Azure

บริษัท Microsoft ออกอัปเดต Windows นอกรอบเมื่อ 26 ตุลาคม 2569 ถอดใบรับรองที่เกี่ยวกับ eMudhra 7 ใบออกจากรายการที่ Windows เชื่อถือ และใช้กับ Edge ตามมาเมื่อ 27 ตุลาคม มาตรการนี้ต่อจากการบล็อก CA ตัวกลาง 8 ใบที่กุญแจส่วนตัวถูกกู้ได้เพราะสร้างกุญแจแบบอ่อน ใน 8 ใบมี 6 ใบสำหรับ TLS ที่ปลอมเว็บไซต์ได้ และ 2 ใบสำหรับ code signing ที่ทำให้มัลแวร์ดูน่าเชื่อถือ Microsoft ยังไม่พบหลักฐานว่ามีการใช้กุญแจโจมตีลูกค้า ผู้ดูแลควรให้อัปเดต trust list ถึงทุกเครื่อง และย้ายใบรับรองที่ต่อสายกับ 7 ใบนี้

Microsoft เริ่มใช้ระบบประเมินรายงาน Complete และ Not Complete ในโครงการบั๊กบาวน์ตีทั้งหมด กับรายงานที่ส่งตั้งแต่ 20 ตุลาคม 2569 ใน Azure รายงาน RCE หรือยกระดับสิทธิ์ระดับ Critical ที่สมบูรณ์ได้ 40,000 ดอลลาร์ แต่ถ้าไม่สมบูรณ์ได้เพียง 4,000 ดอลลาร์ รายงานที่สมบูรณ์ต้องมีขั้นตอนทำซ้ำ PoC ที่ใช้ได้จริง และหลักฐานตามประเภทช่องโหว่ ตั้งแต่ครั้งแรกที่ส่ง Microsoft ระบุว่างานวิจัยที่ใช้ AI ช่วยทำให้ส่งรายงานจำนวนมากได้ง่ายขึ้น

Microsoft เผยรายงานเชิงลึกครั้งแรกของกลุ่ม JADEPUFFER (ติดตามในชื่อ Storm-3168) ที่ใช้ service principal ที่ถูกยึด 2 ตัวโจมตี Azure นานราว 18 ชั่วโมงในเดือนมิถุนายน 2569 ตัวหนึ่งใช้ลาดตระเวน อีกตัวลงมือทำลายกว่า 150 ปฏิบัติการใน 35 นาที ลบ Storage Account กว่า 100 บัญชี พร้อม Key Vault, Function App และฐานข้อมูล SQL แต่ resource lock และ deletion protection ช่วยกันบางส่วนไว้ได้ ต้นเหตุคือ credential ที่พนักงานเผยใน GitHub issue สาธารณะ ประเมินว่าเป็นการโจมตีอัตโนมัติที่มุ่งขัดขวางการกู้คืน

นักวิจัยวัย 16 ปีที่ใช้ชื่อ Faav พบช่องโหว่การยืนยันตัวตนในบริการวิเคราะห์ข้อมูลภายในชื่อ Titan ของ Microsoft ที่อาจเปิดข้อมูลราว 17.3 ล้านล้านแถว Titan ตรวจแต่ claim ใน JWT โดยไม่ยืนยันลายเซ็น ทำให้ปลอมโทเคน algorithm none และอ้างสิทธิ์แอดมินได้ Faav ย้ำว่าผลกระทบเป็นเชิงสมมติ ไม่เคยแตะข้อมูล PII ลูกค้า Microsoft ปิดช่องโหว่และให้เงินรางวัล 5,000 ดอลลาร์

บริษัท Microsoft ออกแพตช์แก้ช่องโหว่ร้ายแรงสูงสุดใน Azure AI Foundry รหัส CVE-2026-85889 คะแนน CVSS เต็ม 10.0 ที่เกิดจากการขาดการยืนยันตัวตนในฟังก์ชันสำคัญ เปิดทางให้ผู้โจมตีที่ไม่ผ่านการพิสูจน์ตัวตนยกระดับสิทธิ์ผ่านเครือข่ายได้ พร้อมแก้ช่องโหว่ระดับวิกฤตอีกหลายตัวใน Microsoft 365 Copilot, PostgreSQL และ Cosmos DB โดยช่องโหว่ฝั่งคลาวด์ทั้งหมดแก้ที่เซิร์ฟเวอร์แล้วผู้ใช้ไม่ต้องทำอะไร ส่วนช่องโหว่วินโดวส์อีกสองตัวต้องอัปเดตเอง

