สรุปสั้น
บริษัท Microsoft เปิดเผยช่องโหว่ 3 รายการใน Windows BitLocker ฟีเจอร์เข้ารหัสดิสก์ของ Windows เมื่อวันที่ 13 ตุลาคม 2569 ซึ่งตรงกับรอบ Patch Tuesday เดือนตุลาคม ทั้ง 3 รายการถูกจัดระดับ Important สองรายการเป็นช่องโหว่ยกระดับสิทธิ์ (elevation of privilege) ที่ผู้โจมตีต้องมีสิทธิ์ในเครื่องอยู่ก่อน ได้แก่ CVE-2026-85920 คะแนน CVSS 7.0 และ CVE-2026-88070 คะแนน CVSS 7.8 ส่วนรายการที่สาม CVE-2026-83500 เป็นช่องโหว่ข้ามกลไกความปลอดภัย (security feature bypass) คะแนน CVSS 6.1 ที่ต้องเข้าถึงเครื่องทางกายภาพ
ข้อมูลที่เผยแพร่ยังมีน้อยมาก ไม่ระบุเวอร์ชัน Windows ที่ได้รับผลกระทบ ไม่ระบุแพ็กเกจอัปเดตที่ต้องติดตั้ง ไม่มีวิธีแก้ชั่วคราว และไม่มีรายงานการโจมตีจริง แม้แต่ GBHackers ซึ่งเป็นต้นฉบับข่าวก็ระบุว่ายังตรวจสอบบันทึก CVE ของ Microsoft ด้วยตัวเองไม่ได้ ผู้ดูแลระบบจึงควรตรวจรายละเอียดจาก Microsoft Security Update Guide ของแต่ละ CVE โดยตรงก่อนวางแผนแพตช์
รายละเอียดข่าว
เว็บไซต์ GBHackers รายงานเมื่อวันที่ 14 ตุลาคม 2569 ว่า Microsoft เป็นผู้ออกเลข CVE ทั้ง 3 รายการ และเผยแพร่พร้อมกันในวันที่ 13 ตุลาคม 2569 ทั้งสามรายการได้คะแนน temporal score ต่ำกว่า base score (6.1, 6.8 และ 5.3 ตามลำดับ) ซึ่งโดยทั่วไปสะท้อนว่ามีแพตช์ทางการแล้วและยังไม่มีโค้ดโจมตีที่พร้อมใช้เผยแพร่
ช่องโหว่ 2 รายการแรกเป็นปัญหาในเครื่อง คือผู้โจมตีต้องล็อกอินหรือรันโค้ดบนเครื่องด้วยสิทธิ์ต่ำได้ก่อน แล้วจึงใช้ช่องโหว่ยกระดับสิทธิ์ ส่วนรายการที่สามต้องเข้าถึงเครื่องทางกายภาพ ซึ่งเป็นสถานการณ์ที่ BitLocker ถูกออกแบบมาเพื่อป้องกันโดยตรง เช่น โน้ตบุ๊กหายหรือถูกขโมย
ช่องโหว่ชุดนี้ออกมาในรอบ Patch Tuesday เดือนตุลาคม 2569 ที่ Microsoft แก้ช่องโหว่รวมจำนวนมากเป็นประวัติการณ์ ซึ่ง Cloud Thunder รายงานภาพรวมไว้ในโพสต์ 118 การแพตช์ BitLocker จึงควรทำไปพร้อมกับแพตช์ Windows รอบเดียวกัน
รายละเอียดช่องโหว่
| CVE | ประเภท | CWE | CVSS (base/temporal) | เงื่อนไขการโจมตี |
|---|---|---|---|---|
| CVE-2026-88070 | ยกระดับสิทธิ์ | CWE-125 out-of-bounds read | 7.8 / 6.8 | ในเครื่อง · สิทธิ์ต่ำ · ความซับซ้อนต่ำ · ไม่ต้องให้ผู้ใช้ทำอะไร |
| CVE-2026-85920 | ยกระดับสิทธิ์ | CWE-367 race condition (TOCTOU) | 7.0 / 6.1 | ในเครื่อง · สิทธิ์ต่ำ · ความซับซ้อนสูง · ไม่ต้องให้ผู้ใช้ทำอะไร |
| CVE-2026-83500 | ข้ามกลไกความปลอดภัย | CWE-601 URL redirection | 6.1 / 5.3 | เข้าถึงเครื่องทางกายภาพ · ไม่ต้องมีสิทธิ์ · ความซับซ้อนต่ำ |
