สรุปสั้น

นักวิจัยด้านความปลอดภัยที่ใช้ชื่อ Chaotic Eclipse ซึ่งเป็นที่รู้จักในชื่ออื่นด้วยอย่าง INFINITE NIGHTMARE, MSNightmare และ Nightmare-Eclipse ได้เผยแพร่โค้ดสาธิตการโจมตีหรือ proof-of-concept ของช่องโหว่ zero-day ตัวใหม่ในผลิตภัณฑ์ของ Microsoft ที่เขาตั้งชื่อว่า ShieldBreak ช่องโหว่นี้อยู่ใน Microsoft Defender บน Windows และสาระสำคัญของมันไม่ใช่ช่องโหว่ใหม่ล้วน ๆ แต่คือการสาธิตว่าแพตช์ที่ Microsoft ออกไปแล้วนั้นข้ามได้

ช่องโหว่ที่ถูกอ้างว่าถูกข้ามคือ CVE-2026-50656 คะแนน CVSS 7.8 หรือที่รู้จักกันในชื่อ RoguePlanet ซึ่งเป็นช่องโหว่ประเภท race condition ที่หากโจมตีสำเร็จจะเปิดทางให้ผู้โจมตีเรียก shell ด้วยสิทธิ์ระดับ SYSTEM แล้วรันโค้ดหรือทำสิ่งที่ไม่ได้รับอนุญาตบนเครื่องได้ นักวิจัยคนเดียวกันนี้เป็นผู้เปิดเผย RoguePlanet ครั้งแรกเมื่อเดือนมิถุนายน 2569 แต่ Microsoft ใช้เวลาเกือบหนึ่งเดือนกว่าจะออกแพตช์ โดยจัดประเภทว่าเป็นการยกระดับสิทธิ์ในองค์ประกอบ Microsoft Malware Protection Engine หรือไฟล์ mpengine.dll

ShieldBreak ถูกประเมินว่าเป็นการข้ามแพตช์แบบเต็มรูปแบบ โดยนักวิจัยกล่าวตรง ๆ ว่า “Microsoft แก้ช่องโหว่ RoguePlanet ได้ไม่ถูกต้อง” และระบุว่าโค้ดสาธิตถูกทดสอบบน Windows 11 25H2 รวมถึงช่อง Canary และ Windows Server 2025 โดยมีอัตราความสำเร็จ 100% ส่วน Windows 10 และรุ่นเซิร์ฟเวอร์ที่เกี่ยวข้องนั้นโค้ดยังไม่รองรับ แต่เขายืนยันว่ามีช่องโหว่เช่นเดียวกัน ทั้งหมดนี้ยังเป็นคำกล่าวอ้างจากฝั่งนักวิจัยเพียงด้านเดียว เพราะ The Hacker News ระบุว่าได้ติดต่อ Microsoft ไปแล้วแต่ยังไม่ได้รับคำตอบ ณ เวลาที่รายงานเผยแพร่

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 12 สิงหาคม 2569 ว่า นักวิจัยที่ใช้ชื่อ Chaotic Eclipse ได้ปล่อยโค้ดสาธิตการโจมตีของช่องโหว่ zero-day ตัวใหม่ในผลิตภัณฑ์ของ Microsoft ที่ตั้งชื่อว่า ShieldBreak ซึ่งมีรากอยู่ใน Microsoft Defender สำหรับ Windows และสาธิตการข้ามแพตช์ของ CVE-2026-50656

เส้นทางของเรื่องนี้ยาวกว่าที่เห็น เว็บไซต์ Cloud Thunder เคยรายงานการเปิดเผย RoguePlanet ครั้งแรกไว้ในโพสต์ 2026/06/071 ซึ่งตอนนั้นถูกนับเป็นช่องโหว่ zero-day ตัวที่สี่ใน Microsoft Defender จากนักวิจัยรายเดิม ต่อมา Microsoft ยืนยันหมายเลข CVE-2026-50656 อย่างเป็นทางการตามที่รายงานไว้ในโพสต์ 2026/06/130 และออกแพตช์ในเวลาต่อมา

หลังแพตช์ออกไม่นาน Chaotic Eclipse ระบุว่ามาตรการที่ Microsoft เรียกว่า “defense-in-depth updates” ซึ่งใช้แก้ CVE-2026-50656 นั้นทำให้ Defender รั่วข้อมูลออกมา 8 ไบต์ในบางสถานการณ์ขณะพยายามเปิดไฟล์บน Windows 11 25H2 และ Windows Server 2025 ซึ่งตอนนั้น Microsoft ตอบ The Hacker News ว่ารับทราบรายงานและกำลังตรวจสอบอยู่ กระทั่งมาถึงรอบนี้ที่นักวิจัยยกระดับข้อค้นพบเป็นการข้ามแพตช์เต็มรูปแบบและปล่อยโค้ดสาธิตออกมา

