Security updates
Vulnerabilities and patches that server, WordPress, PHP, Laravel and mail admins should know about, by announcement date. Each post gives the severity, the fixed versions and how to fix it. Kept apart from the regular articles.
From official channels: CISA KEV, NVD, vendor advisories, Debian/Ubuntu security notices, GitHub/Packagist advisories · RSS
53 posts
Latest from the feed See all ->
Nov 2026
WordPress Core Update Flaw CVE-2026-119977 Is Being Exploited
CVE-2026-119977 is a race condition in the WordPress core update process that CISA has confirmed is being exploited. It affects 4.7 through 7.1.3 and is fixed in 7.1.4 plus a backport on every branch. This note covers the severity, how to close wp-content/upgrade before updating, how to update every site, and how to check whether you were already hit.
Apple อุดช่องโหว่ข้าม Pointer Authentication CVE-2024-27834 ถูกโจมตีจริง
Apple หลายผลิตภัณฑ์มีช่องโหว่ข้าม Pointer Authentication และถูกโจมตีจริงแล้ว แพตช์อยู่ใน iOS/iPadOS 16.7.8 และ 17.5, Safari 17.5, macOS Sonoma 14.5, tvOS 17.5 และ watchOS 10.5
Ubuntu: Urgent ADOdb Fix for CVE-2025-46337, Plus Pillow Patches
ADOdb has an SQL injection vulnerability when used with PostgreSQL and user input is passed to pg_insert_id(), fixed upstream in 5.22.9. Ubuntu has issued additional backports through ESM Apps, alongside Pillow patches for backend file processing.
Symfony CVE-2026-118514 HEAD Bypass: Check Conditions and Update
Symfony fixes HEAD requests bypassing access_control and firewall rules restricted to GET, rated Moderate, along with path and trusted proxy issues. The main fixed versions are 5.4.56, 6.4.50, 7.4.23 and 8.1.11, but checks must account for the package and usage conditions.
Debian Security, Late Oct 2026: 12 DSAs Servers Should Apply
A roundup of Debian DSAs from 22 Oct. to 3 Nov. 2026 covering server-related packages only: unbound, brotli, pdns, valkey, varnish, imagemagick, nss, wordpress, php-mongodb, squid, linux and aide, with fixed versions for Debian 13 and commands to check versions and restart services
Oct 2026
Cisco ASA/FTD ถูกสั่งรีบูตผ่าน VPN CVE-2026-76418
Cisco ASA และ FTD ที่เปิด SSL VPN พร้อม secondary authentication ตามเงื่อนไขมีช่องโหว่ทำให้อุปกรณ์รีบูต และถูกโจมตีจริงแล้ว ต้องอัปเดตเป็นรุ่นแก้ไขของแต่ละสาย เช่น ASA 9.20.4.50 หรือ FTD 7.4.9
2 GitLab CE/EE Flaws Exploited, Including CVE-2026-97229 (CVSS 10.0)
CISA added GitLab CVE-2026-85706 (unauthenticated file read) to KEV on 11 Sep and CVE-2026-97229 (unauthenticated code execution) on 29 Oct 2026. Both score CVSS 10.0. Upgrade to the latest patch release for your branch.
VMware ESX CVE-2026-41709 Exploited Logging Flaw Added to KEV Oct. 28
CVE-2026-41709 is an insufficient logging vulnerability in VMware ESX with a CVSS score of 2.7 (Low), but CISA added it to KEV on Oct. 28, 2026 because it has been exploited in the wild. Fixes are available in ESXi 9.1.0.0-25370933, 9.0.2.0100-25595025 or ESXi80U3j-25429389 (8.0 branch).
6 Linux Kernel Flaws in KEV Aug–Oct 2026—Reboot After Updating
CISA added 6 Linux kernel vulnerabilities to KEV between 26 Aug. and 28 Oct. 2026. Almost all allow privilege escalation from a regular account to root. Debian 13 has fixes in kernel 6.12.115-2 (DSA-6602-1), and a reboot is required for them to take effect.
