← ฉบับล่าสุด
2026-10-02
ครอบคลุม 2026-10-01T02:29:01.156Z ถึง 2026-10-02T02:35:57.734Z · ราว 13 นาที · 20 รายการ
วันนี้มีประเด็นด้านความปลอดภัยที่สำคัญหลายอย่าง ทั้งช่องโหว่ร้ายแรงใน Fortinet FortiMail และ vm2 รวมถึงการโจมตีแบบ Ransomware ที่น่าจับตา นอกจากนี้ยังมีข่าวสารเกี่ยวกับ AI สำหรับนักพัฒนา และความเคลื่อนไหวในวงการ Cloud Native ที่น่าสนใจครับ
ความปลอดภัย
วันนี้มีข่าวความปลอดภัยที่น่ากังวลหลายเรื่อง ตั้งแต่ช่องโหว่ระดับ Critical ในผลิตภัณฑ์ยอดนิยม ไปจนถึงกลยุทธ์การโจมตีใหม่ๆ ที่นักพัฒนาควรรู้ เพื่อปกป้องระบบของตนเองและองค์กร
criticalบันทึกต้นทาง: CVE-2026-104286
Fortinet FortiMail: Fortinet FortiMail Path Traversal Vulnerability
Fortinet FortiMail contains a path traversal and an improper neutralization of NULL byte or NULL character vulnerability that may allow an unauthenticated attacker to write arbitrary files on the underlying system via crafted HTTP or HTTPS requests.
มีการค้นพบช่องโหว่ Path Traversal ระดับ Critical ใน Fortinet FortiMail ซึ่งทำให้ผู้โจมตีที่ไม่ผ่านการยืนยันตัวตนสามารถเขียนไฟล์ใดๆ ลงบนระบบได้ผ่าน HTTP หรือ HTTPS request ที่สร้างขึ้นมาเป็นพิเศษ นี่หมายความว่าองค์กรใดก็ตามที่ใช้งาน Fortinet FortiMail และระบบของพวกเขาเปิดเผยสู่สาธารณะอินเทอร์เน็ตมีความเสี่ยงอย่างมาก ผู้ดูแลระบบควรรีบติดตั้งแพตช์ที่แก้ไขช่องโหว่นี้ทันที และตรวจสอบการตั้งค่าระบบเพื่อหาการเปลี่ยนแปลงไฟล์ที่ไม่ได้รับอนุญาต
criticalบันทึกต้นทาง: CVE-2026-92944
vm2 sandbox escape on Node.js 26 through a stale PromiseThenLookupChain protector
## Reporter - Name or handle: `[YMsora]` - Report date: 2026-08-14 ## Summary The latest published vm2 release, **3.11.5**, and the current `main` branch are vulnerable to a sandbox escape when used on Node.js 26. An ordinary fulfilled Promise created by an async function can retain an attacker-controlled `constructor[Symbol.species]` across `Promise.prototype.finally()`. vm2 installs wrappers on the intrinsic `Promise.prototype.then` and `catch` methods. On Node.js 26 / V8 14.6, V8's `SetPrototypeProperties` path updates these existing data properties without invalidating the `PromiseThenLookupChain` protector. `Promise.prototype.finally()` subsequently trusts the stale protector and uses…
มีการค้นพบช่องโหว่ Sandbox Escape ใน vm2 เวอร์ชัน 3.11.5 และใน `main` branch ปัจจุบัน เมื่อใช้งานร่วมกับ Node.js 26 ช่องโหว่นี้เกิดจาก `PromiseThenLookupChain` protector ที่ไม่ได้รับการอัปเดต ทำให้ผู้โจมตีสามารถหลุดออกจากสภาพแวดล้อม Sandbox ของ vm2 ได้ นักพัฒนาที่ใช้ vm2 บน Node.js 26 ควรตระหนักว่าสภาพแวดล้อม Sandbox ของตนอาจไม่ปลอดภัย สิ่งสำคัญคือต้องติดตามแพตช์อย่างเป็นทางการหรือแนวทางแก้ไขจากโปรเจกต์ vm2 และพิจารณาการดาวน์เกรดเวอร์ชัน Node.js หากต้องการการแก้ไขปัญหาเร่งด่วน
devsecops