นักวิจัยระบุเพิ่มเติมว่า “โค้ดสาธิตถูกทดสอบบน Windows 11 25h2 เวอร์ชันล่าสุด รวมถึงช่อง Canary และบน Windows Server 2025 โดยโค้ดสาธิตมีอัตราความสำเร็จ 100% ด้วย” พร้อมหมายเหตุว่า “โปรดทราบว่า Windows 10 และรุ่นเซิร์ฟเวอร์ที่เกี่ยวข้องยังไม่ได้รับการรองรับในตอนนี้ แต่ก็มีช่องโหว่ ShieldBreak เช่นกัน” ซึ่งหมายความว่าขอบเขตที่แท้จริงอาจกว้างกว่าที่โค้ดปัจจุบันสาธิตได้

ข่าวนี้ออกมาในจังหวะเดียวกับรอบแพตช์ประจำเดือนสิงหาคมของ Microsoft ที่ The Hacker News ระบุว่าปิดช่องโหว่ไป 421 รายการ ในจำนวนนี้เป็นช่องโหว่ใน Windows 236 รายการ ตัวเลขนี้ต่างจากที่ Cloud Thunder รายงานไว้ในโพสต์ 2026/08/070 ซึ่งอ้างการนับของ BleepingComputer ที่ 400 รายการ และต่างจาก Zero Day Initiative ที่นับได้ 398 CVE ความต่างนี้ไม่ใช่ความผิดพลาด แต่มาจากขอบเขตการนับที่ต่างกัน ทั้งเรื่องช่วงเวลาที่นับและผลิตภัณฑ์ที่รวมหรือไม่รวมเข้าไป ผู้อ่านจึงไม่ควรใช้ตัวเลขรวมเป็นเกณฑ์ตัดสินความรุนแรงของรอบแพตช์

รายละเอียดช่องโหว่

หนึ่งในแพตช์ของรอบเดือนสิงหาคมที่เกี่ยวโยงกับนักวิจัยรายนี้โดยตรงคือ CVE-2026-62832 คะแนน CVSS 7.8 ซึ่งเป็นช่องโหว่ยกระดับสิทธิ์ใน Windows User Profile Service ที่ Chaotic Eclipse เปิดเผยไว้เมื่อเดือนก่อนภายใต้ชื่อ LegacyHive ตามที่ Cloud Thunder รายงานไว้ในโพสต์ 2026/07/151 โดยคำอธิบายของ Microsoft ระบุว่า “การแก้ไขลิงก์อย่างไม่เหมาะสมก่อนเข้าถึงไฟล์ (link following) ใน Windows User Profile Service เปิดทางให้ผู้โจมตีที่ผ่านการยืนยันตัวตนยกระดับสิทธิ์บนเครื่องได้”

Microsoft อธิบายกลไกต่อว่า “ผู้โจมตีที่ผ่านการยืนยันตัวตนและมีข้อมูลยืนยันตัวตนของบัญชีท้องถิ่นอีกบัญชีหนึ่ง สามารถรันแอปพลิเคชันที่สร้างขึ้นเป็นพิเศษเพื่อโหลด registry hive ของผู้ใช้รายอื่น การโจมตีที่สำเร็จจะเปิดทางให้เข้าถึงหรือแก้ไขข้อมูลของผู้ใช้รายนั้นและได้สิทธิ์ผู้ดูแลระบบ โดยไม่จำเป็นต้องอาศัยการโต้ตอบจากผู้ใช้”

รอบเดียวกันนี้ Microsoft ยังแก้ช่องโหว่ zero-day ที่ถูกใช้โจมตีจริงใน Windows Ancillary Function Driver for WinSock หรือ CVE-2026-68820 คะแนน CVSS 7.0 ซึ่งให้สิทธิ์ระดับ SYSTEM และช่องโหว่ประเภท tampering ในไดรเวอร์ Windows Container Isolation FS Filter Driver หรือ unionfs.sys ที่ถูกเปิดเผยสู่สาธารณะก่อนมีแพตช์คือ CVE-2026-72971 คะแนน CVSS 5.5 โดย CISA ได้เพิ่ม CVE-2026-68820 เข้าแคตตาล็อก Known Exploited Vulnerabilities พร้อมกำหนดให้หน่วยงานรัฐบาลกลางติดตั้งการแก้ไขภายในวันที่ 25 สิงหาคม 2569

