สรุปสั้น

ต่อเนื่องจาก Patch Tuesday ที่ทุบสถิติเมื่อสัปดาห์ที่ผ่านมา นักวิจัยด้านความปลอดภัยที่ไม่พอใจ Microsoft ซึ่งใช้ชื่อว่า Nightmare-Eclipse ก็ปล่อยโค้ดสาธิตช่องโหว่ 0-day ของวินโดวส์ออกมาอีกตัว โดยช่องโหว่นี้เปิดทางให้ยกระดับสิทธิ์และข้ามการแก้ไขของช่องโหว่วินโดวส์ตัวก่อนหน้าที่ปล่อยออกมาเมื่อเดือนที่แล้ว ชุดโค้ดสาธิตตัวล่าสุดจากนักวิจัยรายนี้ซึ่งยังใช้ชื่ออื่นอีกทั้ง Chaotic Eclipse, MSNightmare และบัญชี X ที่ชื่อ Infinite Nightmare มีชื่อว่า ShieldCrash และถูกอ้างว่าเป็นการข้ามแพตช์ของ CVE-2026-69414 หรือที่รู้จักในชื่อ ShieldBreak ซึ่งเป็นช่องโหว่ยกระดับสิทธิ์ในเอนจินป้องกันมัลแวร์ของ Microsoft ใน Windows Defender

นักวิจัยเผยแพร่ ShieldBreak ไปเมื่อ Patch Tuesday ของเดือนสิงหาคม ซึ่งเป็นหนึ่งในชุดโค้ดสาธิตช่องโหว่วินโดวส์ที่เขาปล่อยออกมาทุกเดือนตั้งแต่เดือนเมษายน โดย Microsoft ได้ออกแพตช์ปิดช่องโหว่ดังกล่าวไปแล้ว แต่นักวิจัยอ้างว่าการแก้ไขทำไม่ถูกต้อง โค้ดสาธิตที่ปล่อยบน GitHub ระบุว่า “สาธิตการอ่านไฟล์ตามอำเภอใจด้วยสิทธิ์ SYSTEM กับอัปเดตเดือนกันยายน 2569” และกระทบวินโดวส์ทุกเวอร์ชันที่ยังได้รับการสนับสนุน ทั้งนี้ Dark Reading ระบุว่าได้ติดต่อ Microsoft เพื่อขอความเห็นแล้วแต่ยังไม่ได้รับคำตอบจนถึงเวลาที่เผยแพร่ข่าว

รายละเอียดข่าว

เว็บไซต์ Dark Reading รายงานเมื่อวันที่ 10 กันยายน 2569 ว่า หลังจาก Patch Tuesday ที่ทำสถิติสูงสุดผ่านพ้นไป นักวิจัยด้านความปลอดภัยที่ใช้ชื่อ Nightmare-Eclipse ก็ปล่อยโค้ดสาธิตช่องโหว่ 0-day ของวินโดวส์ออกมาอีกตัวหนึ่ง ซึ่งเปิดทางให้ยกระดับสิทธิ์และข้ามการแก้ไขของช่องโหว่ตัวก่อนหน้าที่ปล่อยเมื่อเดือนที่แล้วได้ โดยชุดโค้ดล่าสุดนี้ชื่อ ShieldCrash และนักวิจัยอ้างว่าเป็นการข้ามแพตช์ของ CVE-2026-69414 หรือ ShieldBreak ซึ่งเป็นช่องโหว่ยกระดับสิทธิ์ในเอนจินป้องกันมัลแวร์ของ Microsoft ที่อยู่ใน Windows Defender

นักวิจัยรายนี้เผยแพร่ ShieldBreak ไปเมื่อ Patch Tuesday ของเดือนสิงหาคม 2569 ซึ่งเป็นหนึ่งในชุดโค้ดสาธิตช่องโหว่วินโดวส์ที่เขาปล่อยออกมาเป็นรายเดือนตั้งแต่เดือนเมษายน โดยแม้ Microsoft จะออกแพตช์ปิดช่องโหว่นั้นไปแล้ว แต่นักวิจัยยืนยันว่าการแก้ไขทำได้ไม่ถูกต้อง เขาเขียนไว้ในไฟล์ README ของโพสต์ ShieldCrash บน GitHub ที่มีรายละเอียดยาวว่า “ภายใต้เงื่อนไขเฉพาะบางอย่าง ยังคงเป็นไปได้ที่จะกระตุ้นให้เกิดปัญหาเดียวกันเป๊ะกับที่ ShieldBreak ก่อขึ้น แม้ Microsoft จะแก้หลายจุดเพื่อป้องกันการใช้ประโยชน์ซ้ำ แต่พวกเขาพลาดจุดหนึ่งที่ ShieldBreak ยังใช้ประโยชน์ได้อยู่”