Adobe Commerce/Magento อัปโหลดไฟล์อันตราย CVE-2026-48356
Adobe Commerce และ Magento มีช่องโหว่อัปโหลดไฟล์อันตรายที่ถูกโจมตีจริงแล้ว ผู้ดูแลควรติดตั้งชุดแก้ 2026-jul ให้ตรงสายรุ่น และตรวจส่วนเสริมที่เกี่ยวข้อง
Arista VeloCloud Orchestrator พบ SQL Injection CVE-2026-114625
Arista VeloCloud Orchestrator On-Prem มี SQL Injection ที่ถูกโจมตีจริง ผู้ดูแลควรอัปเดตเป็น 5.2.3.18, 6.1.3.10 หรือ 6.4.2.12 ตามสายรุ่นที่ใช้งาน
"Collabora Online ช่องโหว่รันคำสั่ง CVE-2026-110447 ถูกโจมตีจริง"
"Built-in CODE Server บน Nextcloud มีช่องโหว่รันคำสั่งจากระยะไกลและถูกโจมตีจริงแล้ว ผู้ใช้ richdocumentscode ต้องอัปเดตเป็น 26.4.303 หรือใหม่กว่า"
Roundcube Fixes 20 Flaws (DSA-6579-1): Update to 1.6.20 or 1.7.5
Roundcube released 1.6.20 (LTS) and 1.7.5 on 19 Oct. 2026, fixing 20 vulnerabilities ranging from IMAP command injection, SSRF and XSS to header injection. Debian followed with DSA-6579-1 on 23 Oct. for Debian 13, while Debian 12 remains unfixed in the Debian tracker.
Laravel TokenGuard Bypass CVE-2026-114509, Livewire and Filament
Laravel issued a Critical advisory (CVSS v4 9.2) for TokenGuard, which can be tricked with non-string credentials, fixed in 12.68.0 and 13.29.0, plus a roundup of advisories for Livewire, Filament, league/commonmark, Symfony and phpseclib from Aug. to Oct. 2026
Two Critical PHP RCE Flaws (php2shell): Patch Today
CVE-2026-109618 and CVE-2026-109619 are PHP RCE vulnerabilities with a CVSS score of 9.2 and public exploits already available. They affect every machine using PHP to handle web requests. The patched versions are 8.5.12, 8.4.27, 8.3.36, and 8.2.35. This note covers version checks, updates on Debian, RHEL, DirectAdmin, Docker, and Windows, and temporary settings while waiting for patches.
Plex Media Server เขียนไฟล์อันตรายได้ CVE-2026-96656
Plex Media Server มีช่องโหว่เขียนไฟล์ที่อาจถูกรันเมื่อโหลด และถูกใช้โจมตีจริงแล้ว ผู้ดูแลรุ่นก่อน 1.43.3.10861 ควรอัปเดตพร้อมตรวจร่องรอยการบุกรุก
"Plex Media Server มี SSRF ถูกโจมตีจริง CVE-2026-96655"
"Plex Media Server ก่อน 1.43.3.10861 มี SSRF ให้ผู้ยืนยันตัวตนสั่งเซิร์ฟเวอร์ส่งคำขอไปยังที่อยู่ภายในหรือภายนอกได้ มีการโจมตีจริงแล้ว ควรอัปเดตเป็น 1.43.3.10861 หรือใหม่กว่า"
Plex Media Server กรอง URI ไม่ครบ CVE-2026-96654 ถูกโจมตีจริง
Plex Media Server กรอง URL ไม่ครบ ทำให้ผู้โจมตีเรียกฟังก์ชันปลั๊กอินอื่นพร้อมกำหนดพารามิเตอร์ได้ มีการโจมตีจริงแล้ว ผู้ดูแลต้องอัปเดตเป็น 1.43.3.10861 หรือใหม่กว่า
"Plex Media Server มี SSRF ถูกโจมตีจริง CVE-2026-96652"
"Plex Media Server มีช่องโหว่ SSRF ที่ถูกใช้โจมตีจริง และต่อกับช่องโหว่อื่นเพื่อรันโค้ดได้ ผู้ดูแลควรอัปเดตเป็น 1.43.3.10861 ขึ้นไปและตรวจร่องรอยการบุกรุก"
SiteGuard Server Edition แทรกคำสั่ง OS ได้ CVE-2026-106931
SiteGuard Server Edition มีช่องโหว่ในฟังก์ชันสถิติที่ถูกใช้โจมตีจริงแล้ว ควรเก็บข้อมูลวินิจฉัยก่อนอัปเดตเป็น Ver8.00 Update 5 หรือ Ver7.00 Update 6 สำหรับ FreeBSD
WordPress Plugins Exploited in Aug–Oct 2026 (Elementor Pro, etc.)