สิ่งที่ต้องแยกให้ชัดคือสถานะของ ShieldBreak เอง มันยังไม่มีหมายเลข CVE ยังไม่มีแพตช์ และยังไม่มีการยืนยันจากผู้ผลิต ข้อมูลทั้งหมดที่มีในตอนนี้มาจากฝั่งนักวิจัยเพียงด้านเดียว รวมถึงตัวเลขอัตราความสำเร็จ 100% และคำยืนยันว่า Windows 10 มีช่องโหว่ด้วย ซึ่งยังไม่มีบุคคลที่สามตรวจสอบซ้ำในรายงานฉบับนี้ อย่างไรก็ตาม ความไม่แน่นอนนี้ไม่ได้ลดความเร่งด่วนลง เพราะสิ่งที่ถูกปล่อยออกมาแล้วคือโค้ดสาธิตที่ใช้งานได้ ไม่ใช่แค่คำบรรยายทางเทคนิค หนึ่งวันหลังจากนั้นก็มีนักวิจัยอิสระออกมาแยกส่วนโค้ดสาธิตและตั้งข้อโต้แย้งกับข้ออ้างของ Chaotic Eclipse ตามที่เพิ่มไว้ในหัวข้อถัดไป

บทวิเคราะห์จากนักวิจัยอิสระ และข้อโต้แย้งว่าไม่ใช่การข้ามแพตช์ RoguePlanet

เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 13 สิงหาคม 2569 เพิ่มเติมว่า นักวิจัยรายนี้ซึ่งเว็บไซต์เรียกด้วยชื่อ Nightmare Eclipse ปล่อยโค้ดสาธิตออกมาตรงกับวัน Patch Tuesday ของเดือนสิงหาคม ซึ่งเป็นจังหวะที่เขาใช้เป็นประจำในการเปิดเผยช่องโหว่ zero-day ของผลิตภัณฑ์ Microsoft ตลอดหลายเดือนที่ผ่านมา และเป็นครั้งนี้ที่คำอธิบายทางเทคนิคจากบุคคลที่สามปรากฏขึ้นเป็นครั้งแรก

นาย Will Dormann จาก Tharros Labs วิเคราะห์การทำงานของ ShieldBreak ไว้เป็นลำดับขั้นว่า เริ่มจากการสร้างไดเรกทอรีชั่วคราวแล้วลงทะเบียนมันเป็นผู้ให้บริการ Cloud Sync จากนั้นวางไฟล์ EICAR ซึ่งเป็นไฟล์ทดสอบมาตรฐานที่โปรแกรมป้องกันไวรัสทุกตัวต้องตรวจจับ เพื่อบังคับให้ Defender เข้ามาสแกน แล้วควบคุมเส้นทางการสแกนของ Defender ให้ชี้ไปยังโฟลเดอร์ System32 ก่อนใช้กลไก Common Log File System ของ Windows สลับไฟล์อัตลักษณ์และข้อมูลไฮเดรชันให้กลายเป็นไฟล์ชื่อ phoneinfo.dll ใน System32 แล้วปิดท้ายด้วยการสั่งงาน scheduled task ชื่อ QueueReporting

หัวใจของกลไกอยู่ที่ไฟล์ปลายทางที่ถูกเลือก โดย Dormann อธิบายว่า “ในโค้ดของ wer.dll มีคำสั่งโหลด phoneinfo.dll ไว้อย่างชัดเจน ซึ่งเป็นไฟล์ที่ไม่มีอยู่ใน Windows โดยค่าเริ่มต้น และเนื่องจากถึงจุดนี้ phoneinfo.dll มีอยู่จริงแล้วและเป็นโค้ดของเราเอง มันจึงถูกรัน แล้วเรียก conhost.exe ขึ้นมาด้วยสิทธิ์ SYSTEM” กล่าวคือผู้โจมตีไม่ได้เจาะตัว Defender ตรง ๆ แต่ยืมสิทธิ์ของมันมาวางไฟล์ในตำแหน่งที่ระบบรายงานข้อผิดพลาดของ Windows จะไปหยิบมารันเองอยู่แล้ว