ไมโครซอฟท์ประกาศชุดอัปเดตความปลอดภัย 22 รายการในวันพฤหัสบดี ครอบคลุมผลิตภัณฑ์ Azure, Entra ID, Exchange, Fabric และ Partner Center ในจำนวนนี้มีห้ารายการที่ได้คะแนน CVSS เต็ม 10 ทั้งการยกระดับสิทธิ์ใน Azure SQL Database, Azure Arc และ Exchange Online และการรันโค้ดระยะไกลใน Azure Managed Instance for Apache Cassandra เกือบทั้งหมดเป็นช่องโหว่ของบริการคลาวด์ที่บริษัทแก้ที่ฝั่งเซิร์ฟเวอร์ไปแล้ว ลูกค้าไม่มีอะไรต้องติดตั้ง แต่ก็ไม่มีทางตรวจสอบเองได้เช่นกัน

บริษัท Wiz เปิดเผยช่องโหว่ CosmosEscape ใน Azure Cosmos DB ที่เปิดทางให้ผู้โจมตีหนีออกจาก sandbox ของ Gremlin query engine แล้วรันโค้ดบนเกตเวย์ที่ใช้ร่วมกันหลายผู้เช่า จนได้กุญแจลงนามระดับแพลตฟอร์มที่ดึงคีย์หลักของบัญชี Cosmos DB รายใดก็ได้ ผู้โจมตีต้องมีเพียงบัญชี Azure ทั่วไปกับฐานข้อมูล Gremlin ของตัวเองเท่านั้น Microsoft ปิดช่องทางภายใน 48 ชั่วโมงและแก้ครบทุกภูมิภาคเมื่อกรกฎาคม 2569 พร้อมยืนยันว่าไม่พบหลักฐานว่ามีลูกค้าได้รับผลกระทบ

Microsoft ประกาศเร่งแผน Quantum Safe Program โดยตั้งเป้าเปลี่ยนผลิตภัณฑ์และบริการสำคัญไปใช้ Post-Quantum Cryptography (PQC) ให้เสร็จภายในปี 2029 นาย Mark Russinovich ระบุว่าคอมพิวเตอร์ควอนตัมที่ถอดรหัสได้จริงอาจมาถึงเร็วกว่าที่เคยคาด แผนเน้นอัปเกรด TLS 1.3 สร้าง crypto-agility และย้าย trust chain ไปใช้อัลกอริทึม PQC โดยเกิดขึ้นหลังนักวิจัย Google และทีมจาก Caltech เผยความก้าวหน้าที่อาจเจาะ RSA-2048 ได้เร็วขึ้น

บริษัท Huntress เปิดเผยการโจมตี password spray ขนาดใหญ่ที่มุ่งเป้า Azure CLI โดยยิงกว่า 81 ล้านครั้งใน 2 สัปดาห์ เจาะบัญชี Microsoft สำเร็จ 78 บัญชีใน 64 องค์กร ใช้ช่องโหว่ของ ROPC ซึ่งเป็น OAuth flow เก่าเพื่อข้าม Conditional Access Policy และ MFA ที่ตั้งค่าไม่ครอบคลุม

นักวิจัย Unit 42 เปิดเผยเทคนิคโจมตีคลาวด์ใหม่ชื่อ bucket hijacking ที่เปิดให้ผู้โจมตีเปลี่ยนเส้นทางสตรีมข้อมูลขององค์กร รวมถึง audit log และ telemetry ไปยัง storage bucket ที่ผู้โจมตีควบคุม ยืนยันว่ากระทบทั้ง Google Cloud, AWS และ Azure เทคนิคนี้อาศัยข้อบกพร่องเชิงสถาปัตยกรรมที่ชื่อ bucket ต้องไม่ซ้ำกันทั่วทั้งระบบ ทำให้การลบแล้วสร้าง bucket ชื่อเดิมในบัญชีผู้โจมตีดูดข้อมูลต่อไปได้โดยไม่มีการแจ้งเตือน