Microsoft Patch Tuesday สิงหาคม 2569 อุด 400 ช่องโหว่ — มี 3 Zero-Day และตัวที่ถูกโจมตีจริงคือช่องทางที่ Lazarus ใช้ปล่อยรูทคิต FudModule รุ่นใหม่

สรุปสั้น

Microsoft ปล่อยอัปเดตความปลอดภัยประจำเดือนสิงหาคม 2569 ปิดช่องโหว่รวม 400 รายการ ในจำนวนนี้เป็นระดับ Critical 42 รายการ โดย 37 รายการเป็นการรันโค้ดทางไกลและอีก 5 รายการเป็นการยกระดับสิทธิ์ ส่วนภาพรวมตามประเภทช่องโหว่คือ ยกระดับสิทธิ์ 176 รายการ รันโค้ดทางไกล 110 รายการ เปิดเผยข้อมูล 86 รายการ ปลอมแปลง 21 รายการ ปฏิเสธการให้บริการ 12 รายการ และหลบเลี่ยงกลไกความปลอดภัย 11 รายการ ตัวเลขนี้ยังเล็กกว่ารอบเดือนกรกฎาคมที่ปิดไป 570 รายการ แต่ยังถือว่าใหญ่มากเมื่อเทียบกับรอบก่อนหน้า ซึ่ง Microsoft เคยเตือนไว้เองว่าจำนวนช่องโหว่ในแต่ละรอบจะเพิ่มขึ้น เพราะบริษัทเริ่มใช้ระบบค้นหาช่องโหว่ด้วย AI มาไล่ตรวจผลิตภัณฑ์ของตัวเอง

ในรอบนี้มี zero-day สามรายการ แบ่งเป็นตัวที่ถูกใช้โจมตีจริงหนึ่งรายการและถูกเปิดเผยสู่สาธารณะก่อนมีแพตช์อีกสองรายการ ตัวที่ถูกโจมตีจริงคือ CVE-2026-68820 ในไดรเวอร์ Windows Ancillary Function Driver for WinSock หรือ AFD.sys ซึ่งเป็น use-after-free ที่ให้สิทธิ์ระดับ SYSTEM และบริษัท Check Point ระบุในรายงานที่ออกวันเดียวกันว่ากลุ่มภัยคุกคามเกาหลีเหนือ Lazarus ใช้ช่องโหว่นี้ในการโจมตีเพื่อวางรูทคิตระดับเคอร์เนล FudModule เวอร์ชันใหม่ ส่วน Microsoft ไม่ได้เปิดเผยรายละเอียดใด ๆ ว่าช่องโหว่ถูกใช้โจมตีอย่างไร

อีกสองรายการที่ถูกเปิดเผยก่อนคือ CVE-2026-62832 ในบริการ Windows User Profile Service และ CVE-2026-72971 ในไดรเวอร์ Windows Container Isolation FS Filter Driver (unionfs.sys) ทั้งคู่เป็นการโจมตีจากเครื่องที่ผู้โจมตีมีบัญชีอยู่แล้ว โดยอาศัยการแก้ไขลิงก์ก่อนเข้าถึงไฟล์เพื่อโหลด registry hive ของผู้ใช้รายอื่นและได้สิทธิ์ผู้ดูแลระบบ

รายละเอียดข่าว

เว็บไซต์ BleepingComputer รายงานเมื่อวันที่ 11 สิงหาคม 2569 ว่า วันนี้เป็นวัน Patch Tuesday ประจำเดือนสิงหาคม 2569 ของ Microsoft ซึ่งมาพร้อมอัปเดตความปลอดภัยสำหรับช่องโหว่จำนวนมหาศาลถึง 400 รายการ ในจำนวนนี้มี zero-day สามรายการ เป็นตัวที่ถูกใช้โจมตีจริงหนึ่งรายการและถูกเปิดเผยสู่สาธารณะสองรายการ