คำอธิบายของโค้ดสาธิตบน GitHub ระบุว่าชุดโค้ดนี้ “สาธิตการอ่านไฟล์ตามอำเภอใจด้วยสิทธิ์ SYSTEM กับอัปเดตเดือนกันยายน 2569” และกระทบวินโดวส์ทุกเวอร์ชันที่ยังได้รับการสนับสนุน ขณะที่ Dark Reading ระบุว่าได้ติดต่อไปยัง Microsoft เพื่อขอความเห็นต่อโค้ดสาธิต ShieldBreak และความถูกต้องของข้อกล่าวอ้าง แต่บริษัทไม่ได้ตอบกลับจนถึงเวลาที่ข่าวถูกเผยแพร่

สำหรับผู้อ่านที่ติดตามเรื่องนี้มาตลอด นักวิจัยรายเดียวกันนี้เคยเป็นข่าวมาแล้วหลายรอบ เว็บไซต์นี้เคยรายงานการเผยแพร่ ShieldBreak และการยืนยันรหัส CVE ไว้ในโพสต์ 2026/08/075 และ 2026/08/102 รวมถึงรายงานการปล่อยชุดโค้ดสาธิต FalconFlank ที่กระทบ CrowdStrike Falcon พร้อมกับ PoC ของ Kaspersky, Microsoft Defender, NVIDIA และ Avast ไว้ในโพสต์ 2026/09/020 ส่วน Patch Tuesday เดือนกันยายนที่ ShieldCrash ถูกปล่อยตามหลังนั้น เว็บไซต์นี้รายงานไว้ในโพสต์ 2026/09/069

วิธีการโจมตีและข้อโต้แย้งเรื่องขีดความสามารถ

ประเด็นทางเทคนิคที่ถูกหยิบมาถกกันมากที่สุดคือ ShieldCrash ทำอะไรได้จริงแค่ไหน โดยนาย Ensar Seker ประธานเจ้าหน้าที่ความมั่นคงสารสนเทศของบริษัท SOCRadar ซึ่งเป็นบริษัทข่าวกรองภัยคุกคามด้านความมั่นคงไซเบอร์ ระบุหลังตรวจสอบโค้ดสาธิตล่าสุดว่า “มันยังไม่ได้ให้ผู้โจมตีได้เชลล์สิทธิ์ SYSTEM แบบเต็มรูปแบบหรือความสามารถในการเขียนไฟล์ตามอำเภอใจ” แต่ยอมรับว่ามันเปิดทางให้ฝ่ายตรงข้ามอ่านไฟล์ใดก็ได้ภายใต้บริบทความปลอดภัยของ SYSTEM บนระบบวินโดวส์ที่แพตช์ครบแล้ว

ฝั่งนักวิจัยตอบโต้การประเมินนี้ทันที โดยเขียนบน X เมื่อวันพุธว่าโค้ดสาธิตนี้ “เป็นการยกระดับสิทธิ์แบบเต็มรูปแบบ ไม่ใช่แค่การอ่านไฟล์ตามอำเภอใจ” พร้อมเสริมว่า “ผมอยากรู้ว่าจะมีใครทำโค้ดโจมตีแบบสมบูรณ์ออกมาจากตัวนี้ได้ก่อนผมหรือเปล่า” ซึ่งหมายความว่าถึงเวลานี้ระดับความสามารถที่แท้จริงของ ShieldCrash ยังเป็นข้อถกเถียงระหว่างผู้ปล่อยโค้ดกับผู้วิเคราะห์ภายนอก และยังไม่มีคำยืนยันจากผู้ผลิตมาตัดสิน

แม้จะถือตามการประเมินที่อนุรักษนิยมที่สุดว่าทำได้เพียงการอ่านไฟล์ นาย Ensar Seker ก็ยังชี้ว่ามันเป็นภัยคุกคามอยู่ดี “นั่นอาจเปิดเผยไฟล์ที่อ่อนไหวอย่างยิ่งซึ่งผู้ใช้ธรรมดาเข้าถึงไม่ได้ รวมถึงข้อมูลการตั้งค่า ข้อมูลยืนยันตัวตน หรือความลับอื่น ๆ” โดยการเปิดเผยไฟล์ที่มีสิทธิ์พิเศษเช่นนี้ “สามารถกลายเป็นองค์ประกอบสำคัญของห่วงโซ่การโจมตีที่ใหญ่กว่าได้” ซึ่งเป็นมุมมองที่ตรงกับรูปแบบการโจมตีจริงที่มักเริ่มจากการได้ข้อมูลยืนยันตัวตนมาก่อนแล้วจึงต่อยอด