TA419 Targets AI Policy Experts with BitB and Evilginx AiTM Phishing
1. Basic Information Original Title: Hallucinating Credibility: China-Aligned TA419 Impersonates its Way into US AI Policy Circles Source: Proofpoint Publication Date: 2026-10-01 Updated Date: None Severity: High Severity Justification: An AiTM proxy relays legitimate Microsoft sign-ins to capture passwords, MFA codes, and session cookies. The campaign targets policy, defense, and research organizations, including those in Japan, using impersonation of real individuals and seemingly benign conversations to lower targets' vigilance. Original Article: Hallucinating Credibility: China-Aligned TA419 Impersonates its Way into US AI Policy Circles Related Sources: Microsoft Entra: authentication…
กลุ่มภัยคุกคาม TA419 กำลังพุ่งเป้าไปที่ผู้เชี่ยวชาญด้านนโยบาย AI ด้วยการโจมตีแบบฟิชชิงที่ซับซ้อน โดยใช้เทคนิค Browser-in-the-Browser (BitB) และ Evilginx AiTM (Adversary-in-the-Middle) การโจมตีเหล่านี้จะส่งต่อการเข้าสู่ระบบ Microsoft ที่ถูกต้องเพื่อดักจับรหัสผ่าน, รหัส MFA และคุกกี้เซสชัน ซึ่งส่งผลกระทบต่อบุคคลในองค์กรด้านนโยบาย, การป้องกัน และการวิจัย ผู้ใช้งานควรระมัดระวังอย่างยิ่งต่อหน้าต่างเข้าสู่ระบบที่น่าสงสัย แม้จะดูเหมือนถูกต้อง และองค์กรควรใช้การยืนยันตัวตนแบบหลายปัจจัยที่แข็งแกร่ง รวมถึงให้ความรู้แก่พนักงานเกี่ยวกับเทคนิคฟิชชิงขั้นสูง
devsecops
Warlock: Ransomware Deployment from SYSVOL After SharePoint Compromise
1. Basic Information Original Title: Warlock Ransomware Attackers Hit Water and Telecom Operators Sources: Symantec and Carbon Black Published: October 1, 2026 Updated: None Severity: Critical Severity Basis: Attacks were reported against at least four organizations, including water and telecommunications operators. In the detailed intrusion at a critical infrastructure organization, the execution of an AV/EDR Killer was recorded on at least 40 machines within roughly two hours, followed by the Warlock binary and ransom note on at least 33 machines. These figures do not represent the total number of enterprise-wide encrypted machines. Original Article: Warlock Ransomware Attackers Hit Water…
Warlock Ransomware กำลังถูก deploy จาก SYSVOL หลังจาก SharePoint ถูกบุกรุก โดยพุ่งเป้าไปที่องค์กรโครงสร้างพื้นฐานที่สำคัญ เช่น ผู้ให้บริการน้ำและโทรคมนาคม ห่วงโซ่การโจมตีนี้เกี่ยวข้องกับการบุกรุกเซิร์ฟเวอร์ SharePoint จากนั้นใช้เพื่อ deploy ransomware ทั่วทั้งเครือข่าย รวมถึง AV/EDR Killer องค์กรต่างๆ โดยเฉพาะอย่างยิ่งในโครงสร้างพื้นฐานที่สำคัญ ต้องรักษาความปลอดภัยสภาพแวดล้อม SharePoint อย่างเข้มงวด ใช้โซลูชัน Endpoint Detection and Response (EDR) ที่แข็งแกร่ง และตรวจสอบให้แน่ใจว่ามีการแบ่งส่วนเครือข่ายที่เหมาะสมเพื่อป้องกันการเคลื่อนที่ในแนวนอนของผู้โจมตี
AI สำหรับนักพัฒนา