ตัวเลข 400 รายการนี้มีเงื่อนไขการนับที่ควรรู้ เพราะ BleepingComputer นับเฉพาะช่องโหว่ที่ Microsoft ปล่อยแพตช์ในวันนั้นวันเดียว จึงไม่รวมช่องโหว่บางส่วนใน Mariner, Microsoft Teams, Microsoft Azure, Microsoft Entra, Microsoft Office และ Power Apps ที่ Microsoft ทยอยแก้ไปก่อนหน้านี้ในเดือนเดียวกัน ผู้อ่านที่เห็นตัวเลขต่างกันไปตามแต่ละสำนักข่าวจึงไม่ใช่เรื่องผิดปกติ แต่มาจากวิธีนับที่ต่างกัน

ตัวอย่างที่ชัดเจนคือ Zero Day Initiative ซึ่งนับแยกเป็นเอกเทศและได้ตัวเลขที่ 398 CVE ใหม่ โดยจัดเป็นระดับ Critical ถึง 62 รายการ ต่างจากที่ Microsoft ระบุไว้ที่ 42 รายการ ตัวเลขเหล่านี้บอกได้เพียงขนาดของรอบแพตช์เท่านั้น สิ่งที่ควรใช้ตัดสินลำดับการติดตั้งจริง ๆ คือสถานะการถูกใช้โจมตีและระยะที่ผู้โจมตีเอื้อมถึงบริการนั้นได้ ไม่ใช่จำนวนรวมหรือป้ายความรุนแรงเพียงอย่างเดียว

Microsoft ให้นิยาม zero-day ว่าเป็นช่องโหว่ที่ถูกเปิดเผยสู่สาธารณะหรือถูกใช้โจมตีจริงในขณะที่ยังไม่มีการแก้ไขอย่างเป็นทางการ ในรอบนี้ตัวที่เข้าเกณฑ์ถูกใช้โจมตีจริงคือ CVE-2026-68820 ช่องโหว่ use-after-free ในไดรเวอร์ AFD.sys โดยคำเตือนของ Microsoft ระบุว่าผู้โจมตีที่ผ่านการยืนยันตัวตนบนเครื่องสามารถรันแอปพลิเคชันที่สร้างขึ้นเป็นพิเศษเพื่อจุดชนวน race condition และหากสำเร็จจะได้สิทธิ์ระดับ SYSTEM โดยไม่ต้องอาศัยการโต้ตอบจากผู้ใช้

เครดิตการค้นพบเป็นของนาย Moshe Marelus และนาย David Driker จากบริษัท Check Point ซึ่งออกรายงานในวันเดียวกันระบุว่า ระหว่างการบุกรุกที่ตรวจพบ ผู้โจมตีได้ใช้ CVE-2026-68820 ในสถานะ zero-day เพื่อวาง FudModule รูทคิตระดับเคอร์เนลของ Lazarus เวอร์ชันใหม่ โดย Check Point ระบุเจาะจงว่าการใช้งานนี้เกิดในปฏิบัติการ Operation Dream Job ซึ่งเป็นแคมเปญหลอกด้วยข้อเสนองานที่กลุ่มนี้ใช้มานาน ขณะที่ Microsoft เองไม่ได้เปิดเผยรายละเอียดว่าช่องโหว่ถูกใช้โจมตีอย่างไร และไม่ได้ระบุตัวผู้ก่อเหตุอย่างเป็นทางการ การชี้ตัวจึงมาจากฝั่งนักวิจัยเท่านั้น ทั้งนี้ Microsoft ให้คะแนน CVSS ของช่องโหว่ตัวนี้ไว้เพียง 7.0 ซึ่งต่ำกว่าช่องโหว่อีกหลายรายการในรอบเดียวกัน แต่สถานะที่ถูกใช้โจมตีจริงทำให้มันต้องขึ้นก่อนอยู่ดี

