Web Security

ทีมนักวิจัยด้านความมั่นคงปลอดภัยของ WordPress ออกมาแจ้งเตือนถึงช่องโหว่ Zero-day บน WP GDPR Compliance Plugin หนึ่งใน Plugin ยอดนิยมสำหรับผู้ที่ต้องการผ่านข้อกำหนดของ GDPR ซึ่งช่วยให้แฮ็กเกอร์สามารถเข้าถึงไซต์ ติดตั้งสคริปต์ Backdoor และเข้าควบคุมระบบทั้งหมดได้ แนะนำให้ผู้ดูแลระบบรีบอัปเดตแพตช์โดยเร็ว

Ton Masas นักวิจัยด้านความมั่นคงปลอดภัยจาก Imperva ผู้ให้บริการโซลูชัน Web Security และ Data Security ชื่อดัง ออกมาเปิดเผยถึงอีกหนึ่งช่องโหว่บน Facebook ที่ช่วยให้แฮ็กเกอร์สามารถเข้าถึงข้อมูลส่วนบุคคลของผู้ใช้และรายชื่อเพื่อนได้ อย่างไรก็ตาม Facebook ได้ทำการอัปเดตแพตช์เพื่ออุดช่องโหว่เรียบร้อยแล้ว

ธนาคารกรุงไทยได้ออกมาแจ้งเตือนถึงแคมเปญอีเมล Phishing ที่กำลังแพร่ระบาดอยู่ในขณะนี้ โดยผู้ไม่ประสงค์ดีปลอมตัวเป็นพนักงานจาก KTB netbank ระบบ Internet Banking ของธนาคารกรุงไทย แล้วหลอกให้เหยื่อคลิกลิงค์ที่แนบมากับอีเมลเพื่อหลอกขโมยรหัสผ่าน

Simon Scannell นักวิจัยด้านความมั่นคงปลอดภัยจาก RIPS Technologies GmbH ออกมาแจ้งเตือนถึงช่องโหว่ Arbitrary File Deletion บน Plugin สำหรับ eCommerce ยอดนิยมอย่าง WooCommerce ซึ่งช่วยให้แฮ็กเกอร์สามารถเข้าควบคุมเว็บไซต์ WordPress ที่ไม่ได้รับการแพตช์ได้

PACKT Publishing เปิดให้ดาวน์โหลด eBook เรื่อง “Kali Linux Cookbook – 2nd Edition” ฟรีภายในวันนี้เท่านั้น (ก่อน 7 โมงเช้าของวันที่ 1 พฤศจิกายน 2018 ตามเวลาประเทศไทย) ผู้ที่สนใจเรียนรู้การใช้งาน Kali Linux ไม่ว่าจะเป็นการสแกนหาช่องโหว่บนเซิร์ฟเวอร์ การแคร็กรหัสผ่าน หรือการเจาะช่องโหว่เพื่อเข้าควบคุมระบบคอมพิวเตอร์สามารถดาวน์โหลดไปศึกษาได้ทันที

Google ได้ออกมาประกาศเปิดตัว reCAPTCHA v3 พร้อมนำเสนอแนวทางการปกป้อง Website จาก Bot ด้วยวิธีการใหม่ๆ ดังนี้

Google ได้ออก reCAPTCHA v3 ซึ่งมีฟีเจอร์ที่สามารถตรวจจับทราฟฟิคไม่ปกติได้เองด้วยระบบ Risk Score ตามพฤติกรรมและต้นทางที่ของผู้ใช้เพื่อให้ผู้ดูแลเว็บนำไปตั้งค่าการตอบสนองที่เหมาะสม

Larry Cashdollar นักวิจัยจาก Akamai ได้คนบนช่องโหว่บนปลั้กอิน jQuery File Upload ซึ่งพบว่าสามารถทำให้เกิดการอัปโหลด Web Shell และรันคำสั่งบนเซิร์ฟเวอร์ได้ ที่น่าตกใจคือช่องโหว่เกิดขึ้นมากว่า 8 ปีแล้วและมีวีดีโอสอนบนยูทูปมากว่า 3 ปีเช่นกัน ที่สำคัญคือมีการนำปลั้กอินตัวนี้ไปใช้ต่อไม่น้อยกว่า 7,800 ครั้งแล้ว

เมื่อวันอังคารที่ผ่านมาทาง Google ได้ปล่อย Chrome 70.0.3538.67 ออกมาให้ผู้ใช้งานได้อัปเกรดกันแล้วซึ่งได้มีการแพตช์แก้ไขช่องโหว่ด้านความมั่นคงปลอดภัยกว่า 23 รายการ พร้อมทั้งยังได้อัปเดตทางเลือกในการลงชื่อเข้าใช้บราวน์เซอร์ซึ่งเวอร์ชันก่อนหน้าได้ทำการลงชื่อเข้าใช้อัตโนมัติให้กับผู้ใช้งานที่ลงชื่อเข้าใช้บริการของ Google ทีี่ทำให้เกิดความกังวลเรื่อง Privacy ตามมา