WordPress plugin vulnerabilities with reported exploitation or high scores from 5 Aug. to 5 Nov. 2026, including Elementor Pro CVE-2026-32475 (fixed in 4.2.2) and WooCommerce Wholesale Lead Capture CVE-2026-27540 (fixed in 2.0.3.2), plus two other high-scoring vulnerabilities with no reported exploitation
BeyondTrust Remote Support ข้ามยืนยันตัวตน CVE-2026-102764
BeyondTrust Remote Support ถึงรุ่น 26.2.3 มีช่องโหว่ข้ามการยืนยันตัวตนและถูกโจมตีจริงแล้ว ให้ติดตั้งแพตช์ BT26-05-RS ในรุ่นที่รองรับ หรือใช้รุ่น 26.3.1 ขึ้นไปที่มีตัวแก้
FortiMail CVE-2026-104286 and 3 Fortinet/PAN-OS CVEs Exploited
Fortinet and Palo Alto Networks have 4 vulnerabilities added to CISA KEV between 9 Sep. and 16 Oct. 2026. The most severe is FortiMail CVE-2026-104286, with CVSS 9.8 and no login required, fixed in 8.0.2, 7.6.7 and 7.4.9. PAN-OS CVE-2026-0322 has no workaround and requires an update to 12.2.4, 12.1.10-h2, 11.2.16, 11.1.16-h3 or 10.2.18-h12.
Atlassian เปิดทางอ่านไฟล์โดยไม่ล็อกอิน CVE-2026-21589 ถูกโจมตีจริง
Atlassian หลายผลิตภัณฑ์เปิดให้ผู้โจมตีที่ไม่ล็อกอินอ่านไฟล์บางรายการได้ และถูกใช้โจมตีจริงแล้ว ผู้ดูแลต้องอัปเดตเป็นรุ่นแก้ของแต่ละผลิตภัณฑ์ เช่น Confluence 9.2.26 หรือ 10.2.19
"Cisco Secure Email Gateway เขียนไฟล์เป็น root: CVE-2026-76519"
"Cisco Secure Email Gateway มีช่องโหว่ผ่านไฟล์แนบอีเมลที่ถูกโจมตีจริง ผู้ดูแลที่เข้าเงื่อนไขควรอัปเดต Content Scanner Tools เป็น 25.3.0.5525 ขึ้นไป หรือใช้ AsyncOS รุ่นแก้ไข"
AhsayCBS แทรกคำสั่ง OS ได้ CVE-2026-105134 ถูกโจมตีจริง
AhsayCBS มีช่องโหว่แทรกคำสั่ง OS ผ่าน Replication Receiver และถูกโจมตีจริงแล้ว ผู้ดูแลต้องใช้ hotfix 9.15.2.70 หรือ 10.3.4.45 ตามสายรุ่น เพราะแพตช์เดิมแก้ไม่ครบ
AhsayCBS ข้ามการยืนยันตัวตน ถูกโจมตีจริง CVE-2026-105133
AhsayCBS มีช่องโหว่ข้ามการยืนยันตัวตนผ่าน API และถูกใช้โจมตีจริงแล้ว ผู้ดูแลต้องลง hotfix 10.3.4.45 หรือ 9.15.2.70 ตามสายรุ่น เพราะแพตช์เดิมแก้ไม่ครบ
nginx 1.30.6/1.31.7 Fix 5 CVEs, Including CVE-2026-15176 (alias+rewrite)
nginx released stable 1.30.6 and mainline 1.31.7 on 14 Oct. 2026, fixing 5 medium-severity CVEs, from an alias and rewrite buffer overflow to HTTP/3 and TLS session tickets. The nginx.org advisory page lists 26 entries for 2026 in total.