สำหรับ zero-day ที่ถูกเปิดเผยสู่สาธารณะก่อนมีแพตช์ รายการแรกคือ CVE-2026-62832 ในบริการ Windows User Profile Service ซึ่งเป็นการแก้ไขลิงก์อย่างไม่เหมาะสมก่อนเข้าถึงไฟล์ (link following) โดยผู้โจมตีที่มีข้อมูลยืนยันตัวตนของบัญชีท้องถิ่นอีกบัญชีหนึ่งสามารถรันแอปพลิเคชันเพื่อโหลด registry hive ของผู้ใช้รายอื่น แล้วเข้าถึงหรือแก้ไขข้อมูลของผู้ใช้รายนั้นและได้สิทธิ์ผู้ดูแลระบบ แม้ Microsoft จะให้เครดิตแก่นักวิจัยนิรนาม แต่รายละเอียดตรงกับช่องโหว่ที่ชื่อ LegacyHive ซึ่งนักวิจัยที่ใช้ชื่อ Nightmare Eclipse เปิดเผยไว้เมื่อเดือนก่อน โดยนาย Will Dormann นักวิเคราะห์ช่องโหว่หลักของบริษัท Tharros เคยอธิบายไว้ว่าผู้ใช้ที่ไม่มีสิทธิ์ผู้ดูแลสามารถใช้ LegacyHive แก้ไข registry hive เพื่อให้คำสั่งถูกรันด้วยสิทธิ์ผู้ดูแลเมื่อบัญชีผู้ดูแลล็อกอินเข้าเครื่องที่ถูกบุกรุก

รายการที่สองคือ CVE-2026-72971 ในไดรเวอร์ Windows Container Isolation FS Filter Driver (unionfs.sys) ซึ่ง Microsoft จัดเป็นช่องโหว่ประเภท tampering และอธิบายด้วยกลไกเดียวกันคือการแก้ไขลิงก์ก่อนเข้าถึงไฟล์ ผู้โจมตีที่มีข้อมูลยืนยันตัวตนของบัญชีท้องถิ่นอีกบัญชีสามารถโหลด registry hive ของผู้ใช้รายอื่นและได้สิทธิ์ผู้ดูแลระบบเช่นกัน โดยครั้งนี้ Microsoft ไม่ได้ระบุว่าช่องโหว่ถูกเปิดเผยที่ไหน แต่ให้เครดิตการค้นพบแก่ yhw และ txz

วิธีการโจมตี

จุดที่ควรสนใจที่สุดของรอบนี้ไม่ใช่จำนวน 400 รายการ แต่คือรูปแบบการใช้งานจริงของ CVE-2026-68820 ตามที่ Check Point อธิบาย ช่องโหว่นี้อยู่ในไดรเวอร์ AFD.sys ซึ่งเป็นส่วนประกอบพื้นฐานของสแตกเครือข่ายบน Windows การโจมตีต้องเริ่มจากการมีสิทธิ์รันโค้ดบนเครื่องอยู่ก่อนแล้ว จากนั้นจึงรันแอปพลิเคชันที่สร้างขึ้นมาเพื่อจุดชนวน race condition ให้เกิดการใช้หน่วยความจำหลังคืนแล้ว ผลลัพธ์คือการยกระดับสิทธิ์ขึ้นเป็น SYSTEM

สิ่งที่ทำให้เส้นทางนี้อันตรายคือปลายทาง เพราะ Lazarus ใช้สิทธิ์ SYSTEM ที่ได้มาไปวาง FudModule ซึ่งเป็นรูทคิตระดับเคอร์เนลที่กลุ่มนี้พัฒนาต่อเนื่องมาหลายรุ่น เมื่อโค้ดของผู้โจมตีทำงานในเคอร์เนลได้แล้ว การมองเห็นของเครื่องมือฝั่งตั้งรับที่ทำงานในโหมดผู้ใช้จะถูกบั่นทอนลงอย่างมาก การยกระดับสิทธิ์ในบริบทนี้จึงไม่ใช่แค่ “ได้แอดมิน” แต่คือการเปลี่ยนสถานะจากผู้บุกรุกที่ถูกเฝ้ามองเป็นผู้บุกรุกที่ควบคุมสิ่งที่ระบบเฝ้าระวังมองเห็น