ในหมวด AI สำหรับนักพัฒนาวันนี้ มีทั้งแนวคิดใหม่ๆ ในการสร้างความมั่นใจให้กับระบบ AI และเทคนิคการทำงานกับโมเดลวิดีโอ รวมถึงเครื่องมือใหม่ๆ ที่ช่วยให้การวิเคราะห์โมเดลทำได้ง่ายขึ้น
aiai-technique
Evidence Architecture | Turning AI Controls into Provable Assurance | R.A.H.S.I. Framework™
Evidence Architecture | Turning AI Controls into Provable Assurance | R.A.H.S.I. Framework™ A control owner can show that an agent policy was configured. An investigator needs to establish whether it evaluated the specific run, what it decided, and whether an approved exception changed the outcome. Configuration is not execution evidence. Which control evaluated the action? Which policy version applied? Who authorised a bypass? What surviving records support those answers? Monitoring makes activity visible. Logging records selected events. Evidence supports a specific claim. Assurance tests whether that evidence establishes that the intended control operated. Microsoft capabilities…
R.A.H.S.I. Framework™ นำเสนอแนวคิด "Evidence Architecture" สำหรับการควบคุม AI โดยเน้นว่าการกำหนดค่าเพียงอย่างเดียวไม่เพียงพอสำหรับการรับประกันที่พิสูจน์ได้ แต่ต้องมีหลักฐานการดำเนินการด้วย นี่หมายความว่าสำหรับระบบ AI การตั้งค่านโยบายอย่างเดียวไม่พอ นักพัฒนาต้องมั่นใจว่าระบบสามารถบันทึกและให้หลักฐานที่ตรวจสอบได้ว่ามีการใช้การควบคุมอย่างไร ใช้เวอร์ชันนโยบายใด และใครเป็นผู้ให้อนุญาตการข้ามใดๆ สิ่งนี้สำคัญสำหรับการตรวจสอบ, การปฏิบัติตามข้อกำหนด และการทำความเข้าใจการตัดสินใจของ AI โดยเปลี่ยนจากการบันทึกข้อมูลธรรมดาไปสู่การรับประกันที่พิสูจน์ได้จริง
aiai-technique
Evidence Continuity | Preserving AI Decision Context Beyond the Interface | R.A.H.S.I. Framework™
Evidence Continuity | Preserving AI Decision Context Beyond the Interface | R.A.H.S.I. Framework™ The approval is still on record. Six months later, the source file has changed, the agent’s permissions have been revised, and the employee who reviewed its response has left. The business remembers the decision. Can an investigator establish the context in which it was made? INTERFACE STATE ≠ EVIDENCE STATE. A conversation view may show the answer without showing the tool actions , authorization decisions or historical source version behind it. Microsoft’s least-privilege guidance explicitly warns that chat-response logs often omit details needed for forensics. Microsoft also recommends…
R.A.H.S.I. Framework™ เน้นย้ำถึง "Evidence Continuity" สำหรับระบบ AI โดยเน้นความสำคัญของการรักษาบริบททั้งหมดของการตัดสินใจของ AI ให้คงอยู่ต่อไปนอกเหนือจากอินเทอร์เฟซที่แสดงผล นี่หมายความว่าเมื่อ AI ตัดสินใจอะไรบางอย่าง การเห็นแค่ผลลัพธ์ไม่เพียงพอ นักพัฒนาต้องมั่นใจว่าการดำเนินการพื้นฐานทั้งหมด, การตัดสินใจอนุมัติ และเวอร์ชันของแหล่งข้อมูลในอดีตถูกบันทึกและเชื่อมโยงกัน สิ่งนี้สำคัญอย่างยิ่งสำหรับการวิเคราะห์ทางนิติวิทยาศาสตร์และความรับผิดชอบ โดยเฉพาะอย่างยิ่งเมื่อบุคลากรหรือข้อมูลต้นฉบับมีการเปลี่ยนแปลง เนื่องจากบันทึกการสนทนาทั่วไปมักจะละเว้นรายละเอียดสำคัญที่จำเป็นในการสร้างกระบวนการตัดสินใจขึ้นมาใหม่
