Windows

นักวิจัยนิรนาม Chaotic Eclipse ปล่อย PoC exploit ชื่อ RoguePlanet โจมตี zero-day ใน Microsoft Defender ผ่านเทคนิค race condition ได้ shell สิทธิ์ SYSTEM บน Windows 10/11 ที่ติดตั้งแพตช์มิถุนายน 2569 ครบแล้ว นับเป็นช่องโหว่ Defender ตัวที่ 4 ต่อจาก BlueHammer, UnDefend และ RedSun ซึ่งทั้งหมดถูกโจมตีจริงแล้ว การเปิดเผยแบบไม่ประสานงานนี้เกิดจากความขัดแย้งระหว่างนักวิจัยกับ Microsoft นักวิจัยอิสระยืนยันว่า exploit ใช้งานได้จริง องค์กรควรเฝ้าระวังการยกระดับสิทธิ์ผิดปกติ

บริษัท Microsoft ขยายความสามารถของ Defender ให้ monitor detect และ disrupt การโจมตีที่ abuse Remote Procedure Call (RPC) ซึ่งเป็น protocol หลักของ Windows ที่ผู้โจมตีใช้สำหรับ lateral movement, credential theft และ privilege escalation ผ่านการ integrate กับ Windows Filtering Platform ระดับ OpNum สามารถจับ Impacket, DCsync, Service Control Manager, Task Scheduler และ WMI ได้แม้ traffic จะถูก SMB3 encrypt

เครื่องมือโอเพนซอร์ส red team ตัวใหม่ชื่อ EDRChoker เปิดเทคนิคใหม่ในการปิดการทำงาน EDR ที่เชื่อมต่อด้วยระบบคลาวด์ ไม่ใช่วิธีการ kill process หรือ Code Injection แต่ใช้วิธีบีบแบนด์วิดท์เครือข่ายของ process EDR ให้เหลือเกือบศูนย์ด้วย Policy-Based QoS ของ Windows ที่ 8 bps ทำให้ TLS handshake ทำไม่สำเร็จ ผลคือ EDR ตัดขาดจากเซิร์ฟเวอร์คลาวด์และไม่สามารถดำเนินการทำงานตามปกติได้ เทคนิคนี้ทำงานผ่าน pacer.sys ที่อยู่ลึกกว่าระดับ WFP ในสแตกเครือข่าย ทำให้หลบ detection rule ที่ตรวจจับการบล็อกแบบ WFP ได้

แคมเปญ SmartApeSG กลับมาพร้อมเทคนิค ClickFix ใหม่ โดยหลอกเหยื่อผ่านหน้าเว็บปลอมที่อ้างว่าให้ยืนยันตัวตน จากนั้นบังคับให้รันสคริปต์อันตรายโดยไม่รู้ตัว ผลลัพธ์คือการติดตั้ง Remote Access Trojan (RAT) บนเครื่อง Windows ที่น่าเป็นห่วงเป็นพิเศษคือการโจมตีไม่หยุดแค่มัลแวร์ตัวเดียว แต่ดาวน์โหลดเครื่องมือที่มีประสิทธิภาพสูงกว่าเพิ่มเติมหลังได้ที่มั่นในระบบ เทคนิค ClickFix ถูกใช้อย่างแพร่หลายมากขึ้นในปี 2569

นักวิจัยวิเคราะห์แรนซัมแวร์สายพันธุ์ใหม่ The Gentlemen ที่เขียนด้วย Go และ obfuscate ด้วย Garble ทำงานแบบ RaaS ขโมยข้อมูลคู่กับเข้ารหัสเพื่อกรรโชกสองชั้น จุดเด่นคือใช้ SYSTEM scheduled task ยกสิทธิ์สูงสุดก่อนเข้ารหัสไดรฟ์ และแพร่ตัวเองทั่วเครือข่ายแบบ worm ผ่าน PsExec, WMI, scheduled task, Windows service และ PowerShell remoting พร้อมปิด AV ลบ backup ล้าง log และทำลายร่องรอย forensic ก่อนเข้ารหัส

PuTTY เวอร์ชัน 0.84 เปิดตัวพร้อมแพตช์ช่องโหว่ความปลอดภัยหลายรายการ รวมถึงบัก ECDSA ที่ทำให้ SSH handshake crash ได้ก่อน host key validation (ตั้งแต่เวอร์ชัน 0.71), Double-free ใน RSA key exchange ที่เปิดช่อง DoS (เวอร์ชัน 0.72–0.83) และ Telnet trust sigil bypass ที่ทำให้ผู้ใช้อาจป้อนรหัสผ่านให้ server ปลอมโดยไม่รู้ตัว ทั้งหมดสามารถถูก exploit โดย MITM attacker หรือ malicious server ก่อนที่ host key จะได้รับการยืนยัน

นักวิจัยชื่อ Chaotic Eclipse ปล่อย PoC ช่องโหว่ MiniPlasma ที่ยกระดับสิทธิ์จาก user ธรรมดาเป็น SYSTEM บน Windows 11 ที่อัปเดตแพตช์ล่าสุดแล้ว ช่องโหว่อยู่ใน cldflt.sys (Cloud Filter driver) เดิมเคยถูกรายงานโดย Google Project Zero ในปี 2020 เป็น CVE-2020-17103 และ Microsoft อ้างว่าแก้ไขแล้วในธันวาคม 2020 แต่พบว่าแพตช์ไม่สมบูรณ์หรือถูกย้อนกลับ ยังคง exploit ได้บน Windows 11 ปัจจุบัน

Pwn2Own Berlin 2026 จบ 2 วันแรกด้วยการค้นพบ 39 ช่องโหว่ zero-day เงินรางวัลรวมกว่า 908,750 ดอลลาร์ ไฮไลต์คือ Orange Tsai จาก DEVCORE chain 3 bugs เจาะ Exchange ได้ RCE as SYSTEM รับ 200K ดอลลาร์ นอกจากนี้ยังมีการเจาะ AI coding agents อย่าง Cursor และ OpenAI Codex สำเร็จ สะท้อนว่าแม้แต่เครื่องมือ AI ก็ยังมีจุดอ่อนด้านความปลอดภัย