ส่วน zero-day อีกสองรายการเดินด้วยตรรกะเดียวกันคืออาศัยการแก้ไขลิงก์ก่อนเข้าถึงไฟล์ เพื่อหลอกให้บริการที่มีสิทธิ์สูงไปโหลด registry hive ของผู้ใช้รายอื่น ทั้งคู่ต้องการข้อมูลยืนยันตัวตนของบัญชีท้องถิ่นอีกบัญชีหนึ่งอยู่แล้ว จึงเป็นเครื่องมือของขั้นตอนหลังเข้าถึงเครื่องได้ ไม่ใช่ประตูบานแรก แต่ในสภาพแวดล้อมที่ผู้ใช้หลายคนใช้เครื่องร่วมกันหรือเซิร์ฟเวอร์ที่เปิดให้ล็อกอินหลายบัญชี ช่องโหว่ประเภทนี้คือทางลัดมาตรฐานจากบัญชีธรรมดาไปสู่ผู้ดูแลระบบ

สี่ช่องโหว่ 9.8 ที่ยิงได้โดยไม่ต้องมีบัญชี

ถัดจาก zero-day ที่ถูกใช้โจมตีจริง กลุ่มที่ควรต่อคิวถัดมาคือช่องโหว่สี่รายการที่ไม่ต้องการอะไรจากเหยื่อเลย ไม่ต้องมีบัญชี ไม่ต้องมีรหัสผ่าน และไม่ต้องรอให้ใครคลิก ทั้งสี่รายการมีคะแนน CVSS 9.8 เท่ากัน และไม่มีรายการใดถูกระบุว่าถูกใช้โจมตีจริงในตอนที่แพตช์ออก

• CVE-2026-62878 — Windows DNS Server เป็น stack-based buffer overflow ที่เอื้อมถึงได้จากระยะไกลโดยไม่ต้องยืนยันตัวตนและไม่ต้องมีการโต้ตอบจากผู้ใช้ Zero Day Initiative อธิบายเงื่อนไขของช่องโหว่นี้ว่าเข้าข่าย wormable ทั้งที่ Microsoft ประเมินโอกาสถูกใช้โจมตีไว้ในระดับต่ำ ทั้งนี้คำว่า wormable ของ ZDI เป็นการอธิบายเงื่อนไขทางเทคนิค ไม่ได้แปลว่ามีเวิร์มเกิดขึ้นจริงแล้ว
• CVE-2026-62893 — Windows Deployment Services เป็นช่องโหว่ที่เอื้อมถึงได้จากระยะไกลผ่านการจัดการโปรโตคอล TFTP ของบริการ โดยไม่ต้องยืนยันตัวตนและไม่ต้องมีการโต้ตอบจากผู้ใช้
• CVE-2026-62815 — Microsoft QUIC เป็นการรันโค้ดจากระยะไกลโดยไม่ต้องยืนยันตัวตนและไม่ต้องมีการโต้ตอบจากผู้ใช้เช่นกัน
• CVE-2026-59124 — HPC Pack มีคะแนน 9.8 เท่ากัน แต่ถูกจัดเป็นระดับ Important แทนที่จะเป็น Critical เพราะ HPC Pack ไม่ได้ติดตั้งมาเป็นค่าเริ่มต้น อย่างไรก็ตาม Microsoft ประเมินโอกาสถูกใช้โจมตีของรายการนี้ไว้ในระดับสูงกว่า