aiai-technique
How to Reverse-Engineer Any Video to Prompt (Without Wasting All Your GPU Credits)
If you are building cinematic AI video loops or pipelines using tools like Runway Gen-3, Kling AI, Luma, Google VEO, or Sora, you already know the core bottleneck: GPU cost efficiency . Testing abstract text prompts on an empty prompt field is a fast way to burn through your monthly compute quotas. Text-to-image paradigms fail when applied to a 3D moving timeline because standard adjectives do not cleanly map to physical camera motion vectors or complex lighting states. To build predictable generative video pipelines without brute-force trial and error, you need a deterministic framework to reverse-engineer your reference clips. Here is how to break down any video file into a…
สำหรับนักพัฒนาที่สร้าง AI video loops หรือ pipelines ด้วยเครื่องมืออย่าง Runway Gen-3 หรือ Sora บทความนี้แนะนำวิธีการ Reverse-Engineer คลิปวิดีโอให้เป็น Prompt เพื่อประหยัดค่าใช้จ่าย GPU นี่หมายความว่าแทนที่จะใช้ Text Prompt แบบนามธรรมซึ่งไม่มีประสิทธิภาพสำหรับไทม์ไลน์การเคลื่อนไหวแบบ 3D นักพัฒนาควรแยกไฟล์วิดีโออ้างอิงออกเป็นส่วนประกอบเฉพาะ เช่น เวกเตอร์การเคลื่อนที่ของกล้องและสถานะแสง วิธีการนี้ช่วยสร้าง Generative Video Pipeline ที่คาดเดาได้โดยไม่ต้องพึ่งการลองผิดลองถูก ทำให้กระบวนการมีประสิทธิภาพและประหยัดค่าใช้จ่ายมากขึ้น
aiai-technique
Analyzing The Lumen Anchor Protocol - Using Google AI Studio
The LAP is a prompt framework that deals with several issues on frontier models such as - Context drift & sycophancy, hallucinations, context window memory management and active defenses against all forms of prompt based attacks. The following is a session link to Google AI Studio with the full LAP and rule definitions loaded into the system instructions for the model to run on and evaluate, and for the user to run adverserial tests, examine other stress tested outputs, or simply have a long conversation with LAP executing in the background…
Lumen Anchor Protocol (LAP) เป็นเฟรมเวิร์ก Prompt ใหม่ที่ออกแบบมาเพื่อแก้ไขปัญหาต่างๆ เช่น Context Drift, Hallucinations และการจัดการหน่วยความจำ Context Window ในโมเดล AI ระดับแนวหน้า ขณะเดียวกันก็ป้องกันการโจมตีแบบ Prompt-based ด้วย นักพัฒนาที่ทำงานกับ Large Language Models สามารถใช้ LAP ภายใน Google AI Studio เพื่อปรับปรุงความน่าเชื่อถือและความปลอดภัยของแอปพลิเคชัน AI ของตน เฟรมเวิร์กนี้ให้วิธีการที่มีโครงสร้างในการจัดการ Prompt และพฤติกรรมของโมเดล ซึ่งมีประโยชน์อย่างยิ่งสำหรับการสร้างระบบ AI ที่แข็งแกร่งและคาดเดาได้มากขึ้น
