Microsoft ทุบสถิติ Patch Tuesday แก้ 974 ช่องโหว่ในรอบเดียว — รวม zero-day วินโดวส์ 2 ตัวที่ถูกใช้โจมตีจริงแล้ว

สรุปสั้น

Microsoft ทำลายสถิติ Patch Tuesday เมื่อวันอังคารที่ 8 กันยายน พ.ศ. 2569 ด้วยการแก้ช่องโหว่จำนวนมหาศาลถึง 974 รายการทั่วพอร์ตโฟลิโอซอฟต์แวร์ของตน ซึ่งรวมถึงช่องโหว่ 2 รายการที่บริษัทระบุว่าถูกใช้โจมตีจริงแล้ว จำนวนดังกล่าวประกอบด้วยช่องโหว่ในวินโดวส์ 723 รายการ ใน Office และ Office 2016 อีก 111 รายการ ใน SQL 62 รายการ และในเครื่องมือสำหรับนักพัฒนาอีก 22 รายการ โดยในจำนวนทั้งหมดมีมากกว่า 110 รายการที่ถูกจัดระดับความรุนแรงเป็นร้ายแรง

ช่องโหว่สามประเภทหลักคือการยกระดับสิทธิ์ การรันโค้ดระยะไกล และการเปิดเผยข้อมูล คิดรวมกันเป็นเกือบ 90% ของช่องโหว่ที่แก้ในเดือนนี้ และเมื่อรวมกับการแก้ CVE ที่ไม่ใช่ของ Microsoft อีก 25 รายการ ยอดรวมช่องโหว่ที่ได้รับการแก้ไขในรอบนี้จะอยู่ที่ 999 รายการ ตัวเลขนี้เพิ่มขึ้นอย่างก้าวกระโดดเมื่อเทียบกับรอบก่อน ๆ ที่ Microsoft แก้ไป 457 รายการในเดือนสิงหาคม 663 รายการในเดือนกรกฎาคม 220 รายการในเดือนมิถุนายน และ 161 รายการในเดือนพฤษภาคม

ช่องโหว่ที่ถูกใช้โจมตีจริงทั้งสองตัวเป็นการยกระดับสิทธิ์ในเครื่องจนได้สิทธิ์ SYSTEM เหมือนกัน และได้คะแนน CVSS 7.8 เท่ากัน ซึ่งการที่ CISA เพิ่มทั้งคู่เข้าแคตตาล็อกช่องโหว่ที่ถูกใช้โจมตีจริงหรือ KEV พร้อมกำหนดให้หน่วยงานฝ่ายบริหารพลเรือนของรัฐบาลกลางสหรัฐติดตั้งตัวแก้ไขภายในวันที่ 22 กันยายน พ.ศ. 2569 เป็นสัญญาณว่าสองรายการนี้คือสิ่งที่ต้องทำก่อน ไม่ใช่ตัวเลข 974

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 9 กันยายน พ.ศ. 2569 ว่า Microsoft ทำลายสถิติ Patch Tuesday ในวันอังคารด้วยการจัดการช่องโหว่จำนวน 974 รายการ ซึ่งรวมถึงช่องโหว่สองรายการที่บริษัทระบุว่าอยู่ระหว่างถูกใช้โจมตีจริง

นาย Jack Bicer ผู้อำนวยการฝ่ายวิจัยช่องโหว่ของบริษัท Action1 ระบุว่าในระดับขนาดเช่นนี้ ความท้าทายไม่ใช่แค่การไล่แพตช์ให้ครบรายการ แต่คือการรู้ว่าอะไรต้องได้รับความสนใจก่อน เพราะเมื่อมีอัปเดตหลายร้อยรายการลงมาพร้อมกัน ทีมไอทีและทีมความปลอดภัยจำเป็นต้องแยกให้ออกอย่างรวดเร็วว่าช่องโหว่ตัวไหนต้องลงมือทันที และตัวไหนรอตามรอบการติดตั้งปกติได้