อีกจุดที่นาย Ensar Seker ตั้งข้อสังเกตคือรูปแบบที่เกิดซ้ำของการแก้ไขฝั่งผู้ผลิต “เมื่อนักวิจัยสามารถข้ามการแก้ไขที่ต่อเนื่องกันของทั้ง RoguePlanet และ ShieldBreak ได้ มันบ่งชี้ว่าขอบเขตความปลอดภัยหรือพื้นผิวการโจมตีที่อยู่เบื้องล่างอาจต้องการการออกแบบใหม่ที่ครอบคลุมกว่าเดิม แทนที่จะเป็นแพตช์แบบเจาะจงแคบ ๆ อีกตัวหนึ่ง” โดย ShieldBreak เองก็เคยเป็นการข้ามแพตช์ที่ Microsoft ออกมาปิด RoguePlanet ซึ่งเป็นบั๊กแบบ race condition ที่ถูกปล่อยใน Patch Tuesday เดือนมิถุนายน 2569 มาก่อน

ข้อพิพาทที่ยังไม่จบกับ Microsoft

นักวิจัยรายนี้ยังไม่มีทีท่าว่าจะเลิกราการต่อสู้กับ Microsoft ซึ่งเริ่มต้นเมื่อเดือนเมษายนด้วยการปล่อยโค้ดสาธิตช่องโหว่ 0-day ชื่อ BlueHammer และมีจุดเริ่มจากความขัดแย้งเรื่องการรายงานบั๊กไปยังบริษัทซอฟต์แวร์ยักษ์ใหญ่รายนี้ โดยมีช่วงหนึ่งที่ Microsoft ดูเหมือนจะขู่ดำเนินการทางกฎหมายกับนักวิจัย ซึ่งเป็นท่าทีที่ถูกชุมชนความมั่นคงไซเบอร์มองด้วยความไม่พอใจเป็นส่วนใหญ่ และนักวิจัยก็ยังคงไม่หวั่นไหว เดินหน้าปล่อยโค้ดสาธิตช่องโหว่ 0-day ใหม่ ๆ ในวัน Patch Tuesday ของ Microsoft ทุกเดือน ซึ่งอาจทำให้ผู้โจมตีมีเวลาหลายสัปดาห์ในการแปลงช่องโหว่เป็นอาวุธ เว้นแต่บริษัทจะออกแพตช์นอกรอบ

นาย John Strand เจ้าของบริษัท Black Hills Information Security ให้ความเห็นกับ Dark Reading ว่า “ผมเกลียดมากเวลาที่มีคนสองกลุ่มมาทะเลาะกันเอง ทั้งที่พวกเขาควรทำงานร่วมกัน ในด้านหนึ่งเรื่องนี้ให้ความรู้สึกว่าเป็นความใจแคบของฝั่ง Microsoft และมันก็ให้ความรู้สึกใจแคบในฝั่งของ MSNightmare ด้วย มันน่าเศร้า เพราะเราควรทำงานร่วมกันมากกว่าจะมาจัดการกับอีโก้”

ชุดโค้ดสาธิตของนักวิจัยรายนี้ที่ผ่านมาประกอบด้วย RoguePlanet, YellowKey, GreenPlasma, MiniPlasma และตัวอื่น ๆ โดยเขามักจะปล่อยโค้ดสาธิตตัวใหม่ที่เจาะการแก้ไขของ Microsoft ตามหลังแพตช์ที่ออกมาปิดโค้ดสาธิตตัวก่อนหน้าเสมอ ตัวอย่างเช่น ShieldBreak ที่เป็นการข้ามแพตช์ของ RoguePlanet และ ShieldCrash ในสัปดาห์นี้ก็เป็นอีกตัวอย่างหนึ่งของรูปแบบเดียวกัน

ผลกระทบ

ผู้ที่ได้รับผลกระทบคือองค์กรที่ใช้วินโดวส์ทุกเวอร์ชันที่ยังอยู่ในการสนับสนุนและพึ่งพา Microsoft Defender เป็นกลไกป้องกันหลัก เพราะจุดที่ถูกโจมตีคือตัวเอนจินป้องกันมัลแวร์เอง ไม่ใช่ส่วนประกอบเสริม สิ่งที่ควรตระหนักให้ชัดคือการที่โค้ดสาธิตถูกเผยแพร่ต่อสาธารณะแล้วบนระบบที่แพตช์ครบ หมายความว่าความมั่นใจที่ได้จากการลงแพตช์ครบทุกตัวในรอบเดือนกันยายนไม่ครอบคลุมช่องทางนี้