เว็บและฟรอนต์เอนด์
วันนี้มีอัปเดตจาก Docker และไลบรารี OpenAI สำหรับ Node.js รวมถึงเครื่องมือใหม่จาก Cloudflare ที่ช่วยให้การสร้างโมเดลตัดสินใจทำได้ง่ายขึ้น
v29.9.0-rc.1
29.9.0-rc.1 For a full list of pull requests and changes in this release, refer to the relevant GitHub milestones: docker/cli, 29.9.0 milestone moby/moby, 29.9.0 milestone Bug fixes and enhancements containerd image store: Fix pulls skipping required layer blobs when unpacked layers already exist, leaving images runnable but incomplete for export or push. moby/moby#53615 Fix docker container create --name reporting a misleading validation error mentioning invalid characters instead of invalid name length. moby/moby#53484 Fix a connection leak to the RootlessKit API socket on every GET /version request in rootless mode. moby/moby#53836 Packaging updates Update BuildKit to v0.34.0-rc1…
Docker v29.9.0-rc.1 ได้รับการเผยแพร่แล้ว โดยมาพร้อมกับการแก้ไขข้อผิดพลาดและการปรับปรุงต่างๆ Release Candidate นี้แก้ไขปัญหาเช่น การดึงข้อมูลที่ข้าม layer blobs ที่จำเป็นใน containerd image store, ข้อผิดพลาดในการตรวจสอบความถูกต้องของชื่อคอนเทนเนอร์ที่ทำให้เข้าใจผิด และการรั่วไหลของการเชื่อมต่อใน RootlessKit API socket นักพัฒนาที่ใช้ Docker ควรอ่านการเปลี่ยนแปลงเหล่านี้ โดยเฉพาะอย่างยิ่งหากเคยพบข้อบกพร่องเหล่านี้ และพิจารณาทดสอบ Release Candidate นี้เพื่อให้แน่ใจถึงความเสถียรก่อนการเปิดตัวเวอร์ชันเต็ม
v2.0.0-beta.25
Docker Compose v2.0.0-beta.25 ได้รับการเผยแพร่แล้ว แม้ว่าข้อมูลที่ให้มาจะมีน้อย แต่ก็บ่งชี้ถึงการพัฒนาอย่างต่อเนื่องและการปรับปรุงเสถียรภาพหรือคุณสมบัติใหม่ๆ ในเวอร์ชันเบต้าของ Docker Compose นักพัฒนาที่ใช้ Docker Compose เวอร์ชันเบต้าควรอ่านบันทึกการเปลี่ยนแปลงฉบับเต็มเพื่อดูรายละเอียดว่ามีการเปลี่ยนแปลงอะไรบ้าง และพิจารณาอัปเดตเพื่อใช้ประโยชน์จากการปรับปรุงหรือแก้ไขข้อผิดพลาดล่าสุด
openai 7.27.0
openai version 7.27.0 was published to npm on 2026-10-01.
แพ็กเกจ OpenAI npm เวอร์ชัน 7.27.0 ได้รับการเผยแพร่เมื่อวันที่ 1 ตุลาคม 2026 ซึ่งบ่งชี้ถึงการออกเวอร์ชันใหม่สำหรับนักพัฒนาที่รวมบริการ OpenAI เข้ากับแอปพลิเคชัน Node.js ของตน นักพัฒนาควรอ่าน changelog สำหรับเวอร์ชันนี้เพื่อทำความเข้าใจคุณสมบัติใหม่ การแก้ไขข้อผิดพลาด หรือ breaking changes การอัปเดตเป็นเวอร์ชันล่าสุดมักจะแนะนำเพื่อรับประโยชน์จากการปรับปรุงและรักษาความเข้ากันได้กับ API ของ OpenAI
Introducing Clef: our open-source decision models, and new RL fine-tuning platform
We are introducing Clef and Clef-flash, open-source decision models hosted on Workers AI for high-speed classification and agentic workflows. Also launching: a new reinforcement learning platform that allows developers to fine-tune decision models using their own data.
