เจาะลึกช่องโหว่ Zero‑Day ใน Microsoft Defender ที่ถูกใช้งานโจมตีจริง

CVE‑2026‑41091 เป็นช่องโหว่ประเภท link‑following ที่เกิดจากการที่ Microsoft Defender จัดการการอ้างอิงลิงก์ไฟล์ก่อนเข้าถึงไฟล์จริงอย่างไม่ถูกต้อง.

ในระบบไฟล์ของ Windows ผู้ใช้สามารถสร้างการเชื่อมโยง เช่น symbolic link หรือ junction เพื่อชี้ไปยังไฟล์อื่นได้ หากโปรแกรมทำงานด้วยสิทธิ์สูงแล้วเผลอตามลิงก์เหล่านี้ไปยังไฟล์ที่ผู้โจมตีควบคุม ก็อาจเกิดการเข้าถึงหรือแก้ไขไฟล์ผิดตำแหน่งได้

ในกรณีนี้ Defender อาจทำงานกับไฟล์บางชนิดด้วยสิทธิ์ระดับสูง ส่งผลให้ผู้โจมตีที่มีบัญชีในเครื่องอยู่แล้วสามารถใช้เทคนิคนี้เพื่อ ยกระดับสิทธิ์ไปถึงระดับ SYSTEM ซึ่งเป็นสิทธิ์สูงสุดใน Windows.

ข้อมูลสำคัญของช่องโหว่:

• ประเภท: การจัดการลิงก์ไฟล์ผิดพลาด (improper link resolution)
• ผลกระทบ: Local Privilege Escalation ถึงระดับ SYSTEM
• คะแนนความรุนแรง CVSS v3.1: 7.8 (ระดับ High)
• ผู้โจมตีต้องมี การเข้าถึงเครื่องในระดับผู้ใช้ก่อน จึงจะใช้ช่องโหว่ได้

รูปแบบการโจมตีมักประกอบด้วย:

• สร้าง symbolic link, junction หรือ reparse point ที่เป็นอันตราย
• ทำให้ Defender เข้าถึงไฟล์ผ่านลิงก์ดังกล่าว
• เปลี่ยนเส้นทางการทำงานไปยังไฟล์ระบบที่ได้รับการป้องกัน

แม้รายละเอียด exploit แบบเต็มจะยังไม่ถูกเปิดเผยต่อสาธารณะ แต่ช่องโหว่ประเภทนี้เป็นเทคนิคที่ผู้โจมตีใช้กันบ่อยใน chain การยกระดับสิทธิ์หลังจากเจาะระบบได้แล้ว.

CVE‑2026‑45498 — ช่องโหว่ทำให้ Microsoft Defender หยุดทำงาน

ช่องโหว่อีกตัวคือ CVE‑2026‑45498 ซึ่งทำให้ผู้โจมตีสามารถสร้างเงื่อนไขที่ทำให้เกิด Denial‑of‑Service (DoS) กับ Microsoft Defender.

เอกสารทางเทคนิคที่เปิดเผยต่อสาธารณะยังไม่ได้ระบุรายละเอียดวิธีโจมตีอย่างชัดเจน แต่ระบุว่า exploit ที่สำเร็จอาจทำให้:

• ส่วนประกอบของ Defender crash
• การสแกนมัลแวร์หยุดชะงัก
• ระบบป้องกันแบบเรียลไทม์หยุดทำงานชั่วคราว

เมื่อระบบป้องกัน endpoint อย่าง Defender ถูกปิดหรือหยุดทำงาน แม้เพียงช่วงสั้น ๆ ก็อาจเปิดโอกาสให้มัลแวร์หรือกิจกรรมหลังการเจาะระบบ (post‑exploitation) ทำงานโดยไม่ถูกตรวจจับได้.

หลักฐานว่าช่องโหว่ถูกโจมตีจริงแล้ว

Microsoft ยืนยันว่าทั้งสองช่องโหว่ ถูกนำไปใช้โจมตีจริงก่อนที่จะมีแพตช์ออกมา ซึ่งเป็นเหตุผลที่ต้องออกอัปเดตฉุกเฉิน.