ในทางปฏิบัติ ช่องโหว่ประเภทอ่านไฟล์ด้วยสิทธิ์ SYSTEM มักไม่ใช่จุดเริ่มของการโจมตี แต่เป็นขั้นกลางที่ทรงพลัง ผู้โจมตีที่มีสิทธิ์ผู้ใช้ธรรมดาอยู่แล้ว เช่น จากฟิชชิงหรือจากบัญชีที่ถูกขโมย สามารถใช้ช่องนี้ดึงไฟล์ที่ปกติอ่านไม่ได้ ไม่ว่าจะเป็นไฟล์การตั้งค่าที่มีข้อมูลยืนยันตัวตนฝังอยู่ หรือข้อมูลลับอื่น ๆ แล้วนำไปต่อยอดเป็นการเคลื่อนที่ในแนวขวางภายในเครือข่าย ซึ่งนาย Ensar Seker เตือนว่าเมื่อมีโค้ดโจมตีสาธารณะแล้ว ผู้ป้องกันควรคาดหมายว่าผู้โจมตีจะนำไปใช้เพื่อขโมยข้อมูลยืนยันตัวตน ฝังตัว หรือยกระดับสิทธิ์เต็มรูปแบบ

สิ่งที่ยังไม่ทราบมีหลายข้อและควรบันทึกไว้ครบ ณ วันที่รายงาน Microsoft ยังไม่ได้ให้ความเห็นหรือยืนยันความถูกต้องของข้อกล่าวอ้าง ยังไม่มีรหัส CVE ใหม่สำหรับ ShieldCrash ยังไม่มีคะแนน CVSS ยังไม่มีข้อมูลว่าจะมีแพตช์นอกรอบหรือต้องรอ Patch Tuesday รอบถัดไป ไม่มีการเผยแพร่ตัวบ่งชี้การถูกบุกรุก และยังไม่มีรายงานการนำไปใช้โจมตีจริง นอกจากนี้ขีดความสามารถที่แท้จริงของโค้ดชุดนี้ก็ยังขัดกันระหว่างคำอ้างของนักวิจัยกับการวิเคราะห์ของผู้เชี่ยวชาญภายนอก

คำแนะนำ

อย่าปิด Windows Defender เพราะกังวลเรื่องความปลอดภัยของตัวมันเอง นาย Ensar Seker ระบุชัดว่านั่นไม่ใช่ทางแก้ เพราะจะทำให้องค์กรเสียกลไกป้องกันหลักไปโดยไม่ได้อะไรกลับมา สิ่งที่ควรทำแทนคือติดตามคำแนะนำของ Microsoft และอัปเดตข่าวกรองของ Defender อย่างใกล้ชิด

เปิดใช้งาน tamper protection ให้ครบทุกเครื่อง เพื่อลดโอกาสที่ผู้โจมตีจะเข้าไปแก้ไขหรือปิดการทำงานของ Defender ได้ และจำกัดการรันโปรแกรมในเครื่องรวมถึงสิทธิ์ผู้ดูแลระบบให้แคบที่สุดเท่าที่งานจะทำได้ เพราะช่องโหว่กลุ่มนี้ต้องการสิทธิ์ผู้ใช้ในเครื่องเป็นจุดตั้งต้นเสมอ การลดจำนวนบัญชีที่มีสิทธิ์เกินจำเป็นจึงลดโอกาสถูกใช้ประโยชน์โดยตรง

ในด้านการล่าภัยคุกคาม ให้ไล่หาโพรเซสที่น่าสงสัยซึ่งมีปฏิสัมพันธ์กับไฟล์ที่ถูกป้องกันผ่านกลไกที่เกี่ยวข้องกับ Defender ตามที่นาย Ensar Seker แนะนำ และควรเฝ้าดูการอ่านไฟล์การตั้งค่าหรือไฟล์ที่มีข้อมูลยืนยันตัวตนซึ่งมีต้นทางจากโพรเซสของ Defender เนื่องจากรูปแบบการโจมตีในตระกูลนี้อาศัยการทำให้ตัวเอนจินไปทำงานแทนผู้โจมตี

สุดท้าย เมื่อพิจารณาว่า ShieldCrash เป็นการข้ามแพตช์ต่อเนื่องตัวที่สองในสายเดียวกัน ควรวางแผนบนสมมติฐานว่าอาจมีการข้ามแพตช์รอบต่อไปอีก การเฝ้าระวังพฤติกรรมและการจำกัดสิทธิ์จึงควรถูกใช้เป็นมาตรการยืนพื้น ไม่ใช่มาตรการชั่วคราวระหว่างรอแพตช์

แหล่งอ้างอิง