สรุปสั้น
ไมโครซอฟท์ (Microsoft) ออกแพตช์แก้ช่องโหว่ความรุนแรงระดับสูงในไดรเวอร์ Brokering File System หรือ BFS ของ Windows 11 และ Windows Server 2025 ซึ่งได้รับรหัส CVE-2026-50458 โดยเป็นช่องโหว่ประเภทยกระดับสิทธิ์ (Local Privilege Escalation) ที่เปิดให้ผู้โจมตีซึ่งมีสิทธิ์ต่ำในเครื่องอยู่แล้วสามารถยกระดับสิทธิ์ตัวเองขึ้นไปเป็น SYSTEM ซึ่งเป็นสิทธิ์สูงสุดของระบบได้ ช่องโหว่อยู่ในไฟล์ไดรเวอร์ bfs.sys ที่ทำหน้าที่เป็นตัวกลางควบคุมการเข้าถึงไฟล์ ไปป์ (pipe) และรีจิสตรี ระหว่างแอปพลิเคชันที่ทำงานในกล่องทราย (sandbox) อย่าง AppContainer และแอป UWP กับตัวระบบปฏิบัติการ ต้นตอของปัญหาคือสภาวะ use-after-free ที่เกิดจาก race condition ในการจัดการไดเรกทอรีภายในของ BFS เมื่อมีคำสั่งหลายชุดทำงานพร้อมกันบนพาธเดียวกัน จนทำให้ออบเจ็กต์ระดับเคอร์เนลถูกปล่อยคืนหน่วยความจำทั้งที่ยังถูกใช้งานอยู่ ไมโครซอฟท์ให้คะแนน CVSS 3.1 ที่ 7.8 จัดอยู่ในระดับความเสี่ยงสูง และได้ปล่อยแพตช์แก้ไขแล้วในรอบ Patch Tuesday วันที่ 14 กรกฎาคม 2569 ปัจจุบันยังไม่มีรายงานการถูกโจมตีจริงและยังไม่ถูกเพิ่มเข้าบัญชี KEV ของ CISA แต่ด้วยลักษณะที่แตะระดับเคอร์เนลและความแพร่หลายของ Windows 11 กับ Server 2025 ในองค์กร ทีมความปลอดภัยจึงควรเร่งอัปเดตโดยด่วน
รายละเอียดข่าว
เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 23 กรกฎาคม 2569 ว่าไมโครซอฟท์ได้แก้ช่องโหว่ CVE-2026-50458 ในไดรเวอร์ Brokering File System (bfs.sys) ซึ่งเป็น minifilter driver ที่ทำหน้าที่ควบคุมการเข้าถึงไฟล์ ไปป์ และรีจิสตรีระหว่างแอปพลิเคชันที่ถูกจำกัดสิทธิ์ในกล่องทรายกับระบบปฏิบัติการ ช่องโหว่นี้ถูกเปิดเผยรายละเอียดโดยนักวิจัยที่ใช้ชื่อ Rotce ผ่านคำแนะนำบน GitHub โดยระบุว่าเป็นการผสมกันของ race condition และ use-after-free ที่เปิดทางให้ผู้โจมตีเข้าควบคุมระบบที่ได้รับผลกระทบได้อย่างเต็มรูปแบบ และกระทบต่อความลับ ความสมบูรณ์ และความพร้อมใช้งานของข้อมูล
เงื่อนไขการโจมตีคือผู้โจมตีต้องมีสิทธิ์เข้าถึงเครื่องแบบผ่านการยืนยันตัวตนอยู่ก่อนแล้ว โดยทั่วไปคือบัญชีผู้ใช้สิทธิ์ต่ำ หรือการรันโค้ดอยู่ภายในบริบทของกล่องทราย จากนั้นผู้โจมตีจะส่งคำขอ IOCTL ที่ประดิษฐ์ขึ้นเป็นพิเศษไปยังอุปกรณ์ BFS พร้อมกับใช้อินเทอร์เฟซกำหนดนโยบาย (policy-setting) ในทางที่ผิด เพื่อบังคับให้หลายเธรดทำงานผ่านพาธที่มีช่องโหว่พร้อมกัน จนหน่วยความจำระดับเคอร์เนลเสียหายและยกระดับสิทธิ์ขึ้นไปเป็น SYSTEM ได้ในที่สุด แม้ BFS จะถูกออกแบบมาเพื่อรับประกันการแยกส่วน (isolation) อย่างเข้มงวดให้แอปในกล่องทราย แต่การเจาะช่องโหว่นี้กลับทำลายกำแพงดังกล่าว และเปิดทางให้ผู้โจมตีข้ามจากสภาพแวดล้อมที่ถูกจำกัดไปสู่การควบคุมระบบทั้งเครื่อง
