Microsoft-Defender

บริษัท Microsoft ขยายความสามารถของ Defender ให้ monitor detect และ disrupt การโจมตีที่ abuse Remote Procedure Call (RPC) ซึ่งเป็น protocol หลักของ Windows ที่ผู้โจมตีใช้สำหรับ lateral movement, credential theft และ privilege escalation ผ่านการ integrate กับ Windows Filtering Platform ระดับ OpNum สามารถจับ Impacket, DCsync, Service Control Manager, Task Scheduler และ WMI ได้แม้ traffic จะถูก SMB3 encrypt

Microsoft Defender for Endpoint เพิ่มฟีเจอร์ Automatic Device Isolation ที่ตัดการเชื่อมต่อเครือข่ายของ endpoint ที่ถูกโจมตีทันทีเมื่อตรวจพบสัญญาณ ransomware หรือการบุกรุกระดับสูง โดยไม่ต้องรอให้เจ้าหน้าที่กดคำสั่ง ยังคงสื่อสารกับ Defender service เพื่อ telemetry และ SOC team ยังสามารถสั่ง release isolation ได้ตลอดเวลา

Microsoft ออกแพตช์ฉุกเฉินสำหรับช่องโหว่ zero-day 2 รายการใน Windows Defender ที่ถูกโจมตีจริงแล้ว CVE-2026-41091 ช่วยยกระดับสิทธิ์เป็น SYSTEM ด้วย CVSS 7.8 และ CVE-2026-45498 ทำให้ Defender หยุดทำงาน CISA สั่งหน่วยงานรัฐบาลสหรัฐฯ ต้องแพตช์ภายใน 3 มิถุนายน

นักวิจัยนามแฝง Chaotic Eclipse ปล่อย PoC exploit ของช่องโหว่ CVE-2026-33825 (CVSS 7.8) ใน Windows Defender หลังไม่พอใจการตอบสนองของ Microsoft ช่องโหว่เป็นประเภท TOCTOU ที่หลอก Defender ให้คัดลอก SAM database แล้วถอดรหัส NT hash เพื่อยกระดับสิทธิ์เป็น SYSTEM ถูกโจมตีจริงภายใน 8 วันหลังเปิดเผย CISA บรรจุเข้า KEV catalog