Microsoft ระบุว่าตรวจพบความพยายามโจมตีแบบ zero-day ที่พุ่งเป้าไปยังช่องโหว่ทั้งสองตัว แต่ไม่ได้เปิดเผยรายละเอียดใด ๆ ว่าใครอยู่เบื้องหลัง ขนาดของความพยายามเหล่านั้นเป็นอย่างไร และการโจมตีดังกล่าวเจาะเหยื่อรายใดได้สำเร็จหรือไม่ ส่วนเครดิตการรายงานนั้น บริษัท Volexity และ Proofpoint ได้รับการยอมรับสำหรับ CVE-2026-85880 ขณะที่ นาย Romain Deperne นักวิจัยด้านความปลอดภัยเชิงรุกจาก Airbus Helicopters และศูนย์ข่าวกรองภัยคุกคามของ Microsoft หรือ MSTIC ได้รับเครดิตสำหรับบั๊กตัวที่สอง

ข้อมูลจากแพลตฟอร์มบริหารความเสี่ยงและประเมินช่องโหว่ Tenable ระบุว่ามีช่องโหว่ยกระดับสิทธิ์ใน Windows Update Stack มาแล้ว 7 รายการนับตั้งแต่ปี พ.ศ. 2565 แต่ CVE-2026-81963 เป็นทั้ง zero-day ตัวแรกและเป็นตัวแรกที่ถูกใช้โจมตีจริงในส่วนประกอบนี้ ส่วน CVE-2026-85880 เป็นช่องโหว่ ALPC ตัวที่สองที่ถูกทำให้เป็นอาวุธในรูป zero-day นับตั้งแต่ CVE-2023-21674 ซึ่งถูกแก้ไปเมื่อเดือนมกราคม พ.ศ. 2566

จุดที่ควรบันทึกไว้คือตัวเลขในรายงานฉบับนี้ไม่ตรงกันเสียทีเดียว พาดหัวและเนื้อข่าวระบุจำนวนที่ 974 รายการ ขณะที่คำให้สัมภาษณ์ของ นาย Satnam Narang วิศวกรวิจัยอาวุโสของ Tenable ระบุตัวเลขไว้ที่ 964 รายการ และระบุว่ารอบนี้เพิ่มขึ้นเกือบ 70% จากสถิติเดิมที่ 569 รายการในเดือนกรกฎาคม ซึ่งขัดกับตัวเลข 663 รายการของเดือนกรกฎาคมที่ปรากฏในเนื้อข่าวเดียวกัน ผู้อ่านจึงควรถือตัวเลขเหล่านี้เป็นภาพคร่าว ๆ ของขนาดปัญหา ไม่ใช่ตัวเลขที่ยืนยันตรงกันทุกแหล่ง

ตามข้อมูลของ Zero Day Initiative หรือ ZDI ในเครือ TrendAI Microsoft ได้แก้ช่องโหว่ด้านความปลอดภัยไปแล้วรวม 2,760 รายการเฉพาะในปีนี้ ซึ่งบ่งชี้ว่าการค้นพบช่องโหว่โดยมีปัญญาประดิษฐ์ช่วยนั้นไม่มีทีท่าว่าจะชะลอตัวลงในเร็ววัน ขณะที่ นาย Narang ระบุว่ายอดรวมของปีนี้ทะลุ 2,600 รายการไปแล้ว ซึ่งมากกว่าสองเท่าของปีที่เคยทำสถิติไว้อย่างปี พ.ศ. 2563 ที่ 1,245 รายการ ทั้งที่ยังเหลือเวลาอีกสามเดือน

รายละเอียดช่องโหว่

ช่องโหว่ตัวแรกที่ถูกใช้โจมตีจริงคือ CVE-2026-85880 คะแนน CVSS 7.8 เป็นช่องโหว่ heap-based buffer overflow ใน Windows Advanced Local Procedure Call หรือ ALPC ที่เปิดทางให้ผู้โจมตีซึ่งมีสิทธิ์อยู่แล้วยกระดับสิทธิ์ในเครื่องจนได้สิทธิ์ SYSTEM Microsoft ระบุในประกาศว่าผู้โจมตีที่สามารถรันโค้ดใน AppContainer ที่มีสิทธิ์ต่ำสามารถใช้ช่องโหว่นี้ในเครื่องเพื่อหลุดออกจากแซนด์บ็อกซ์และยกระดับสิทธิ์บนระบบที่ได้รับผลกระทบได้ โดยไม่ต้องอาศัยการโต้ตอบใด ๆ จากผู้ใช้เพิ่มเติม