รายละเอียดช่องโหว่
ช่องโหว่นี้กระทบ Windows 11 รุ่น 24H2, 25H2 และ 26H1 ทั้งสถาปัตยกรรม x64 และ ARM64 รวมถึง Windows Server 2025 ทั้งการติดตั้งแบบเต็มและแบบ Server Core หากยังรันบิลด์ที่เก่ากว่าเวอร์ชันที่แพตช์แล้ว ตามข้อมูลเทเลเมทรีและการวิเคราะห์ของผู้ผลิต Windows 11 24H2 จะมีช่องโหว่หากรันบิลด์ต่ำกว่า 26100.8875, รุ่น 25H2 ต่ำกว่า 26200.8875 และรุ่น 26H1 ต่ำกว่า 28000.2269 ส่วน Windows Server 2025 มีความเสี่ยงหากบิลด์ต่ำกว่า 26100.33158 ทำให้แอปพลิเคชันที่พึ่งพากลไก sandbox มีความเสี่ยงเป็นพิเศษ
| แพลตฟอร์ม | บิลด์ที่มีช่องโหว่ (ต่ำกว่า) | แพตช์ / อัปเดต | ความรุนแรง |
|---|---|---|---|
| Windows 11 24H2 | < 26100.8875 | KB5101650 (ก.ค. 2569) | สูง 7.8 |
| Windows 11 25H2 | < 26200.8875 | KB5101650 (ก.ค. 2569) | สูง 7.8 |
| Windows 11 26H1 | < 28000.2269 | July 2026 CU | สูง 7.8 |
| Windows Server 2025 | < 26100.33158 | July 2026 CU | สูง 7.8 |
จนถึงขณะนี้ยังไม่มีการยืนยันว่ามีการใช้ CVE-2026-50458 โจมตีจริงหรือถูกนำไปใช้กับแรนซัมแวร์ และยังไม่ปรากฏในบัญชี Known Exploited Vulnerabilities (KEV) ของ CISA แต่ด้วยธรรมชาติของช่องโหว่ที่อยู่ในระดับเคอร์เนล ผู้ที่เจาะได้จึงเข้าควบคุมได้ลึกถึงแกนระบบ
ผลกระทบต่อไทย
Windows 11 และ Windows Server 2025 เป็นระบบปฏิบัติการหลักที่หน่วยงานจำนวนมากในไทยใช้งาน ทั้งในภาคธุรกิจ ราชการ สถาบันการเงิน และสถานศึกษา ช่องโหว่นี้แม้จะต้องอาศัยสิทธิ์เข้าถึงเครื่องก่อน แต่ก็เป็นชิ้นส่วนสำคัญที่ผู้โจมตีมักนำมาต่อกับช่องโหว่อื่นในลูกโซ่การโจมตี เช่น หลังจากหลอกให้เหยื่อรันมัลแวร์สิทธิ์ต่ำสำเร็จ ผู้โจมตีก็ใช้ช่องโหว่ประเภทยกระดับสิทธิ์แบบนี้เพื่อยึดเครื่องทั้งเครื่องและกระจายตัวต่อในเครือข่าย โดยเฉพาะกลุ่มแรนซัมแวร์ที่ต้องการสิทธิ์ SYSTEM เพื่อปิดระบบป้องกันและเข้ารหัสไฟล์ หน่วยงานที่ยังไม่ได้อัปเดตแพตช์ประจำเดือนกรกฎาคมจึงตกอยู่ในความเสี่ยง
คำแนะนำ
ผู้ดูแลระบบควรประเมินเครื่องที่รัน Windows 11 หรือ Server 2025 ตรวจสอบหมายเลขบิลด์เทียบกับช่วงที่มีช่องโหว่ และรวมชุดอัปเดตความปลอดภัยประจำเดือนกรกฎาคม 2569 เข้าไปในรอบแพตช์โดยเร็ว สำหรับ Windows 11 รุ่น 24H2 และ 25H2 ให้ติดตั้ง KB5101650 ส่วนรุ่น 26H1 และ Server 2025 ให้ติดตั้ง Cumulative Update ประจำเดือนกรกฎาคม ในกรณีที่ยังไม่สามารถอัปเดตได้ทันที ทีมความปลอดภัยควรจำกัดสิทธิ์การล็อกออนในเครื่องและสิทธิ์การรันโปรแกรมของบัญชีสิทธิ์ต่ำ เข้มงวดการควบคุมแอปพลิเคชัน (application control) และเฝ้าระวังพฤติกรรมผิดปกติของไดรเวอร์ BFS จนกว่าจะแก้ไขเสร็จสมบูรณ์