standard DNS Resolution สำหรับ github[.]com ยังสามารถใช้งานได้ ขณะที่เว็บไซต์อื่น ๆ ส่วนใหญ่ถูก Block โดย Sandbox จากนั้นโมเดลได้ Clone Official Benchmark Repository และอ่าน Solution โดยตรงจาก Disk”

จำนวนเหตุการณ์ที่เพิ่มขึ้น ซึ่ง AI Agents จากผู้พัฒนารายใหญ่สามารถหลุดออกจาก Test Environment ด้วยวิธีการต่าง ๆ และท้ายที่สุดเข้าไปโจมตี Real-world Targets ที่ไม่ได้อยู่ในขอบเขตของการทดลอง ส่งผลให้เกิดเว็บไซต์ใหม่ชื่อ Felony Bench ซึ่งถูกสร้างขึ้นเพื่อใช้ติดตามเหตุการณ์เหล่านี้โดยเฉพาะ

ที่มา : Thehackernews

รูปภาพ: www.canva.com
-------------------------------------
-------------------------------------
🛡 I-SECURE 1st Managed Security Service Provider (MSSP) in Thailand
🛡 I-Secure มีทีมงานผู้เชี่ยวชาญที่จะคอยให้คำปรึกษาทางด้าน Cyber Security ให้กับองค์กรของท่าน

ติดต่อผู้เชี่ยวชาญของเราได้ที่
☎️ 02-615-7005
👩🏻‍💻 [email protected]
🌎 https://www.i-secure.co.th/

Line ID: -SECURE

13/08/2026

🚨 Cisco แจ้งเตือนช่องโหว่ที่มีความรุนแรงระดับสูงใน ClamAV ที่มีโค้ด Exploits ถูกเผยแพร่ออกสู่สาธารณะแล้ว

Cisco ได้แจ้งเตือนถึงช่องโหว่ที่มีความรุนแรงระดับสูง 2 รายการที่ส่งผลกระทบต่อ Secure Endpoint Connector ซึ่งอาจทำให้ผู้ไม่หวังดีสามารถทำให้ Process การสแกนของ ClamAV หยุดการทำงานผ่านการโจมตีแบบ Denial-of-Service (DoS)

ช่องโหว่ด้านความปลอดภัยดังกล่าวมีหมายเลข CVE-2026-20337 และ CVE-2026-20338 ซึ่งถูกพบในส่วนการวิเคราะห์ไฟล์ ZIP (ZIP archive parser) ของ ClamAV (Clam AntiVirus) ซึ่งเป็น Open-source และ Cross-platform engine ที่ใช้สำหรับสแกนไฟล์เพื่อหามัลแวร์

ตามที่ Cisco ได้อธิบายไว้ในประกาศแจ้งเตือน ช่องโหว่ทั้งสองรายการเกิดจากการตรวจสอบ Boundary checks และการจัดการหน่วยความจำที่ไม่เหมาะสมตามลำดับ และผู้โจมตีจากภายนอกที่ไม่จำเป็นต้องผ่านการยืนยันตัวตนสามารถใช้ประโยชน์จากช่องโหว่นี้ได้

Product Security Incident Response Team (PSIRT) ของบริษัทระบุเพิ่มเติมว่า มีการเผยแพร่โค้ด Proof-of-Concept (PoC) ออกสู่สาธารณะแล้ว แต่ระบุว่ายังไม่มีหลักฐานที่แสดงว่าช่องโหว่ดังกล่าวถูกนำไปใช้ในการโจมตีจริง

Cisco ระบุว่า "ผู้โจมตีสามารถใช้ประโยชน์จากช่องโหว่นี้โดยการส่งไฟล์ zip ที่ถูกดัดแปลงมาเป็นพิเศษเพื่อทำการสแกน หากการโจมตีสำเร็จ ผู้โจมตีจะสามารถทำให้กระบวนการสแกนของ ClamAV หยุดการทำงาน ส่งผลให้เกิดสภาวะ DoS บนซอฟต์แวร์ที่ได้รับผลกระทบ ทีม PSIRT ของ Cisco รับทราบแล้วว่ามีโค้ด PoC เผยแพร่อยู่สำหรับช่องโหว่ที่อธิบายไว้ใน CVE-2026-20337 และ CVE-2026-20338"