Microsoft Patch Tuesday Oct. 2026: CVE-2026-96951 Exploited
Microsoft's Oct. 2026 patch release includes 1,474 CVEs, with Windows Shell CVE-2026-96951 (CVSS 8.8) actively exploited and already in CISA KEV. Windows Server 2025 is fixed in KB5126646, 2022 in KB5126655, and 2019 in KB5126651. There are also several Critical 9.8 vulnerabilities that require no authentication.
Ivanti Connect Secure: 3 CVEs Chained in Attacks, CVE-2026-104935
Ivanti Connect Secure has 3 vulnerabilities that have been chained together to gain root access without logging in. The first, CVE-2026-104935, has a CVSS score of 8.6 and entered CISA KEV on 13 Oct. 2026. The other two entered KEV on 30 Oct. The latest fixed versions are 25.1.1.3, 25.1.3.1 and 22.8R2.6.
Strapi เสี่ยงยึดบัญชีแอดมิน CVE-2023-22894 เข้า KEV
Strapi มีช่องโหว่ตัวกรองข้อมูลที่อาจเปิดเผยข้อมูลสำคัญและนำไปสู่การยึดบัญชีแอดมิน โดย CISA ยืนยันว่าถูกใช้โจมตีจริงแล้ว รุ่นที่เริ่มแก้คือ 4.8.0 และผู้ใช้รุ่นหมดการสนับสนุนควรย้ายไปสายที่ยังรองรับ
'ONLYOFFICE Docs: Path Traversal เสี่ยง RCE — CVE-2021-3199'
ONLYOFFICE Document Server ก่อน 5.6.3 มี Path Traversal เมื่อใช้ JWT ซึ่งอาจนำไปสู่การรันโค้ดจากระยะไกล รุ่น 5.6.3 แก้ช่องโหว่นี้แล้ว และ CISA ยืนยันว่ามีการโจมตีจริง
'ProFTPD อ่านเขียนไฟล์ก่อนล็อกอิน CVE-2015-3306 ถูกโจมตีจริง'
'CISA เพิ่มช่องโหว่ mod_copy ของ ProFTPD เข้า KEV หลังพบการโจมตีจริง ผู้ใช้รุ่นที่มีช่องโหว่ต้องเร่งติดตั้งแพตช์ โดย upstream แก้ใน 1.3.5a และ 1.3.6rc1'
BIND's 2015 CVE-2015-5477 Added to CISA KEV Oct. 2026; Check named Now
CISA added ISC BIND's TKEY vulnerability (CVE-2015-5477) to KEV on 8 Oct. 2026, meaning attackers are still exploiting old DNS servers. A single packet can terminate named. Fixed versions are 9.9.7-P2 and 9.10.2-P3 onward.
WordPress 7.1.3 Fixes 7 Flaws (XSS, SQLi, Data Leaks): Update Now
WordPress 7.1.3 was released on 6 Oct. 2026, fixing 7 security vulnerabilities, including second-order SQL injection in WXR export and unauthenticated disclosure of comments on private posts. The project urges immediate updates and provides backports for older branches down to 4.7.
