สรุปสั้น

บริษัท Microsoft ออกแพตช์ความปลอดภัยประจำเดือนตุลาคม 2569 เมื่อวันอังคาร แก้ช่องโหว่รวม 1,413 รายการ ซึ่งเป็นสถิติสูงสุดของ Patch Tuesday แบ่งเป็นช่องโหว่ใน Windows 1,102 รายการ Office 134 รายการ Developer Tools 61 รายการ SharePoint Server 36 รายการ และ SQL Server 22 รายการ เมื่อแยกตามประเภท เป็นการยกระดับสิทธิ์มากกว่า 670 รายการ รันโค้ดจากระยะไกล (RCE) มากกว่า 300 รายการ และข้อมูลรั่วไหลราว 250 รายการ มีระดับ Critical มากกว่า 70 รายการ

ตัวที่ต้องแพตช์ก่อนคือ CVE-2026-96951 (CVSS 8.8) ช่องโหว่ command injection ใน Windows Shell ที่ใช้ข้ามการป้องกัน Mark of the Web (MOTW) ได้ และ Microsoft ยืนยันว่าถูกโจมตีจริงแล้ว CISA เพิ่มเข้าแค็ตตาล็อก Known Exploited Vulnerabilities (KEV) และกำหนดให้หน่วยงานรัฐบาลกลางสหรัฐฯ แพตช์ภายในวันที่ 16 ตุลาคม 2569 อีกตัวที่ควรเร่งคือ CVE-2026-108398 (CVSS 8.8) ใน .NET Framework ซึ่งรายละเอียดเปิดเผยต่อสาธารณะแล้วและใช้ข้ามการบังคับใช้ Windows Defender Application Control (WDAC) ได้ ส่วนตัวเลขช่องโหว่ที่พุ่งสูงขึ้นทุกเดือน ผู้เชี่ยวชาญมองว่าส่วนหนึ่งมาจาก AI ที่เร่งการค้นหาบั๊กทั้งฝั่งผู้ผลิตและนักวิจัย

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 14 ตุลาคม 2569 ว่ายอดแพตช์รอบนี้ทำลายสถิติเดิมของ Microsoft เองอีกครั้ง เดือนก่อนหน้า Microsoft แก้ไปเกือบ 1,000 ช่องโหว่ และนาย Satnam Narang จากบริษัท Tenable ระบุว่าทั้งปีนี้ Microsoft แพตช์ไปแล้วมากกว่า 4,000 CVE

นาย Dustin Childs หัวหน้าฝ่าย Threat Awareness ของ Zero Day Initiative (ZDI) ให้ความเห็นว่า “เมื่อก่อน CVE หลักร้อยในรอบเดียวถือเป็นข้อยกเว้น ตอนนี้กลายเป็นค่าพื้นฐาน” เขามองว่า AI เป็นสาเหตุส่วนหนึ่ง เพราะเร่งการล่าบั๊กทั้งสองฝั่ง แต่ AI ไม่ได้สร้างบั๊กขึ้นมาเอง เพียงแต่ย่นระยะเวลาระหว่างที่ช่องโหว่มีอยู่จนถึงวันที่มีคนพบ และเตือนว่าทีมที่จัดลำดับงานตามจำนวน CVE แทนที่จะดูความเป็นไปได้ในการโจมตีจริง กำลังเสียแรงไปกับบั๊กผิดตัว

นาย Adam Barnett จากบริษัท Rapid7 ระบุในทำนองเดียวกันว่า เมื่อปริมาณสูงขนาดนี้ ช่องโหว่หลายตัวที่สมัยก่อนจะถือว่าน่ากังวลมาก กลับกลืนหายไปในรายการ ด้วยเหตุนี้ Microsoft จึงเปิดตัววิธีจัดลำดับแพตช์แบบใหม่ที่เรียกว่า “risk cohort” ซึ่งรวม CVE ที่ต้องประเมินในลักษณะคล้ายกันไว้ด้วยกัน โดย Microsoft ย้ำว่า risk cohort เป็นจุดเริ่มต้น ไม่ใช่คำตัดสินสุดท้าย ลูกค้ายังต้องพิจารณาแต่ละ CVE ทั้งการถูกโจมตีจริง ความรุนแรง ช่องทางโจมตี และการต้องให้ผู้ใช้ลงมือ

