สรุปสั้น

นักวิจัยของบริษัท Doyensec รันโค้ดที่ตัวเองเลือกได้ภายใน VBS enclave ของ Windows ซึ่งเป็นพื้นที่หน่วยความจำแยกที่ระบบปฏิบัติการใช้ปกป้องความลับ และออกแบบให้ปลอดภัยแม้ส่วนอื่นของเครื่องถูกยึดไปแล้ว enclave ที่ถูกเจาะคือ SFAPE.dll ซึ่งอยู่เบื้องหลังฟีเจอร์ Enhanced Phishing Protection ของ Microsoft Defender SmartScreen ที่เก็บรหัสผ่านล็อกอิน Windows แบบ hash ไว้เทียบกับสิ่งที่ผู้ใช้พิมพ์ ช่องโหว่นี้ได้รหัส CVE-2026-83498 บริษัท Microsoft จัดเป็นการยกระดับสิทธิ์ ระดับ Critical คะแนน CVSS 7.8 และระบุว่าพบปัญหาเดียวกันจากการตรวจภายในด้วย

งานวิจัยนี้เป็น proof of concept ในห้องแล็บ ยังไม่พบการโจมตีจริง และไม่ใช่ช่องทางเจาะจากภายนอก เพราะผู้โจมตีต้องมีโค้ดรันบนเครื่องอยู่แล้วและต้องเป็นโปรเซสที่โหลด enclave ซึ่งในกรณีนี้คือ lsass.exe Microsoft แก้ไขแล้วในอัปเดตสะสม KB5124008 เมื่อวันที่ 8 กันยายน 2569 สำหรับ Windows 11 เวอร์ชัน 24H2 และ 25H2 พร้อมนโยบายใหม่ที่บล็อกไม่ให้ enclave เวอร์ชันเก่าโหลดได้อีก แต่ Doyensec ชี้ว่า Windows ยังไม่มีรายการบล็อก enclave ที่มีช่องโหว่แบบทั่วไปเหมือนที่มีสำหรับไดรเวอร์ และ enclave ของ Microsoft Edge ที่มีช่องโหว่ CVE-2023-36880 ยังโหลดได้ตามปกติ

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 14 ตุลาคม 2569 ว่า Doyensec เผยแพร่งานวิจัยนี้เมื่อวันที่ 13 ตุลาคม หรือกว่า 1 เดือนหลังแพตช์ออก Microsoft ระบุว่าช่องโหว่นี้ไม่ได้ถูกใช้โจมตีและไม่เป็นที่รู้จักต่อสาธารณะก่อนออกแพตช์ ตามคำอธิบายของ Microsoft VBS enclave คือไลบรารีที่มีลายเซ็นดิจิทัล ซึ่งโปรแกรม Windows ปกติโหลดเข้ามาได้ แต่อ่านหรือแก้ไขไม่ได้เมื่อเริ่มทำงานแล้ว hypervisor ของ Windows เก็บหน่วยความจำของ enclave ไว้ในโลกที่เชื่อถือได้มากกว่า เรียกว่า VTL1 หรือ Isolated User Mode ซึ่งโค้ดในโลกปกติ (VTL0) เข้าไม่ถึง แม้ผู้โจมตีจะยึดเคอร์เนลปกติหรือรันด้วยสิทธิ์ SYSTEM แล้วก็ตาม การรันโค้ดที่ผู้โจมตีเลือกเองในโลกนั้นได้ จึงทำให้งานวิจัยนี้น่าสนใจ

ฟีเจอร์ Enhanced Phishing Protection คอยดูข้อความที่ผู้ใช้พิมพ์หรือวาง แล้วเตือนเมื่อผู้ใช้กรอกรหัสผ่านล็อกอิน Windows ในที่ที่ไม่ปลอดภัย เช่น Notepad หรือหน้าฟิชชิง เพื่อทำเช่นนี้โดยไม่เปิดเผยรหัสผ่าน Windows จะดักรหัสผ่านตอนล็อกอินแล้วเก็บแบบ hash ไว้ใน enclave บน Windows 11 โปรแกรมที่โหลด enclave นี้คือ lsass.exe ซึ่งเป็นโปรเซสจัดการข้อมูลรับรองการล็อกอินและรันด้วยสิทธิ์ SYSTEM

รายละเอียดช่องโหว่

จุดเริ่มต้นเล็กมาก — เมื่อเรียกฟังก์ชัน Initialize ของ enclave เป็นครั้งที่สอง ฟังก์ชันจะเขียนค่า error คงที่ขนาด 4 ไบต์ลงในที่อยู่ที่โปรแกรมผู้เรียกกำหนด และในการเรียกครั้งที่สองนี้จะข้ามการตรวจที่อยู่ที่ทำในการเรียกครั้งแรก Doyensec ยอมรับเองว่าลำพังจุดนี้อ่อนมาก และการเรียกว่าเป็น arbitrary write “เป็นการพูดเกินจริงอย่างมาก”