Zammad ยกระดับสิทธิ์เป็น root ถูกโจมตีจริง CVE-2026-102490
Zammad ที่ติดตั้งผ่านแพ็กเกจ DEB/RPM มีช่องโหว่ให้บัญชีบริการยกระดับเป็น root และถูกโจมตีจริงแล้ว ข้อมูลอัปเดตจากผู้พัฒนาระบุว่าแก้ในรุ่น 7.2.2
"Zammad ยึด session สู่ RCE ถูกโจมตีจริง CVE-2026-102489"
"Zammad มีช่องโหว่ยึด session ที่นำไปสู่การรันโค้ดด้วยสิทธิ์ zammad และถูกโจมตีจริงแล้ว ผู้ใช้ 6.5 และเก่ากว่าควรย้ายไปสาย 7 โดยรุ่น 7.2.0 เพิ่มการป้องกันในโค้ด"
Apache httpd 2.4.69 Fixes 20 CVEs, Moderate at Most—Update Soon
Apache HTTP Server 2.4.69, released on 1 Oct. 2026, fixes 20 vulnerabilities, rated moderate for 5 and low for 15. All affect versions up to 2.4.68; upgrading to 2.4.69 is required to get every fix.
Sep 2026
Cisco SD-WAN Manager ข้ามล็อกอินเป็น admin CVE-2026-76504
Cisco Catalyst SD-WAN Manager มีช่องโหว่ข้ามการยืนยันตัวตนเข้า API เป็น admin และถูกโจมตีจริงแล้ว ผู้ดูแลต้องอัปเกรดเป็นรุ่นแก้ตามสายรุ่น เช่น 20.9.10.1 หรือ 20.12.8.2
Apple CoreGraphics เขียนหน่วยความจำเกินขอบเขต CVE-2026-86950
Apple iOS, iPadOS และ macOS มีช่องโหว่ CoreGraphics ที่อาจเปิดทางให้รันโค้ดเมื่อประมวลผลไฟล์อันตราย และถูกโจมตีจริงแล้ว รุ่นแก้ไขหลักคือ iOS/iPadOS 26.7.1, macOS Tahoe 26.7.1 และ Sequoia 15.8.1
Citrix NetScaler: 5 Exploited Flaws, CVE-2026-88771 RCE
NetScaler ADC and Gateway have 5 CVEs added to CISA KEV between 26 Aug. and 4 Oct. 2026. The most severe are CVE-2026-88771 and CVE-2026-88772, both rated 9.5 under CVSS 4.0, which Citrix confirmed were exploited before disclosure. Builds covering all of them are 14.1-73.41 and 13.1-64.28 or later.
MikroTik RouterOS ข้ามล็อกอิน SSH ได้ CVE-2026-67279
MikroTik RouterOS มีช่องโหว่ SSH ที่เปิด session และส่งคำขอ exec ได้โดยไม่ยืนยันตัวตน ถูกโจมตีจริงแล้ว แพตช์เฉพาะช่องโหว่นี้อยู่ใน 6.49.21, 7.23.4 และ 7.24.2
WordPress core CVE-2026-87902 exploited (KEV): update to 7.1.2 now
CVE-2026-87902 lets an unauthenticated attacker make WordPress include local PHP files outside the theme directory, leading to RCE when the required conditions are met. CISA added it to KEV on 25 Sep. 2026. Fixed versions include 7.1.2, 7.0.6, 6.9.9 and many older branches down to 4.7.37.