Rapid7 ผู้ให้บริการซอฟต์แวร์วิเคราะห์ด้านความมั่นคงปลอดภัยชื่อดัง ประกาศเข้าซื้อกิจการของ tCell นักพัฒนาด้านความมั่นคงปลอดภัยสำหรับแอปพลิเคชัน เพื่อเสริมความแข็งแกร่งของโซลูชันด้านการป้องกันการโจมตีในระดับแอปพลิเคชัน

Microsoft, Google, Apple และ Mozilla ได้เห็นพ้องกันว่าจะทำการยกเลิกการรองรับโปรโตคอล TLS 1.0 และ 1.1 ภายในปี 2020 ที่มีอายุมาร่วม 20 ปีแล้ว ซึ่งในตอนนี้ก็มีเวอร์ชันใหม่อย่าง TLS 1.2 ที่ใช้มาสักพักใหญ่ รวมถึง 1.3 ที่เพิ่งประกาศออกมาล่าสุดและมีการปรับปรุงความสามารถหลายประการทั้งด้านประสิทธิภาพและความมั่นคงปลอดภัย

หลังจากที่มีข่าว Facebook เกิดเหตุ Data Breach ครั้งใหญ่ที่สุดในประวัติการณ์เมื่อปลายเดือนกันยายนที่ผ่านมา ส่งผลให้แฮ็กเกอร์สามารถขโมย Access Token ลับของผู้ใช้กว่า 50 ล้านคนผ่านฟีเจอร์ “View As” ออกไปได้ ล่าสุด Facebook ได้ออกแถลงการณ์ ระบุแท้จริงแล้วมีบัญชีผู้ใช้เพียง 30 ล้านรายชื่อเท่านั้นที่ได้รับผลกระทบ พร้อมเปิดให้ผู้ใช้ตรวจสอบว่าตนเองได้รับผลกระทบหรือไม่

เพื่อเสริมความมั่นคงปลอดภัยให้กับเหล่าเว็บไซต์และบริการต่างๆ ให้สูงยิ่งขึ้น ทาง Cloudflare จึงได้ออกมาประกาศเปิดตัวความสามารถใหม่ Firewall Rule เมื่อสัปดาห์ที่แล้ว เพื่อให้ผู้ใช้งานสามารถกำหนด Firewall Policy ได้จากเงื่อนไขที่หลากหลาย, ข้อมูล IP Address ระดับประเทศและระดับ Operator, ข้อมูล HTTP Header, ข้อมูล Threat Score ไปจนถึงการใช้ Regular Expression กำหนดเงื่อนไข

หนึ่งในวิธีตรวจสอบ Phishing Attack นั้นผู้ใช้งานสามารถสังเกตว่าไม่มี Certificate เลยหรือมีแล้วเป็นบริษัทที่อ้างว่าเป็นจริงหรือไม่ อย่างไรก็ตามตอนนี้มีการพบเทคนิคใหม่ของคนร้ายที่ประยุกต์ใช้ Azure Blob Storage ที่อาศัย Certificate ของ Microsoft เพื่อทำให้การโจมตี Phishing Attack กับ Office 365 ให้ดูเนียนมากขึ้น

เมื่อช่วงประมาณบ่ายสามโมงตามเวลาประเทศไทย Instagram เว็บโซเชียลมีเดียสำหรับแชร์รูปภาพเกิดเหตุระบบล่มในบางพื้นที่ ส่งผลให้ผู้ใช้หลายพันคนไม่สามารถล็อกอินเข้าเว็บไซต์เพื่อแชร์รูปภาพได้

Malicious Extensions เป็นปัญหาที่ค้างคาสำหรับ Google Chrome มาอย่างยาวนาน แฮ็กเกอร์พยายามใช้หลายเทคนิคเพื่อทำให้ Extension ของตนเองสามารถเปิดให้ผู้ใช้ดาวน์โหลดได้ผ่าน Chrome Web Store ไม่ว่าจะเป็นการรับจ้างเขียนรีวิว การเขียนโค้ดให้มีความซับซ้อน (Obfuscated Code) หรือการใช้สคริปต์จากภายนอก ล่าสุด Google ได้ประกาศกฎกติกาใหม่เพื่อแก้ไขปัญหาดังกล่าว โดยเฉพาะอย่างยิ่ง Extension ที่ร้องขอสิทธิ์อย่างไร้เหตุผล

นักวิจัยด้านความมั่นคงปลอดภัยจาก NetLab ของ Qihoo 360 ออกมาแจ้งเตือนถึงแคมเปญมัลแวร์ที่กำลังแพร่ระบาดอยู่ในขณะนี้ ซึ่งได้ทำการแฮ็กเราท์เตอร์ที่ใช้ตามบ้านเรือนไปแล้วกว่า 100,000 เครื่อง พร้อมแก้ไขการตั้งค่า DNS เพื่อเปลี่ยนเส้นทางของผู้ใช้ให้วิ่งมาที่เว็บไซต์อันตรายของแฮ็กเกอร์แทนเพื่อหลอกขโมยข้อมูลล็อกอิน