ขยายผลทีละขั้น — เมื่อเล็งการเขียน 4 ไบต์นั้นไปที่ตำแหน่งที่ถูกต้อง จะทำให้ค่าที่ enclave ใช้แยกหน่วยความจำของตัวเองออกจากหน่วยความจำของโปรเซสโฮสต์เสียหาย ส่งผลให้การตรวจความปลอดภัยของ enclave หยุดทำงาน จากนั้นนักวิจัยใช้บั๊กจังหวะเวลา (timing bug) ในอีกฟังก์ชันหนึ่งกระตุ้นการล้างข้อมูลที่ควบคุมได้ ซึ่งเปลี่ยนเส้นทางการค้นหาออบเจ็กต์ที่ enclave เก็บไว้ การอ่านและเขียนที่ได้จากขั้นนี้ทำให้นักวิจัยเปลี่ยนตารางที่กำหนดว่า enclave รันโค้ดใดได้ จนรันโค้ดที่ผู้โจมตีเลือกภายใน enclave ได้สำเร็จ

ขอบเขตของผลลัพธ์ — งานวิจัยนี้ทำลายการแยกตัวของ enclave ได้ แต่ไม่ได้แสดงว่าอ่านหรือขโมยรหัสผ่านของผู้ใช้ได้ ประกาศของ Microsoft อธิบายผลกระทบว่าเป็นการรั่วไหลของข้อมูลจาก enclave หรือการรันโค้ดภายใน enclave คะแนนของ Microsoft ระบุ attack vector เป็น local ผู้โจมตีต้องมีสิทธิ์ระดับต่ำ และไม่ต้องให้ผู้ใช้ทำอะไร กล่าวคือเป็นวิธีให้โค้ดที่ตั้งหลักบนเครื่องได้แล้วเอื้อมเข้าไปในโลกที่เชื่อถือได้มากกว่า ไม่ใช่ช่องทางเข้ามาจากภายนอก

สิ่งที่แพตช์แก้ — Doyensec เปรียบเทียบไฟล์เก่าและใหม่ พบว่า enclave ที่แพตช์แล้วตรวจที่อยู่ก่อนการเขียนครั้งแรก และปรับฟังก์ชันที่บั๊กจังหวะเวลาอาศัยให้รัดกุมขึ้น อัปเดตยังมาพร้อมนโยบายที่ห้าม enclave เวอร์ชันเก่าที่มีช่องโหว่โหลดได้อีก ระบบที่แพตช์แล้วจึงรันไฟล์เก่าไม่ได้

ผลกระทบ

ผลกระทบโดยตรงจำกัด เพราะต้องมีโค้ดบนเครื่องในบริบทที่โหลด enclave ได้อยู่แล้ว และ Microsoft แก้ไขมาตั้งแต่เดือนกันยายน แต่งานวิจัยนี้สำคัญเชิงสถาปัตยกรรม เพราะ VBS enclave ถูกออกแบบให้เป็นที่ปลอดภัยสุดท้ายเมื่อเคอร์เนลหรือ SYSTEM ถูกยึด การพิสูจน์ว่ารันโค้ดในนั้นได้จากบั๊กเล็ก ๆ ทำให้ต้องมอง enclave เป็นพื้นผิวการโจมตีที่ต้องแพตช์และตรวจสอบเหมือนส่วนอื่น

ช่องว่างที่ยังเหลือคือเทคนิคที่เรียกว่า “bring your own vulnerable enclave” ซึ่งงานวิจัยของบริษัท Akamai และ Outflank เคยแสดงว่าผู้โจมตีโหลด enclave ที่มีลายเซ็นถูกต้องแต่มีช่องโหว่ เพื่อซ่อนโค้ดและข้อมูลจากเครื่องมือรักษาความปลอดภัยได้ นโยบายเดือนกันยายนบล็อกแค่ไฟล์ SFAPE เก่า ขณะที่ enclave ของ Edge ที่มีช่องโหว่ CVE-2023-36880 ยังโหลดได้ Doyensec ระบุว่าไม่ชัดว่าเป็นการตัดสินใจโดยตั้งใจหรือหลงลืม แต่ผลคือเทคนิคนี้ยังใช้ได้อยู่

คำแนะนำ

  • ติดตั้งอัปเดตสะสม KB5124008 (8 ก.ย. 2569) หรือใหม่กว่าบน Windows 11 เวอร์ชัน 24H2 และ 25H2 ไม่มีวิธีแก้ชั่วคราวแยกต่างหาก การติดตั้งอัปเดตคือมาตรการเดียว
  • ตรวจสถานะแพตช์ของเครื่องที่เปิด Enhanced Phishing Protection และ VBS เป็นพิเศษ เพราะเป็นกลุ่มที่โหลด enclave นี้
  • ป้องกัน LSASS ตามแนวปฏิบัติเดิม เช่น เปิด LSA Protection (RunAsPPL) และ Credential Guard รวมถึงเฝ้าระวังการเข้าถึงหน่วยความจำของ lsass.exe ที่ผิดปกติ
  • ทีม detection ควรเฝ้าระวังการโหลด enclave ที่มีลายเซ็นแต่ไม่จำเป็นต่อธุรกิจ (แนวทาง BYOVE) และติดตามว่า Microsoft จะขยายนโยบายบล็อกไปยัง enclave อื่น เช่น enclave ของ Edge หรือไม่
  • องค์กรที่พัฒนาซอฟต์แวร์บน VBS enclave เอง ควรทบทวนการตรวจที่อยู่ของ pointer ที่รับจากโฮสต์ในทุกเส้นทางการเรียก ไม่ใช่แค่ครั้งแรก

แหล่งอ้างอิง