CVE-2026-85920 เป็นช่องโหว่แบบ time-of-check-to-time-of-use (TOCTOU) คือ ซอฟต์แวร์ตรวจสถานะของทรัพยากรแล้ว แต่สถานะนั้นถูกเปลี่ยนก่อนถูกนำไปใช้จริง ทำให้ผลการตรวจความปลอดภัยครั้งแรกใช้ไม่ได้ ผู้โจมตีต้องแข่งจังหวะให้ทัน จึงมีความซับซ้อนสูง ผลกระทบด้านการรักษาความลับ ความถูกต้อง และความพร้อมใช้งานอยู่ในระดับสูงทั้งหมด แต่ไม่มีการระบุว่าเป็นขั้นตอนใดของ BitLocker และผู้โจมตีได้สิทธิ์ระดับใด
CVE-2026-88070 ได้คะแนนสูงสุดในชุดนี้ เพราะโจมตีได้ด้วยความซับซ้อนต่ำ เป็นการอ่านข้อมูลเกินขอบเขตของบัฟเฟอร์ ซึ่งตาม MITRE อาจทำให้หน่วยความจำที่มีข้อมูลอ่อนไหวรั่ว หรือทำให้โปรแกรมล่ม ทั้งนี้การจัดประเภทไม่ได้อธิบายว่าการอ่านเกินขอบเขตนำไปสู่การยกระดับสิทธิ์ได้อย่างไร
CVE-2026-83500 ถูกจับคู่กับ CWE-601 ซึ่งปกติหมายถึงการเปลี่ยนเส้นทาง URL ไปยังเว็บไซต์ที่ไม่น่าไว้ใจ ความเกี่ยวข้องกับการข้าม BitLocker ยังไม่ได้รับคำอธิบาย จึงไม่ควรตีความ CWE นี้ว่าเป็นหลักฐานของเทคนิคปลดล็อกดิสก์แบบใดแบบหนึ่ง ข้อมูลเชิงเทคนิคของทั้ง 3 รายการยังมีน้อย
ผลกระทบ
ช่องโหว่ยกระดับสิทธิ์ 2 รายการไม่ใช่จุดเข้าระบบครั้งแรก แต่เป็นขั้นต่อยอดหลังผู้โจมตีรันโค้ดบนเครื่องได้แล้ว เช่น หลังผู้ใช้เปิดไฟล์แนบอันตราย ผู้โจมตีจะใช้ช่องโหว่ลักษณะนี้ยกระดับเป็นสิทธิ์สูงเพื่อปิดโปรแกรมความปลอดภัยหรือขโมยข้อมูลรับรอง
CVE-2026-83500 กระทบกรณีที่ BitLocker ควรเป็นด่านสุดท้าย คือเครื่องที่หายหรือถูกขโมย หรือเครื่องที่ผู้ไม่หวังดีเข้าถึงได้ชั่วคราว เช่น เครื่องที่ถูกทิ้งไว้ระหว่างเดินทาง องค์กรที่พึ่ง BitLocker เป็นมาตรการหลักในการปกป้องข้อมูลบนโน้ตบุ๊กควรให้ความสำคัญกับรายการนี้ แม้คะแนนจะต่ำกว่าอีกสองรายการ
คำแนะนำ
- ติดตั้งแพตช์ Windows รอบ Patch Tuesday ตุลาคม 2569 และตรวจใน Microsoft Security Update Guide ว่าแต่ละ CVE กระทบ Windows เวอร์ชันใดและต้องใช้ KB ใด
- ให้ความสำคัญกับโน้ตบุ๊กและอุปกรณ์พกพาที่นำออกนอกสำนักงานก่อน เพราะเป็นกลุ่มที่เสี่ยงต่อ CVE-2026-83500 มากที่สุด
- เปิดใช้ BitLocker แบบ TPM+PIN (pre-boot authentication) แทน TPM อย่างเดียวบนเครื่องที่เก็บข้อมูลสำคัญ เพื่อเพิ่มด่านสำหรับการโจมตีทางกายภาพ
- ลดสิทธิ์ผู้ใช้ทั่วไป และเฝ้าระวังพฤติกรรมยกระดับสิทธิ์ด้วย EDR เพื่อลดผลของ CVE-2026-85920 และ CVE-2026-88070
- ตรวจว่า BitLocker recovery key ของทุกเครื่องถูกสำรองไว้ใน Entra ID/AD ก่อนแพตช์ เผื่อเครื่องขอ recovery key หลังอัปเดต