Cloudflare ได้เปิดตัว Clef และ Clef-flash ซึ่งเป็นโมเดลการตัดสินใจแบบโอเพนซอร์สที่โฮสต์บน Workers AI พร้อมกับแพลตฟอร์ม Reinforcement Learning ใหม่สำหรับการ Fine-tuning โมเดลเหล่านี้ นี่หมายความว่านักพัฒนาสามารถใช้เครื่องมือเหล่านี้สำหรับการจัดหมวดหมู่ความเร็วสูงและเวิร์กโฟลว์แบบ Agentic รวมถึงปรับแต่งด้วยข้อมูลของตนเองได้ สิ่งนี้มีประโยชน์อย่างยิ่งสำหรับผู้ที่ต้องการสร้างหรือปรับปรุงระบบการตัดสินใจที่ขับเคลื่อนด้วย AI โดยเน้นที่ประสิทธิภาพและความสามารถในการปรับแต่ง
แบ็กเอนด์และโครงสร้างพื้นฐาน
สำหรับสาย Backend และ Infrastructure วันนี้มีประเด็นสำคัญเกี่ยวกับการจัดการ Kubernetes และการเปลี่ยนผ่านจาก Ingress-nginx ไปยัง Envoy Gateway ที่ต้องพิจารณาอย่างรอบคอบ
cncfcloudnative
KubeCon + CloudNativeCon North America 2026: Build your application developer journey
Cloud native development increasingly means thinking beyond the application itself. How will it be built? How will it be deployed? How much infrastructure should developers need to understand? Where should platforms remove complexity? And what changes...
KubeCon + CloudNativeCon North America 2026 จะมุ่งเน้นไปที่เส้นทางของนักพัฒนาแอปพลิเคชันในการพัฒนาแบบ Cloud Native โดยจะกล่าวถึงวิธีการสร้าง, deploy แอปพลิเคชัน และความรู้ด้านโครงสร้างพื้นฐานที่นักพัฒนาจำเป็นต้องมี นี่หมายความว่านักพัฒนาที่เข้าร่วมงานประชุมจะได้พบกับเซสชันและเนื้อหาที่ออกแบบมาเพื่อช่วยให้พวกเขาเข้าใจความซับซ้อนของสภาพแวดล้อม Cloud Native, ทำความเข้าใจ abstraction ของแพลตฟอร์ม และเพิ่มประสิทธิภาพเวิร์กโฟลว์การพัฒนาของตน เป็นโอกาสในการเรียนรู้แนวทางปฏิบัติที่ดีที่สุดสำหรับการสร้างและ deploy แอปพลิเคชันในบริบทของ Cloud Native
cncfcloudnative
KubeCon + CloudNativeCon North America 2026: Build your infrastructure engineer journey
Infrastructure engineers sit at one of the busiest intersections in cloud native. Kubernetes clusters need to scale. Networks need to connect them. Storage needs to follow workloads. Platforms need to make infrastructure usable. Security needs to...
KubeCon + CloudNativeCon North America 2026 จะมีหัวข้อเฉพาะสำหรับวิศวกรโครงสร้างพื้นฐาน โดยมุ่งเน้นไปที่การปรับขนาดคลัสเตอร์ Kubernetes, การเชื่อมต่อเครือข่าย, การจัดการพื้นที่เก็บข้อมูล, การใช้งานแพลตฟอร์ม และความปลอดภัยในสภาพแวดล้อม Cloud Native นี่หมายความว่าวิศวกรโครงสร้างพื้นฐานที่เข้าร่วมงานประชุมจะได้รับข้อมูลเชิงลึกเกี่ยวกับการจัดการโครงสร้างพื้นฐาน Cloud Native ที่ซับซ้อน, การเพิ่มประสิทธิภาพ และการรับรองความปลอดภัยที่แข็งแกร่ง เป็นงานสำคัญสำหรับผู้ที่รับผิดชอบระบบพื้นฐานที่รองรับแอปพลิเคชัน Cloud Native
cncfkubernetes
Migrar para o Envoy Gateway não é trocar YAML
O ingress-nginx não recebe patch de segurança desde março de 2026. Ele continua funcionando, e é por isso que o risco passa despercebido. A saída recomendada pelo próprio Kubernetes é a Gateway API, e o Envoy Gateway é uma das implementações dela. A tentação é tratar a migração como tradução: pegar cada anotação e reescrever no formato novo. Só que a migração não se resume a trocar YAML. No nginx, cada app levava a própria regra de IP numa anotação. No Envoy, a regra sobe para uma SecurityPolicy no Gateway compartilhado. Ela muda de dono: sai do time da app e vai para a plataforma. Um erro, que antes afetava uma app, agora afeta todas as rotas. Ela também muda de camada. A allowlist por IP…
