สรุปสั้น

นักวิจัยของบริษัทรักษาความปลอดภัยไซเบอร์ Corelight เปิดเผยช่องโหว่ CVE-2026-70111 ใน mup.sys ไดรเวอร์เคอร์เนลของ Windows ที่ทำหน้าที่แปลงเส้นทาง Distributed File System (DFS) ช่องโหว่นี้กระทบ Windows Server 2019, 2022 และ 2025 ผู้โจมตีที่เข้าถึงเครือข่ายได้สามารถทำให้เซิร์ฟเวอร์ล่มทั้งเครื่องเป็นจอฟ้าด้วยการตอบกลับ DFS referral ที่สร้างขึ้นเพียงครั้งเดียว โดยไม่ต้องมีสิทธิ์แอดมินและไม่ต้องเข้าถึง domain controller จริง แต่ต้องใช้เทคนิค coercion บังคับให้เครื่องเหยื่อเชื่อมต่อมายัง SMB server ของผู้โจมตีก่อน

บริษัท Corelight เปิดเผยเมื่อวันที่ 13 ตุลาคม 2569 และระบุว่า Microsoft แก้ช่องโหว่นี้แล้วในรอบอัปเดตเดือนตุลาคม 2569 ยังไม่มีหลักฐานว่าถูกโจมตีจริง แม้ต้นฉบับข่าวจะเรียกว่า zero-day แต่ ณ วันที่เปิดเผยข้อมูล ได้มีแพตช์แก้ไขแล้ว ต้นเหตุ คือ การตรวจสอบข้อมูลที่เคยมีใน Windows รุ่นก่อนถูกตัดไปในเวอร์ชันเซิร์ฟเวอร์ ส่วน Windows 10 ยังมีการตรวจนี้อยู่จึงไม่ได้รับผลกระทบ ผลกระทบคือความพร้อมใช้งาน และจะรุนแรงมากถ้าผู้โจมตียิงซ้ำหรือยิงใส่ domain controller หลายเครื่องพร้อมกัน

รายละเอียดข่าว

เว็บไซต์ GBHackers รายงานเมื่อวันที่ 14 ตุลาคม 2569 ว่า บริษัท Corelight พบช่องโหว่นี้โดยบังเอิญ ระหว่างทดสอบอินเทอร์เฟซของ Microsoft RPC และ DFS API หาเทคนิค authentication coercion ซึ่งเป็นเทคนิคที่บังคับให้ Windows เปิดการเชื่อมต่อ SMB ออกไปข้างนอก และอาจทำให้ข้อมูลยืนยันตัวตน NTLM ถูกดักหรือถูก relay แทนที่จะได้ผลตามที่คาด นักวิจัยกลับเจอเครื่องจอฟ้าระหว่างทดสอบการตอบกลับ DFS referral

นักวิจัยได้เจาะลงไปที่อินเทอร์เฟซจัดการ NetDFS (UUID 4fc742e0-4a10-11cf-8273-00aa004ae673) ซึ่งเส้นทางการทำงานพาไปให้ mup.sys ส่งคำขอ FSCTL_DFS_GET_REFERRALS ไปยัง domain controller นักวิจัยพบว่าผู้โจมตีกำหนดได้ว่าคำขอนั้นจะถูกส่งไปที่ใด และปลอมเป็นเซิร์ฟเวอร์ที่ตอบกลับได้

บริษัท Corelight ทดสอบทำให้เครื่องล่มซ้ำได้ครบทั้ง 11 ครั้งที่ทดสอบบน Windows Server 2022 และครบทั้ง 3 ครั้งบน Windows Server 2019 ช่องโหว่นี้ออกมาในรอบ Patch Tuesday เดือนตุลาคม 2569 ซึ่ง Cloud Thunder รายงานภาพรวมไว้ในโพสต์ 118

รายละเอียดช่องโหว่

การโจมตีมี 3 ขั้น

  • ขั้นแรกผู้โจมตีตั้ง SMB server ปลอมขึ้นมา
  • ขั้นที่สองใช้ coercion บังคับให้เครื่องเป้าหมายส่งคำขอ DFS referral มาที่เซิร์ฟเวอร์ปลอมนั้น
  • ขั้นที่สามเซิร์ฟเวอร์ปลอมตอบกลับด้วย payload แบบ DFS_REFERRAL_V3 ที่สร้างขึ้น เมื่อเครื่องเหยื่อประมวลผลคำตอบนี้ เคอร์เนลจะเกิด fault และทั้งเซิร์ฟเวอร์ล่มภายในไม่กี่วินาที