ข้อสังเกตที่ควรใช้ประกอบการจัดลำดับคือความรุนแรงบนกระดาษไม่ได้สะท้อนความเสี่ยงจริงของแต่ละองค์กร HPC Pack ไม่ได้ติดตั้งมาเป็นค่าเริ่มต้น และอีกสามรายการที่เหลือก็มีน้ำหนักต่างกันไปตามว่าบริการนั้นถูกติดตั้งอยู่จริงหรือไม่ และเปิดให้เข้าถึงได้จากไหน การสำรวจรายการบริการที่มีอยู่จริงกับเส้นทางที่เข้าถึงได้ จึงสำคัญไม่แพ้สถานะการถูกใช้โจมตีในการตัดสินว่าจะแพตช์อะไรก่อน

ช่องโหว่ระดับวิกฤตที่ควรพิจารณาก่อน

ในบรรดา 42 รายการระดับ Critical กลุ่มที่ควรจัดลำดับความสำคัญก่อนคือส่วนประกอบที่รับข้อมูลจากเครือข่ายโดยตรงและกลุ่ม Office ที่โจมตีผ่านไฟล์แนบได้ ตารางด้านล่างคัดเฉพาะรายการที่น่าสนใจ ไม่ใช่รายการทั้งหมดของรอบนี้

ไทม์ไลน์ชุดโจมตี SharePoint ที่ปิดครบในรอบนี้

รอบเดือนสิงหาคมยังเป็นการปิดงานครึ่งหลังของชุดโจมตี SharePoint ที่เริ่มแก้มาตั้งแต่เดือนกรกฎาคม โดย Rapid7 Labs รายงานชุดโจมตีนี้ให้ Microsoft ทราบเมื่อวันที่ 18 พฤษภาคม ซึ่งเป็นการนำช่องโหว่ข้ามการยืนยันตัวตนมาต่อกับช่องโหว่รันโค้ดอีกรายการจนได้ RCE แบบไม่ต้องยืนยันตัวตนบน SharePoint ที่ติดตั้งภายในองค์กร และอีกสองวันถัดมา Microsoft ก็ยืนยันกลับว่าจะแบ่งการแก้ไขออกเป็นสองรอบคือเดือนกรกฎาคมและสิงหาคม

รอบกรกฎาคมปิดครึ่งแรกคือ CVE-2026-55040 ช่องโหว่ข้ามการยืนยันตัวตนระดับ Critical คะแนน 9.1 ซึ่ง Rapid7 พบว่าเปิดทางให้ผู้โจมตีจากระยะไกลที่ไม่ผ่านการยืนยันตัวตนสวมตัวตนเป็นผู้ใช้หรือผู้ดูแลไซต์ได้ หากรู้ว่าจะสวมเป็นใคร ส่วนรอบสิงหาคมนี้เป็นการปิดครึ่งที่เป็นการรันโค้ด นั่นคือ CVE-2026-63520

จุดที่ต้องแยกให้ชัดคือ CVE-2026-63520 เป็นเพียงครึ่งที่ทำให้รันโค้ดได้ ไม่ได้เป็นตัวที่ทำให้ไม่ต้องยืนยันตัวตนด้วยตัวมันเอง สิ่งที่ทำให้เกิด RCE แบบไม่ต้องยืนยันตัวตนคือการนำมันไปต่อกับ CVE-2026-55040 และ Rapid7 ระบุว่าการแพตช์ CVE-2026-55040 เพียงอย่างเดียวก็ตัดเส้นทางที่สาธิตไว้ได้แล้ว ดังนั้นองค์กรที่ติดตั้งอัปเดตเดือนกรกฎาคมไปแล้วจึงปิดเส้นทางนั้นไปตั้งแต่ตอนนั้น ส่วนอัปเดตเดือนสิงหาคมคือการปิดตัวช่องโหว่รันโค้ดเพิ่มอีกชั้น รายละเอียดทางเทคนิคของชุดโจมตีนี้อยู่ในโพสต์ 2026/08/070