บทความนี้ชี้ให้เห็นว่าการย้ายจาก ingress-nginx (ซึ่งไม่ได้รับการแพตช์ความปลอดภัยตั้งแต่เดือนมีนาคม 2026) ไปยัง Envoy Gateway ตามที่ Gateway API ของ Kubernetes แนะนำ ไม่ใช่แค่การแปล YAML เท่านั้น นี่หมายความว่าองค์กรที่ใช้ ingress-nginx ควรตระหนักถึงความเสี่ยงด้านความปลอดภัยเนื่องจากไม่มีแพตช์ และวางแผนการย้าย การย้ายนี้เกี่ยวข้องกับการเปลี่ยนแปลงสถาปัตยกรรมที่สำคัญ โดยย้ายนโยบายความปลอดภัยจากทีมแอปพลิเคชันแต่ละทีมไปยังทีมแพลตฟอร์มที่ใช้ร่วมกัน ซึ่งส่งผลกระทบต่อความเป็นเจ้าของและขอบเขตความเสียหายของการกำหนดค่าที่ไม่ถูกต้อง นักพัฒนาและทีมแพลตฟอร์มจำเป็นต้องเข้าใจการเปลี่ยนแปลงนี้เพื่อหลีกเลี่ยงการสร้างความเสี่ยงใหม่ๆ
cncfkubernetes
Storm-3068: How SSPR Abuse Turns One Azure AD Account Into Kubernetes Credential Theft
Microsoft disclosed in September 2026 that a threat actor tracked as Storm-3068 compromised a single Azure AD identity through self-service password reset (SSPR) abuse, then pivoted through Azure DevOps pipelines to steal Kubernetes cluster credentials — ultimately exfiltrating seven kubeconfig files and gaining access to more than 50 downstream resources from one initial account takeover. No password spray, no zero-day: just SSPR, MFA re-registration, and pipeline permissions that were already too broad. This is the exact attack chain and the controls that close each step. The Attack Chain, Step by Step Storm-3068's campaign worked because each individual step abuses a legitimate feature…
ห่วงโซ่การโจมตี Storm-3068 แสดงให้เห็นว่าบัญชี Azure AD ที่ถูกบุกรุกเพียงบัญชีเดียว ผ่านการใช้ Self-Service Password Reset (SSPR) ในทางที่ผิดและการลงทะเบียน MFA ใหม่ สามารถนำไปสู่การขโมยข้อมูลรับรอง Kubernetes ผ่าน Azure DevOps pipelines ได้ นี่หมายความว่าองค์กรที่ใช้ Azure AD และ Kubernetes ควรสรุปนโยบาย SSPR, กระบวนการลงทะเบียน MFA ใหม่ และสิทธิ์ของ Azure DevOps pipeline นักพัฒนาและผู้ดูแลระบบต้องตรวจสอบให้แน่ใจว่าสิทธิ์ของ pipeline ไม่กว้างขวางเกินไป และมีการควบคุมที่แข็งแกร่งเพื่อป้องกันการเคลื่อนที่ในแนวนอนจากข้อมูลประจำตัวที่ถูกบุกรุกไปยังโครงสร้างพื้นฐานที่สำคัญ เช่น คลัสเตอร์ Kubernetes
วงการและทิศทาง
วันนี้มีข่าวความเคลื่อนไหวในวงการที่น่าสนใจ ทั้งเรื่องช่องโหว่ใน Linux kernel การสอบสวน OpenAI และการปรับปรุงฟีเจอร์ของ GitHub ที่เกี่ยวข้องกับการรายงานช่องโหว่และการเข้าถึง
California issues investigative subpoena to OpenAI over rogue agents' hacking
รัฐแคลิฟอร์เนียได้ออกหมายเรียกเพื่อสอบสวน OpenAI เกี่ยวกับการแฮกที่ถูกกล่าวหาโดย "rogue agents" นี่แสดงให้เห็นถึงการตรวจสอบที่เพิ่มขึ้นและผลกระทบทางกฎหมายที่อาจเกิดขึ้นสำหรับบริษัท AI เกี่ยวกับความปลอดภัยและขอบเขตทางจริยธรรมของการดำเนินงาน แม้ว่าสิ่งนี้จะไม่ได้ส่งผลกระทบโดยตรงต่อการเขียนโค้ดประจำวันของนักพัฒนา แต่ก็เน้นย้ำถึงความสำคัญที่เพิ่มขึ้นของการพัฒนา AI อย่างรับผิดชอบและความจำเป็นในการมีแนวทางปฏิบัติด้านความปลอดภัยที่แข็งแกร่งภายในองค์กร AI
Rate limits for private vulnerability reports
Open source maintainers are receiving more low-quality and automated vulnerability reports, which can bury the reports that matter. Rate limits cap how many new reports a single account can submit… The post Rate limits for private vulnerability reports appeared first on The GitHub Blog .