Adobe Commerce และ Magento ตรวจสิทธิ์ผิด CVE-2026-71362
Adobe Commerce และ Magento มีช่องโหว่ยกระดับสิทธิ์โดยไม่ต้องล็อกอินและถูกโจมตีจริงแล้ว ให้ติดตั้งชุดแก้ไข -2026-aug ของสาขาที่ใช้งานตาม APSB26-92
WSO2 ถูกโจมตีจริง CVE-2026-5430 เสี่ยงยึดบัญชีผู้ดูแล
WSO2 หลายผลิตภัณฑ์มีช่องโหว่ CVE-2026-5430 ที่ถูกโจมตีจริงแล้ว ผู้ใช้ API Manager 4.6.0 ต้องอัปเดตถึง U2 ระดับ 21 ขึ้นไป ส่วนผลิตภัณฑ์และรุ่นอื่นมีระดับแก้ไขต่างกัน
"F5 BIG-IP APM บัฟเฟอร์ล้น เปิดทาง RCE: CVE-2026-94127"
"F5 BIG-IP APM ที่ทำหน้าที่ OAuth Authorization Server มีช่องโหว่ RCE โดยไม่ต้องยืนยันตัวตนและถูกโจมตีจริงแล้ว ต้องติดตั้ง engineering hotfix เฉพาะสาย 17.1, 17.5 หรือ 21.1 ตามตารางรุ่นแก้"
VeloCloud Orchestrator ตรวจข้อมูลไม่ครบ ถูกโจมตีแล้ว CVE-2026-93952
Arista VeloCloud Orchestrator แบบ on-prem มีช่องโหว่เข้าถึงฟังก์ชันสิทธิ์สูงและถูกโจมตีจริงแล้ว ผู้ใช้รุ่นที่ได้รับผลกระทบควรอัปเดตเป็น 5.2.3.16 หรือ 6.4.2.8 ตามสายรุ่น ส่วนสายอื่นต้องตรวจประกาศผู้ผลิต
Check Point ข้ามพาธรันสคริปต์ได้ CVE-2026-93616
Check Point กลุ่ม Management และ Log Server มีช่องโหว่ให้ผู้ไม่ผ่านการยืนยันตัวตนอัปโหลดและรันสคริปต์ได้ ถูกโจมตีจริงแล้ว ต้องติดตั้ง Hotfix ให้ตรงสายรุ่น เช่น R82.10 Jumbo Hotfix Take 45
Check Point ตรวจใบรับรอง VPN ผิดพลาด CVE-2026-85102 ถูกโจมตีจริง
Check Point Security Gateway และ Spark Firewall ที่ใช้ VPN มีช่องโหว่รันโค้ดโดยไม่ยืนยันตัวตนและถูกโจมตีจริงแล้ว สาย R82.10 แก้ด้วย Jumbo Hotfix Take 44 ขึ้นไป ส่วนสายอื่นต้องเลือกแพตช์ตามรุ่น
"Zyxel GS1900 บัฟเฟอร์ล้น ถูกโจมตีจริง CVE-2026-7273"
"Zyxel GS1900 มีช่องโหว่ที่ผู้โจมตีใน LAN อาจรันคำสั่งระบบได้โดยไม่ต้องล็อกอิน และถูกเพิ่มเข้า CISA KEV แล้ว ต้องลงเฟิร์มแวร์ให้ตรงรุ่น เช่น GS1900-8 แก้ใน 2.90(AAHH.2)C0"
Google Pixel โมเด็มข้ามการตรวจสิทธิ์ CVE-2026-58704 ถูกโจมตีจริง
Google Pixel มีช่องโหว่ข้ามการตรวจสิทธิ์ในโมเด็มมือถือและถูกใช้โจมตีจริง ผู้ใช้เครื่องที่ได้รับผลกระทบควรติดตั้ง security patch level 2026-09-05 หรือใหม่กว่า
4 Windows Zero-Days Exploited Aug-Sep 2026 with IKE CVE-2026-33824
CISA added 4 Windows vulnerabilities to KEV during Aug-Sep 2026, namely AFD WinSock CVE-2026-68820, IKE CVE-2026-33824 (CVSS 9.8, remote), Windows Update Stack CVE-2026-81963 and ALPC CVE-2026-85880. The IKE patch was released on 14 Apr., but it was only added to KEV on 18 Aug.
Aug 2026
SharePoint on-prem CVE-2026-55040 and 65660 exploited; patch now
Two vulnerabilities in self-hosted SharePoint Server are on CISA's KEV list, CVE-2026-55040 (authentication bypass, CVSS 9.1, added 18 Aug.) and CVE-2026-65660 (code execution, CVSS 8.8, added 25 Sep.). Install the Aug. 2026 patch build or later. For Subscription Edition, that is 16.0.19725.20522.