รายละเอียดช่องโหว่

CVE-2026-96951 (CVSS 8.8) — Windows Shell, ถูกโจมตีจริง ช่องโหว่ command injection ที่ให้ผู้โจมตีซึ่งไม่ได้รับอนุญาตข้ามฟีเจอร์ความปลอดภัยผ่านเครือข่ายได้ โดยเฉพาะการหลบการตรวจ MOTW ที่ Windows ใช้ติดป้ายไฟล์ที่ดาวน์โหลดจากอินเทอร์เน็ต เพื่อให้ SmartScreen และ Protected View ทำงาน Microsoft อธิบายว่าในสถานการณ์โจมตีผ่านอีเมลหรือข้อความ ผู้โจมตีจะส่งไฟล์ที่สร้างมาเฉพาะให้เป้าหมาย แต่ไม่สามารถบังคับให้ผู้ใช้เปิดได้ ต้องหลอกให้คลิกลิงก์หรือเปิดไฟล์แนบเอง Microsoft ให้เครดิตนาย Riku Bamba และนาย Yuya Chudo จากบริษัท Fujitsu นาย Benoit Sevens จากบริษัท Anthropic และนักวิจัยชื่อ yhw ทั้งนี้ยังไม่มีข้อมูลว่าถูกใช้โจมตีอย่างไร โดยใคร และใครตกเป็นเป้า

CVE-2026-108398 (CVSS 8.8) — .NET Framework, เปิดเผยต่อสาธารณะแล้ว ช่องโหว่ untrusted search path ที่ผู้โจมตีซึ่งมีสิทธิ์ในเครื่องแล้วสามารถวาง .NET assembly ที่สร้างขึ้นเฉพาะ และลงทะเบียนให้ protected process โหลด ผลคือข้ามข้อจำกัด WDAC และรันโค้ดภายใน protected process ได้โดยไม่ต้องให้ผู้ใช้ลงมือ นาย Mike Walters จากบริษัท Action1 ชี้ว่าอันตรายเป็นพิเศษในฐานะเทคนิคหลังเจาะระบบได้แล้ว ผู้ค้นพบคือนาย James Forshaw จาก Google Project Zero

CVE-2026-92707 (CVSS 5.3) — MessagePack-CSharp, เปิดเผยต่อสาธารณะแล้ว ช่องโหว่การจัดสรรหน่วยความจำต่อเนื่องที่ควบคุมไม่ดี ทำให้ผู้โจมตีจากเครือข่ายทำให้บริการหยุดทำงาน (DoS) ได้

CVE-2026-21413 (CVSS 9.8) — Raw Image Extension (ช่องโหว่ที่ไม่ใช่ของ Microsoft) heap-based buffer overflow ที่นำไปสู่ RCE ทำงานเมื่อ Windows สร้างภาพย่อหรือพรีวิวไฟล์ RAW ที่สร้างมาเฉพาะ ผู้ใช้เพียงเปิดโฟลเดอร์ที่มีไฟล์ก็พอ ไม่ต้องเปิดไฟล์เอง

ผลกระทบ

ผู้ได้รับผลกระทบคือองค์กรและผู้ใช้ Windows แทบทุกกลุ่ม ช่องโหว่ข้าม MOTW ที่ถูกโจมตีจริงเป็นชิ้นส่วนที่ผู้โจมตีนิยมใช้ในแคมเปญฟิชชิงและการแพร่มัลแวร์ เพราะช่วยให้ไฟล์อันตรายเปิดได้โดยไม่มีคำเตือนจาก SmartScreen หรือไม่ถูกเปิดใน Protected View ขณะที่ช่องโหว่ข้าม WDAC เป็นเครื่องมือที่ผู้โจมตีซึ่งเข้ามาในเครื่องได้แล้วใช้หลบการควบคุมแอปพลิเคชันที่องค์กรวางไว้

ภาระที่ใหญ่กว่าตัวช่องโหว่คือปริมาณ ทีมไอทีที่ต้องทดสอบแพตช์กว่า 1,400 รายการต่อเดือนย่อมมีความเสี่ยงที่แพตช์สำคัญจะล่าช้า หรือแพตช์เข้าไปทำให้ระบบเดิมมีปัญหา การจัดลำดับตามความเสี่ยงจริงจึงสำคัญกว่าการพยายามไล่ทุกรายการพร้อมกัน

คำแนะนำ

  • ติดตั้งแพตช์ CVE-2026-96951 บนเครื่องผู้ใช้ทุกเครื่องก่อน โดยเฉพาะเครื่องที่รับอีเมลและเปิดไฟล์จากภายนอก
  • ระหว่างรอแพตช์ ให้เพิ่มการกรองไฟล์แนบประเภทที่มักใช้ข้าม MOTW เช่น ไฟล์ archive, ISO/IMG และ LNK ที่เกตเวย์อีเมล และเฝ้าระวังกระบวนการลูกที่ผิดปกติจาก explorer.exe
  • แพตช์ CVE-2026-108398 บนเครื่องที่พึ่ง WDAC เป็นด่านป้องกัน และตรวจการลงทะเบียน .NET assembly ใหม่ให้ protected process
  • แพตช์ Raw Image Extension ผ่าน Microsoft Store หรือช่องทางที่องค์กรใช้ เพราะเป็นส่วนเสริมที่อาจไม่ได้อัปเดตพร้อม Windows Update
  • ใช้ risk cohort ของ Microsoft ร่วมกับรายการ KEV ของ CISA เป็นจุดตั้งต้นในการจัดลำดับ แทนการไล่ตามจำนวน CVE

แหล่งอ้างอิง