จุดที่สำคัญที่สุดของรายงานฉบับนี้คือทั้ง Dormann และนาย Kevin Beaumont ผู้เชี่ยวชาญด้านความปลอดภัยที่เผยแพร่คำสั่งค้นหาสำหรับตรวจจับโค้ดสาธิตชุดนี้ ต่างไม่เห็นด้วยกับข้ออ้างของ Nightmare Eclipse ที่ว่า ShieldBreak คือการข้ามแพตช์ของ RoguePlanet โดยให้เหตุผลว่ากลไกของทั้งสองต่างกัน Beaumont ระบุว่า “RoguePlanet เป็นช่องโหว่ race condition ในระบบไฟล์ที่ใช้ virtual disk และการจัดการไฟล์ระดับ NT native เพื่อหลอกกระบวนการกักกันให้เขียนทับไฟล์ระบบ ส่วน ShieldBreak ใช้ hook แบบ user-mode callback เพื่อเปลี่ยนเนื้อหาไฟล์ระหว่างที่ Defender สแกนแบบ cloud hydration ผ่าน cfapi หรือ Cloud Filter API”

Dormann ยังชี้ความต่างอีกข้อว่า “ShieldBreak ดูเหมือนจะต้องให้ Defender ทำงานอยู่จึงจะใช้ได้” ขณะที่ RoguePlanet ไม่มีเงื่อนไขนั้น ความต่างข้อนี้มีผลในทางปฏิบัติสองทาง ทางหนึ่งคือเครื่องที่ปิด Defender หรือใช้โปรแกรมป้องกันของผู้ผลิตรายอื่นเป็นตัวหลักอาจไม่อยู่ในขอบเขต แต่อีกทางหนึ่งคือสำหรับองค์กรส่วนใหญ่ที่ใช้ Defender เป็นค่าเริ่มต้น เงื่อนไขนี้แทบไม่ได้ลดความเสี่ยงลงเลย

สำหรับผู้อ่านที่ต้องตัดสินใจเชิงปฏิบัติ ข้อโต้แย้งนี้เปลี่ยนสองอย่าง อย่างแรกคือคำอธิบายว่า “แพตช์ของ Microsoft ไม่สมบูรณ์” อาจไม่ตรงกับข้อเท็จจริง เพราะถ้ากลไกต่างกันจริง ShieldBreak ก็คือช่องโหว่คนละตัวที่ต้องการแพตช์ของตัวเอง ไม่ใช่แพตช์เดิมที่แก้ไม่หมด อย่างที่สองคือการรอให้ Microsoft ออกแพตช์เสริมของ CVE-2026-50656 จึงไม่ใช่แผนรับมือที่ใช้ได้ องค์กรควรใช้คำสั่งค้นหาสำหรับตรวจจับที่ Beaumont เผยแพร่ไว้เป็นมาตรการชั่วคราวแทน

ผลกระทบ

กลุ่มที่รับความเสี่ยงตรงที่สุดคือองค์กรที่ใช้ Windows 11 25H2 และ Windows Server 2025 ซึ่งเป็นสองแพลตฟอร์มที่นักวิจัยระบุว่าโค้ดสาธิตทำงานได้แน่นอน ลักษณะของช่องโหว่เป็นการยกระดับสิทธิ์ ไม่ใช่ช่องทางเข้าระบบจากภายนอก ผู้โจมตีจึงต้องรันโค้ดบนเครื่องได้ก่อนอยู่แล้ว แต่ในสายการโจมตีจริงนี่คือขั้นตอนที่ขาดไม่ได้ เพราะการเปลี่ยนสิทธิ์ผู้ใช้ธรรมดาให้เป็น SYSTEM คือจุดที่ทำให้ผู้โจมตีปิดเครื่องมือป้องกัน ดึงข้อมูลยืนยันตัวตน และขยับต่อไปยังเครื่องอื่นได้

สิ่งที่ทำให้กรณีนี้ต่างจากช่องโหว่ทั่วไปคือมันอยู่ในตัวซอฟต์แวร์ป้องกันเอง Microsoft Defender ทำงานด้วยสิทธิ์สูงและอยู่บนเครื่อง Windows แทบทุกเครื่องโดยเป็นค่าเริ่มต้น การมีช่องทางยกระดับสิทธิ์ในองค์ประกอบนี้จึงเท่ากับมีทางลัดที่ใช้ได้กว้างมากโดยไม่ต้องพึ่งซอฟต์แวร์ของบุคคลที่สาม และการที่ผู้โจมตีจะกลับมาใช้ช่องทางเดิมหลังแพตช์ออกแล้ว ยังเป็นการอาศัยความมั่นใจของผู้ดูแลระบบที่คิดว่าเรื่องนี้จบไปแล้ว