ช่องโหว่ตัวที่สองคือ CVE-2026-81963 คะแนน CVSS 7.8 เช่นกัน เป็นช่องโหว่การแก้ไขลิงก์ที่ไม่เหมาะสมใน Windows Update Stack ที่เปิดทางให้ผู้โจมตีซึ่งมีสิทธิ์อยู่แล้วยกระดับสิทธิ์ในเครื่องจนได้สิทธิ์ SYSTEM นาย Adam Barnett วิศวกรซอฟต์แวร์หลักของบริษัท Rapid7 ระบุว่าวินโดวส์ทุกเวอร์ชันที่ยังได้รับการสนับสนุนได้รับแพตช์สำหรับช่องโหว่นี้ ซึ่งเป็นการเคลื่อนไหวที่ “น่าจะเป็นการรัดกุมการควบคุมเพื่อป้องกันไม่ให้ Windows Update Stack เดินตามลิงก์ที่เป็นอันตรายแล้วเขียนทับส่วนประกอบของระบบด้วยของปลอมที่ผู้โจมตีควบคุม”

สิ่งที่ทั้งสองรายการมีร่วมกันคือเป็นช่องโหว่ที่ต้องมีสิทธิ์ในเครื่องอยู่ก่อนแล้ว ไม่ใช่ช่องโหว่ที่ใช้เจาะเข้ามาจากภายนอกได้เอง ในทางปฏิบัติจึงเป็นชิ้นส่วนขั้นที่สองของห่วงโซ่การโจมตี คือใช้ต่อยอดจากการยึดหัวหาดที่ได้มาด้วยวิธีอื่น แล้วยกระดับไปเป็นสิทธิ์สูงสุดของเครื่อง ซึ่งสอดคล้องกับรูปแบบที่พบบ่อยในการโจมตีแรนซัมแวร์และการเจาะระบบแบบมีเป้าหมาย

นอกจากสองตัวที่ถูกใช้โจมตีจริงแล้ว ยังมีช่องโหว่อื่นที่น่าสนใจในรอบนี้ตามตารางด้านล่าง

ผลกระทบ

ผู้ที่ได้รับผลกระทบคือแทบทุกองค์กรที่ใช้ผลิตภัณฑ์ของ Microsoft แต่ระดับความเร่งด่วนไม่ได้เท่ากันทั้งหมด ช่องโหว่ที่ต้องลงมือทันทีคือสองตัวที่ถูกใช้โจมตีจริงและอยู่ใน KEV แล้ว ตามด้วยกลุ่มคะแนน 9.8 ที่เป็นบริการซึ่งมักเปิดรับการเชื่อมต่อจากเครือข่าย เช่น Remote Desktop Services, DNS server และ DHCP Server ซึ่งหากเปิดสู่อินเทอร์เน็ตหรือเปิดกว้างในเครือข่ายภายในก็จะกลายเป็นเป้าที่ถูกสแกนหาได้ทันทีเมื่อมีโค้ดโจมตีสาธารณะออกมา

แม้จำนวนแพตช์จะมหาศาล แต่จำนวนช่องโหว่ที่คาดว่าจะกระทบองค์กรส่วนใหญ่จริง ๆ ยังคงต่ำ และยังไม่มีการพุ่งขึ้นของการโจมตีจริงที่สอดคล้องกับจำนวนแพตช์ นาย Narang จึงเสริมว่าสิ่งสำคัญคือองค์กรต้องเข้าใจว่าช่องโหว่ตัวไหนเกี่ยวข้องกับตนจริง ตัวไหนเป็นภัยคุกคามเพราะเข้าถึงและโจมตีได้ผ่านอินเทอร์เน็ต แล้วจัดลำดับการแก้ไขตามบริบทความเสี่ยงนั้น

ในมุมที่กว้างกว่า นาย Tyler Reguly ผู้อำนวยการร่วมฝ่ายวิจัยและพัฒนาด้านความปลอดภัยของบริษัท Fortra มองว่าตราบใดที่ Microsoft ยังตามแก้ช่องโหว่ที่ค้างอยู่ ตัวเลขก็แทบไม่มีความหมายอีกต่อไป และนี่ไม่ใช่ปัญหาเฉพาะของ Microsoft เพราะเห็นแบบเดียวกันกับ Oracle และผู้ผลิตรายใหญ่อื่นที่ทำงานเชิงรุก เขาเสนอให้มองว่าจำนวน CVE ที่สูงเป็นเรื่องดี เพราะเป็นการลดพื้นที่โจมตีก่อนที่ผู้โจมตีจะมีโอกาสค้นพบและนำไปใช้ และในที่สุดเมื่อช่องโหว่ที่ค้างมานานและหายากถูกแก้จนหมด Patch Tuesday ก็จะกลับสู่จังหวะปกติ