ผู้ผลิตรายอื่นที่ออกแพตช์ในเดือนสิงหาคม 2569

รอบนี้มีผู้ผลิตรายอื่นออกอัปเดตหรือคำแนะนำด้านความปลอดภัยพร้อมกันหลายราย และบางรายการมีน้ำหนักไม่แพ้ฝั่ง Microsoft

• Adobe ออกอัปเดตให้ ColdFusion, Commerce, Lightroom Classic, Content Credentials SDK และ Campaign Classic
• Cisco ออกอัปเดตให้ผลิตภัณฑ์จำนวนมาก รวมถึง Catalyst SD-WAN, IOS, IOS XE และช่องโหว่ใน ClamAV ที่มีโค้ดโจมตีเผยแพร่สู่สาธารณะแล้ว
• Metabase ออกอัปเดตแก้ช่องโหว่ SQL injection ระดับวิกฤตที่ถูกใช้โจมตีเพื่อขโมยข้อมูลแล้ว
• N-able ออกอัปเดตแก้ช่องโหว่ข้ามการยืนยันตัวตน CVE-2026-18577 ที่กำลังถูกใช้โจมตีจริง กระทบเซิร์ฟเวอร์ N-central ทั้งแบบโฮสต์และแบบติดตั้งเอง
• SAP ออกอัปเดตประจำเดือนสิงหาคมให้ผลิตภัณฑ์หลายรายการ รวมถึงช่องโหว่การกำหนดสิทธิ์ที่ไม่เหมาะสมระดับ 10.0 ใน SAP Commerce Cloud (Data Hub Adapter)
• TP-Link แก้ช่องโหว่ 15 รายการในกลไก zero-touch provisioning (ZTP) ของอุปกรณ์เครือข่ายตระกูล Omada ซึ่งอาจนำไปสู่การรันโค้ดทางไกล
• VMware ออกอัปเดตให้ VMware Avi Load Balancer ซึ่งรวมถึงช่องโหว่ข้ามการยืนยันตัวตนและรันโค้ดทางไกล

ผลกระทบ

ผลกระทบที่เร่งด่วนที่สุดตกอยู่กับองค์กรที่มีความเสี่ยงจากการโจมตีของกลุ่มรัฐหนุนหลัง เพราะ CVE-2026-68820 ไม่ได้เป็นแค่ช่องโหว่ที่ “อาจถูกใช้” แต่มีรายงานของ Check Point ยืนยันว่าถูกใช้ไปแล้วในการบุกรุกจริงเพื่อวางรูทคิตระดับเคอร์เนล เมื่อผู้โจมตีไปถึงเคอร์เนลได้ การพิสูจน์ว่าเครื่องสะอาดจริงหรือไม่จะยากขึ้นมาก และการล้างเครื่องอาจเป็นทางเลือกที่คุ้มกว่าการไล่กวาดทีละร่องรอย

สำหรับองค์กรทั่วไป ภาระที่แท้จริงของรอบนี้คือขนาดของงาน ช่องโหว่ 400 รายการภายในรอบเดียวหมายความว่าทีมดูแลระบบไม่มีทางทดสอบและติดตั้งได้พร้อมกันทั้งหมด การจัดลำดับจึงสำคัญกว่าความเร็ว โดยเริ่มจาก zero-day สามรายการ ตามด้วยบริการที่รับข้อมูลจากเครือข่ายโดยตรงอย่าง DNS, DHCP, RRAS, SSTP และ AD CS แล้วจึงไล่ไปที่กลุ่ม Office ซึ่งเป็นเส้นทางโจมตีผ่านไฟล์แนบและอีเมล