GitHub ได้นำข้อจำกัดอัตรา (rate limits) มาใช้สำหรับการรายงานช่องโหว่ส่วนตัว เพื่อช่วยให้ผู้ดูแลโครงการโอเพนซอร์สจัดการกับรายงานคุณภาพต่ำและรายงานอัตโนมัติที่หลั่งไหลเข้ามา นี่หมายความว่าผู้ดูแลจะได้รับรายงานที่ไม่เกี่ยวข้องน้อยลง ทำให้พวกเขาสามารถมุ่งเน้นไปที่ปัญหาสำคัญได้ สำหรับนักพัฒนาที่รายงานช่องโหว่ การเปลี่ยนแปลงนี้อาจหมายความว่าพวกเขาต้องพิจารณาการส่งรายงานให้รอบคอบมากขึ้น เนื่องจากจะมีข้อจำกัดว่าบัญชีเดียวสามารถส่งรายงานใหม่ได้กี่ฉบับ
รายงานโดย: hn
Accessibility statements highlighted on repository overview
You can now find an ACCESSIBILITY.md file in your repository’s root, the .github/ directory, or the docs/ directory highlighted on the repository overview. You can also add or propose an… The post Accessibility statements highlighted on repository overview appeared first on The GitHub Blog .
GitHub ได้เพิ่มการเน้นไฟล์ `ACCESSIBILITY.md` บนหน้าภาพรวมของ repository หากไฟล์ดังกล่าวอยู่ในไดเรกทอรี root, `.github/` หรือ `docs/` นี่หมายความว่าโครงการที่ให้ความสำคัญกับการเข้าถึง (accessibility) สามารถทำให้ข้อความเกี่ยวกับ accessibility ของตนเองมองเห็นได้ชัดเจนขึ้นสำหรับผู้ใช้และผู้ร่วมให้ข้อมูล นักพัฒนาและผู้ดูแลโครงการควรพิจารณาเพิ่มไฟล์ `ACCESSIBILITY.md` ลงใน repository ของตน เพื่อสื่อสารความมุ่งมั่นในการเข้าถึงอย่างชัดเจนและให้ข้อมูลที่เกี่ยวข้องแก่ชุมชนของตน
เทคนิคประจำวัน
Several vulnerabilities have been discovered in the Linux kernel
มีการค้นพบช่องโหว่หลายจุดใน Linux kernel นี่หมายความว่าระบบที่รัน Linux ซึ่งเป็นเซิร์ฟเวอร์ส่วนใหญ่และเครื่องนักพัฒนาจำนวนมาก มีความเสี่ยง ผู้ใช้และผู้ดูแลระบบควรติดตามประกาศอย่างเป็นทางการจากผู้จำหน่าย Linux distribution ของตนเพื่อหาแพตช์ และติดตั้งแพตช์เหล่านั้นทันทีเพื่อรักษาความปลอดภัยของระบบจากช่องโหว่ที่เพิ่งค้นพบเหล่านี้
เขียนโดย google/gemini-2.5-flash