สำหรับทีมปฏิบัติการ ผลกระทบที่จับต้องได้ที่สุดของรอบนี้คือภาระการทดสอบและการติดตั้ง ซึ่งเป็นจุดที่การจัดลำดับความสำคัญกลายเป็นทักษะที่สำคัญกว่าการไล่แพตช์ให้ครบ องค์กรที่ยังใช้หน้าต่างการติดตั้งแบบเดือนละครั้งโดยไม่มีเส้นทางเร่งด่วนแยกต่างหาก จะพบว่าช่องโหว่ที่ถูกโจมตีจริงติดอยู่ในคิวเดียวกับแพตช์อีกเก้าร้อยกว่ารายการ

คำแนะนำ

ลำดับแรกคือติดตั้งแพตช์สำหรับ CVE-2026-85880 และ CVE-2026-81963 ให้เสร็จภายในกรอบเวลาเดียวกับที่ CISA กำหนดไว้คือวันที่ 22 กันยายน พ.ศ. 2569 แม้องค์กรจะไม่ได้อยู่ภายใต้คำสั่งนั้นก็ตาม เพราะทั้งสองตัวถูกใช้โจมตีจริงแล้วและเป็นช่องโหว่ยกระดับสิทธิ์ที่ผู้โจมตีนำไปต่อยอดได้ทันทีเมื่อยึดหัวหาดในเครื่องได้

ลำดับถัดมาคือจัดการกลุ่มคะแนน 9.8 ที่เป็นบริการเครือข่าย โดยเริ่มจากการตรวจสอบก่อนว่าองค์กรเปิดใช้บริการเหล่านั้นจริงหรือไม่ และเปิดรับการเชื่อมต่อจากที่ใดบ้าง เช่น Remote Desktop Services ที่เปิดสู่อินเทอร์เน็ตโดยไม่มีชั้นกรอง บริการ NFS ที่เปิดไว้ตั้งแต่อดีตและไม่มีใครใช้แล้ว หรือ DNS และ DHCP เซิร์ฟเวอร์ที่เข้าถึงได้จากทุกเซกเมนต์ บริการที่ไม่ได้ใช้ควรปิดทิ้งไปเลย ซึ่งลดความเสี่ยงได้ทันทีโดยไม่ต้องรอหน้าต่างการติดตั้ง

สำหรับองค์กรที่ยังรัน Exchange Server แบบติดตั้งเองและ SharePoint แบบติดตั้งเอง ควรยกสองรายการคือ CVE-2026-55007 และ CVE-2026-69465 ขึ้นมาอยู่ในลำดับต้นด้วย เนื่องจากทั้งคู่เป็นการรันโค้ดผ่านเครือข่ายบนระบบที่โดยธรรมชาติเปิดให้เข้าถึงจากภายนอกและเก็บข้อมูลที่มีมูลค่าสูง อีกรายการที่ไม่ควรมองข้ามคือ CVE-2026-80097 ใน Microsoft Authenticator เพราะกระทบกลไกยืนยันตัวตนโดยตรง

สุดท้าย ควรใช้โอกาสนี้ทบทวนกระบวนการแพตช์ขององค์กรเอง โดยแยกเส้นทางเร่งด่วนสำหรับช่องโหว่ที่อยู่ใน KEV ออกจากรอบการติดตั้งประจำเดือนอย่างชัดเจน และกำหนดเกณฑ์การจัดลำดับที่อิงบริบทจริงขององค์กร ได้แก่ ผลิตภัณฑ์ที่ใช้จริง การเข้าถึงได้จากอินเทอร์เน็ต และการมีโค้ดโจมตีสาธารณะ แทนการเรียงตามคะแนน CVSS อย่างเดียว เพราะในรอบที่มีแพตช์เกือบพันรายการ การเรียงตามคะแนนล้วนจะทำให้ทีมหมดแรงก่อนถึงรายการที่สำคัญจริง

แหล่งอ้างอิง

• Microsoft Patches Record 974 Flaws, Including Two Exploited Windows Zero-Days — The Hacker News
• September 2026 Security Updates — Microsoft MSRC
• CISA Adds Four Known Exploited Vulnerabilities to Catalog
• The September 2026 Security Update Review — Zero Day Initiative