ข้อผิดพลาดอยู่ในฟังก์ชัน PktExpandSpecialEntryFromReferral() ตอนประมวลผล referral แบบ NameList เมื่อฟิลด์ ReferralEntryFlags มีแฟล็ก 0x0002 ฟังก์ชันจะใช้ ExpandedNameOffset หาตำแหน่งชื่อ domain controller แล้วเรียก wcslen() กับพอยน์เตอร์ที่ได้ Windows รุ่นก่อน ๆ มีการตรวจว่าชื่อที่ขยายแล้วต้องมีอย่างน้อย 1 ตัวอักษร แต่ build ของเวอร์ชันเซิร์ฟเวอร์ที่ได้รับผลกระทบไม่มีการตรวจนี้ ถ้า offset ชี้ไปที่สตริง WCHAR ว่าง ข้อมูลจะเข้าไปถึงส่วนประมวลผลที่ไม่ปลอดภัย และทำให้เกิด null-pointer dereference ในเคอร์เนล

ผู้ดูแลระบบอาจเห็น Event ID 41 และ 6008 ใน System log ซึ่งบอกว่าเครื่องปิดตัวโดยไม่คาดคิด แต่ล็อกเหล่านี้อาจไม่มี minidump ที่ช่วยอธิบายสาเหตุ Corelight ยังเตือนว่า DFS เป็นเพียงเส้นทางหนึ่งที่รู้จักในการเข้าถึงไดรเวอร์ที่มีช่องโหว่ อาจมีเส้นทางอื่นที่ยังไม่ได้ตรวจสอบ

ผลกระทบ

ผลกระทบหลักคือความพร้อมใช้งาน การรีบูตอัตโนมัติอาจทำให้แต่ละครั้งล่มไม่นาน แต่ผู้โจมตีที่ยิงซ้ำต่อเนื่องสามารถทำให้เซิร์ฟเวอร์ใช้งานไม่ได้ตลอดเวลา ถ้ายิงพร้อมกันหลายเครื่อง โดยเฉพาะ domain controller และไฟล์เซิร์ฟเวอร์ที่ใช้ DFS ความเสียหายจะกระจายไปทั้งองค์กร เพราะการล็อกอิน Group Policy และการเข้าถึงไฟล์แชร์ล้วนพึ่งเซิร์ฟเวอร์กลุ่มนี้

ช่องโหว่นี้ไม่ได้ทำให้ผู้โจมตีรันโค้ดหรือขโมยข้อมูลได้ แต่ผู้โจมตีต้องอยู่ในเครือข่ายที่สั่ง coercion และรับการเชื่อมต่อ SMB จากเป้าหมายได้ จึงเป็นภัยจากผู้ที่เข้ามาในเครือข่ายภายในแล้ว เช่น ผู้บุกรุกที่ต้องการก่อกวนหรือเบี่ยงความสนใจทีมรับมือเหตุ มากกว่าเป็นภัยจากอินเทอร์เน็ตโดยตรง

คำแนะนำ

  • ติดตั้งแพตช์ Windows รอบตุลาคม 2569 โดยเริ่มจากเซิร์ฟเวอร์ที่ใช้ DFS และ domain controller ก่อน
  • บล็อก SMB ขาออก (TCP 445) จากเซิร์ฟเวอร์ไปยังเครือข่ายที่ไม่จำเป็น และบล็อก SMB ขาออกไปอินเทอร์เน็ตทั้งหมด เพื่อลดโอกาสที่ coercion จะพาเซิร์ฟเวอร์ไปเชื่อมต่อ SMB server ปลอม
  • ลดช่องทาง authentication coercion ทั่วไป เช่น จำกัดการเข้าถึง RPC interface ที่ไม่จำเป็น และเปิด SMB signing
  • เฝ้าระวังทราฟฟิก SMB2 ภายใน ไม่ใช่ดูแค่ขอบเครือข่าย ใน Zeek ให้สังเกตกลุ่มการเชื่อมต่อสถานะ S1, RSTR หรือ RSTRH ที่เกี่ยวกับเซิร์ฟเวอร์เดียว ซึ่งอาจบ่งบอกรูปแบบล่มแล้วฟื้น (แต่ไม่ได้ยืนยันการโจมตีด้วยตัวเอง)
  • ตั้งการแจ้งเตือน Event ID 41 และ 6008 บนเซิร์ฟเวอร์สำคัญ และสอบสวนเมื่อเกิดซ้ำหลายครั้งโดยไม่มีสาเหตุด้านฮาร์ดแวร์

แหล่งอ้างอิง