อีกประเด็นที่ควรบันทึกไว้คือคำอธิบายของ Microsoft เองว่าจำนวนช่องโหว่ที่เพิ่มขึ้นมาจากการนำระบบค้นหาช่องโหว่ด้วย AI มาใช้ภายใน เมื่ออ่านคู่กับกรณี SharePoint ที่นักวิจัยภายนอกใช้เอเจนต์ช่วยประกอบชุดโจมตีจนสำเร็จ ภาพที่ได้คือทั้งฝั่งผู้ผลิตและฝั่งผู้โจมตีต่างเร่งอัตราการค้นพบช่องโหว่ด้วยเครื่องมือเดียวกัน สิ่งที่ตามมาสำหรับผู้ดูแลระบบคือรอบแพตช์ที่ใหญ่ขึ้นและถี่ขึ้นจนกระบวนการแบบเดิมเริ่มตามไม่ทัน

คำแนะนำ

• ติดตั้งแพตช์ CVE-2026-68820 เป็นลำดับแรก เนื่องจากมีรายงานยืนยันว่าถูกใช้โจมตีจริงเพื่อยกระดับสิทธิ์เป็น SYSTEM และวางรูทคิตระดับเคอร์เนล
• ตามด้วย CVE-2026-62832 และ CVE-2026-72971 ที่ถูกเปิดเผยรายละเอียดสู่สาธารณะก่อนมีแพตช์ ซึ่งหมายความว่าผู้โจมตีมีข้อมูลตั้งต้นอยู่แล้ว
• ต่อคิวถัดมาด้วยช่องโหว่ 9.8 สี่รายการที่ยิงได้โดยไม่ต้องมีบัญชีและไม่ต้องรอให้ผู้ใช้ทำอะไร ได้แก่ CVE-2026-62878 (DNS Server), CVE-2026-62893 (Deployment Services), CVE-2026-62815 (QUIC) และ CVE-2026-59124 (HPC Pack) โดยตรวจก่อนว่าบริการเหล่านี้ติดตั้งอยู่จริงและเข้าถึงได้จากที่ใด
• จัดลำดับช่องโหว่ระดับ Critical ที่เหลือโดยเริ่มจากบริการที่เปิดรับข้อมูลจากเครือข่าย ได้แก่ DNS Server, DHCP Server, RRAS, SSTP, RMCAST, Deployment Services, iSCSI Target, QUIC และ AD CS
• ยืนยันว่าฟาร์ม SharePoint แบบติดตั้งภายในองค์กรมีทั้งอัปเดตเดือนกรกฎาคม (CVE-2026-55040) และอัปเดตเดือนสิงหาคม (CVE-2026-63520) ครบทั้งสองรอบ
• อย่าละเลยกลุ่ม Office, Word และ Excel เพราะเป็นเส้นทางโจมตีผ่านเอกสารแนบที่ใช้ได้ผลกับผู้ใช้ทั่วไปโดยไม่ต้องเจาะเซิร์ฟเวอร์
• ตรวจสอบผลิตภัณฑ์ของผู้ผลิตรายอื่นที่ออกแพตช์ในรอบเดียวกัน โดยเฉพาะ N-able N-central (CVE-2026-18577) และ Metabase ที่มีรายงานว่าถูกใช้โจมตีจริง รวมถึง SAP Commerce Cloud ที่มีช่องโหว่ระดับ 10.0
• สำหรับเครื่องที่สงสัยว่าถูกบุกรุกด้วย CVE-2026-68820 ให้ตรวจหาร่องรอย FudModule ตามรายงานของ Check Point และประเมินการติดตั้งระบบใหม่ แทนการเชื่อว่าการลบมัลแวร์ที่พบเพียงพอ

แหล่งอ้างอิง

• Microsoft August 2026 Patch Tuesday fixes 400 flaws, 3 zero-days — BleepingComputer
• Microsoft Patches 398 Flaws Including a Windows Driver Zero-Day Under Active Attack — The Hacker News
• Shattering the Dream: When a Job Offer Becomes a Zero-Day Attack — Check Point Research
• Zero-day vulnerabilities — Microsoft Defender Vulnerability Management
• Metabase security advisory GHSA-vwf4-m7j8-wcjf — GitHub
• Cisco Security Advisories