Cisco ระบุเพิ่มเติมว่า ผลกระทบด้านความปลอดภัยของช่องโหว่นี้อยู่ในระดับสูงเฉพาะสำหรับแพลตฟอร์ม Windows เท่านั้น เนื่องจากเป็นแพลตฟอร์มเดียวที่รัน Process การสแกนของ ClamAV ภายใต้ Security Context ที่มีสิทธิ์ระดับสูง

ช่องโหว่ทั้งสองรายการนี้ส่งผลกระทบต่อ ClamAV เวอร์ชัน 1.5.0 ถึง 1.5.3 และได้รับการแก้ไขแล้วในเวอร์ชัน 1.5.4 ซึ่งเปิดให้ดาวน์โหลดเมื่อวันที่ 7 สิงหาคมที่ผ่านมา

แม้ว่าจะยังไม่มีวิธีการแก้ไขปัญหาชั่วคราวสำหรับ CVE-2026-20337 และ CVE-2026-20338 แต่บริษัทมีแผนที่จะปล่อยอัปเดตซอฟต์แวร์ในช่วงปลายเดือนนี้ เพื่อจัดการกับช่องโหว่ดังกล่าวใน Secure Endpoint Connector เวอร์ชันที่ได้รับผลกระทบทั้งบนระบบปฏิบัติการ Windows, Linux และ Mac

เมื่อวันศุกร์ที่ผ่านมา Cisco ยังได้ทำการแก้ไขช่องโหว่ด้านความปลอดภัยของ ClamAV อีก 5 รายการ ซึ่งอาจถูกนำไปใช้เพื่อทำให้เกิดสภาวะ DoS ได้เช่นกัน โดยการส่งไฟล์ XAR, Mach-O, PDF, GPT และ PESpin ที่แฝงมัลแวร์เข้าไปทำการสแกน

ก่อนหน้านี้ บริษัทได้แก้ไขช่องโหว่ DoS ของ ClamAV อีกรายการหนึ่งที่มีการเผยแพร่โค้ด PoC ไปเมื่อเดือนมกราคม 2025 โดยแจ้งเตือนว่าผู้โจมตีอาจใช้ประโยชน์จากช่องโหว่ดังกล่าวเพื่อหยุดการทำงานของโปรแกรมสแกนไวรัส ClamAV ซึ่งจะขัดขวางหรือทำให้การดำเนินการสแกนในครั้งต่อ ๆ ไปล่าช้าลง

นับตั้งแต่เดือนพฤศจิกายน 2021 เป็นต้นมา CISA ได้ทำการ Tagged ช่องโหว่ของ Cisco จำนวน 95 รายการว่ากำลังถูกนำไปใช้ในการโจมตีจริง โดย 6 รายการในจำนวนนั้นถูกนำไปใช้ในการโจมตีด้วย Ransomware

ที่มา : bleepingcomputer

รูปภาพ: www.canva.com
-------------------------------------
-------------------------------------
🛡 I-SECURE 1st Managed Security Service Provider (MSSP) in Thailand
🛡 I-Secure มีทีมงานผู้เชี่ยวชาญที่จะคอยให้คำปรึกษาทางด้าน Cyber Security ให้กับองค์กรของท่าน

ติดต่อผู้เชี่ยวชาญของเราได้ที่
☎️ 02-615-7005
👩🏻‍💻 [email protected]
🌎 https://www.i-secure.co.th/

Line ID: -SECURE

ที่อยู่

55 Soi Pradipat 17, Pradipat Road Samsennai, Phayathai
Bangkok
10400

เบอร์โทรศัพท์

+6626157005

เว็บไซต์

http://www.i-secure.co.th/

แจ้งเตือน

รับทราบข่าวสารและโปรโมชั่นของ I-SECURE CO., LTD.ผ่านทางอีเมล์ของคุณ เราจะเก็บข้อมูลของคุณเป็นความลับ คุณสามารถกดยกเลิกการติดตามได้ตลอดเวลา