ประเด็นที่ควรบันทึกไว้ในเชิงกระบวนการคือ นี่เป็นครั้งที่สองในระยะไม่กี่เดือนที่นักวิจัยรายเดียวกันพบว่าการแก้ไขของ Microsoft ไม่ครอบคลุมต้นเหตุ ครั้งแรกคือรายงานการรั่วข้อมูล 8 ไบต์ที่เกิดจากมาตรการเสริมความปลอดภัยเอง และครั้งนี้คือการข้ามแพตช์เต็มรูปแบบ ซึ่งชี้ว่าการปิดช่องโหว่ประเภท race condition ด้วยการเพิ่มชั้นป้องกันรอบนอกแทนการแก้ตรรกะที่รากของปัญหา มักเหลือช่องให้กลับมาเจาะซ้ำได้ องค์กรที่วางแผนความเสี่ยงจากสมมติฐานว่า “แพตช์แล้วเท่ากับปลอดภัย” จึงควรเผื่อกรณีแพตช์ไม่สมบูรณ์ไว้ด้วยเสมอ

คำแนะนำ

  • ติดตั้งแพตช์รอบเดือนสิงหาคม 2569 ให้ครบ โดยจัดลำดับ CVE-2026-68820 เป็นอันดับแรกเพราะมีรายงานว่าถูกใช้โจมตีจริงและอยู่ใน KEV แล้ว ตามด้วย CVE-2026-62832 และ CVE-2026-72971 ที่ถูกเปิดเผยสู่สาธารณะก่อนมีแพตช์
  • อย่าถือว่า CVE-2026-50656 เป็นเรื่องที่จบแล้ว ให้ติดตามประกาศของ Microsoft ว่าจะยืนยันหรือปฏิเสธข้ออ้างเรื่อง ShieldBreak อย่างไร และเตรียมช่องทางติดตั้งแพตช์นอกรอบไว้ล่วงหน้า
  • เฝ้าระวังพฤติกรรมที่บ่งชี้การยกระดับสิทธิ์บนเครื่อง เช่น กระบวนการลูกที่รันด้วยสิทธิ์ SYSTEM จากกระบวนการของผู้ใช้ทั่วไป หรือความผิดปกติของกระบวนการที่เกี่ยวข้องกับ Malware Protection Engine
  • จำกัดสิทธิ์ผู้ใช้บนเครื่องปลายทางให้แคบที่สุด เนื่องจากช่องโหว่ประเภทนี้ต้องอาศัยการรันโค้ดบนเครื่องเป็นเงื่อนไขตั้งต้น การลดโอกาสที่โค้ดแปลกปลอมจะได้รันจึงยังเป็นชั้นป้องกันที่ใช้ได้ผล
  • อย่าพึ่ง Microsoft Defender เป็นชั้นป้องกันเดียว ควรมีการเก็บล็อกและการตรวจจับที่เป็นอิสระจากตัวมันเอง เพราะเมื่อช่องโหว่อยู่ในตัวซอฟต์แวร์ป้องกัน สัญญาณเตือนจากซอฟต์แวร์เดียวกันย่อมเชื่อถือได้น้อยลง
  • ให้ความสำคัญกับเครื่องที่รัน Windows 11 25H2 และ Windows Server 2025 เป็นพิเศษ เนื่องจากเป็นเวอร์ชันที่โค้ดสาธิตยืนยันว่าทำงานได้
  • นำคำสั่งค้นหาสำหรับตรวจจับ ShieldBreak ที่ Kevin Beaumont เผยแพร่ไว้ไปใช้เป็นมาตรการชั่วคราว เนื่องจากยังไม่มีแพตช์และการรอแพตช์เสริมของ CVE-2026-50656 อาจไม่ตรงประเด็นหากทั้งสองเป็นช่องโหว่คนละตัว
  • เฝ้าระวังการปรากฏของไฟล์ phoneinfo.dll ในโฟลเดอร์ System32 ซึ่งเป็นไฟล์ที่ไม่มีอยู่ใน Windows โดยค่าเริ่มต้น รวมถึงการที่ scheduled task ชื่อ QueueReporting เรียก conhost.exe ขึ้นมาด้วยสิทธิ์ SYSTEM
  • ตรวจสอบการลงทะเบียนผู้ให้บริการ Cloud Sync ที่ผิดปกติจากกระบวนการของผู้ใช้ทั่วไป เพราะเป็นขั้นตอนตั้งต้นที่ ShieldBreak ใช้ดึง Defender เข้ามาทำงานให้

แหล่งอ้างอิง