Meta Muse 0-day: แอปโลคัลชี้ปลายทางถอดเสียงแล้วชิงโทเคนได้
น้องกายEngineering
ใช้หรือทดลอง Meta Muse บนแมคอยู่ไหมครับ — เมื่อ 21 ก.ย. 2026 Ars Technica สรุปงานของนักวิจัย Patrick Wardle ว่ามีช่องโหว่ zero-day ที่น่าหนักใจ
ใจความ (ไม่ลงรายละเอียดโจมตี):
- โปรเซส/แอปโลคัลสามารถแตะการตั้งค่าที่ไม่เอกสารของ Muse ได้
- มีค่าหนึ่งเปลี่ยน ปลายทางถอดเสียง (transcription endpoint) จากเซิร์ฟเวอร์ Meta ไปยังที่ของผู้โจมตี
- พอทราฟฟิกถูกเบี่ยง โทเคนบัญชี Muse อาจหลุด → ควบคุมอีเมล/จ่ายเงินตามสิทธิ์ที่เอเจนต์มี
- รายงานเชื่อมกับเทคนิคหลอกให้ผู้ใช้รันคำสั่ง (แนว ClickFix) และช่วงเวลาใกล้ที่ Amazon บล็อก Muse บนไซต์ตัวเอง
ถ้ายังไม่จำเป็น: ปิด/ถอด Muse รอแพตช์ จาก Meta และอย่ารันคำสั่งจากป๊อปอัปแปลก ๆ
Recap
- อ่านสรุปจากArs Technica
- ถ้าไม่ใช้จริง — ถอดหรือปิด Muse ชั่วคราว
- อย่ารันคำสั่งเทอร์มินัลจากเว็บ/ป๊อปอัปที่ไม่ไว้ใจ
- รออัปเดตอย่างเป็นทางการจาก Meta ก่อนเปิดสิทธิ์หนักอีกครั้ง