หลักฐานที่สนับสนุนข้อสรุปนี้ ได้แก่:

• ทั้งสอง CVE ถูกเพิ่มเข้า CISA Known Exploited Vulnerabilities catalog ซึ่งใช้เฉพาะช่องโหว่ที่มีหลักฐานการโจมตีจริงเท่านั้น
• รายงานด้านความปลอดภัยระบุว่า Microsoft รับทราบ การโจมตีจริงที่ใช้ช่องโหว่ยกระดับสิทธิ์และ DoS ใน Defender
• ระบบติดตามช่องโหว่หลายแห่งระบุว่าเป็น ช่องโหว่ที่ถูก exploit แล้วและมีความรุนแรงสูง

อย่างไรก็ตาม ข้อมูลสาธารณะยังไม่มีตัวอย่าง exploit โค้ด ตัวบ่งชี้การโจมตี (IOC) หรือข้อมูลเหยื่อที่ได้รับผลกระทบอย่างชัดเจน.

ระบบที่ได้รับผลกระทบ

ช่องโหว่เหล่านี้กระทบกับ ส่วนประกอบของ Microsoft Defender ไม่ได้ขึ้นกับเวอร์ชัน Windows โดยตรง ดังนั้นเครื่องที่ใช้ Defender ใน Windows หลายเวอร์ชันจึงอาจได้รับผลกระทบ เช่น

• Windows 11
• Windows Server ที่เปิดใช้ Microsoft Defender
• เครื่องในองค์กรที่ใช้ Microsoft Malware Protection Engine

คำแนะนำด้านความปลอดภัยระบุว่าเวอร์ชันที่มีความเสี่ยง ได้แก่:

• Malware Protection Engine ก่อนเวอร์ชัน 1.1.26040.8
• Microsoft Defender Platform ก่อนเวอร์ชัน 4.18.26040.7

เนื่องจาก Defender มีระบบอัปเดตแยกจาก Windows Update ผู้ดูแลระบบจึงควร ตรวจสอบเวอร์ชัน Defender โดยตรง แทนที่จะอาศัยการอัปเดต Windows เพียงอย่างเดียว.

ความเชื่อมโยงกับกิจกรรม “Nightmare‑Eclipse”

นักวิจัยด้านความปลอดภัยบางรายเชื่อมโยงช่วงเวลาของช่องโหว่เหล่านี้กับกิจกรรมของผู้โจมตีที่ใช้ชื่อว่า Nightmare‑Eclipse (หรือ Chaotic Eclipse) ซึ่งเคยเผยแพร่ exploit สำหรับ Windows หลายตัวในปี 2026 หลังมีข้อขัดแย้งเกี่ยวกับกระบวนการเปิดเผยช่องโหว่ของ Microsoft.

รายงานบางฉบับอธิบายว่ากลุ่มหรือบุคคลนี้ได้เผยแพร่ zero‑day หลายตัวที่มุ่งเป้าไปยังเครื่องมือความปลอดภัยของ Microsoft และส่วนประกอบของ Windows.

อย่างไรก็ตาม หลักฐานที่เปิดเผยต่อสาธารณะในปัจจุบัน ยังไม่สามารถยืนยันได้ว่าช่องโหว่ CVE‑2026‑41091 หรือ CVE‑2026‑45498 เป็นส่วนหนึ่งของแคมเปญดังกล่าวโดยตรง.

แนวทางป้องกันและลดความเสี่ยง

องค์กรและผู้ดูแลระบบที่ใช้ Windows ควรจัดการช่องโหว่นี้เป็น งานแพตช์ระดับเร่งด่วน.

แนวทางที่แนะนำ ได้แก่:

• ติดตั้ง Microsoft Defender platform และ engine เวอร์ชันล่าสุด ที่ออกในอัปเดตวันที่ 20 พฤษภาคม
• ตรวจสอบเวอร์ชัน Defender ในทุก endpoint ไม่ใช่ดูเฉพาะ Windows build
• ให้ความสำคัญกับเครื่องที่มีผู้ใช้หลายคน เช่น เซิร์ฟเวอร์, VDI, เครื่องนักพัฒนา ที่มีความเสี่ยง LPE สูง
• ตรวจสอบเหตุการณ์ผิดปกติของ Defender เช่น service crash หรือ restart บ่อย
• เฝ้าระวังไฟล์ symbolic link หรือ reparse point ที่ผิดปกติในโฟลเดอร์ที่ผู้ใช้เขียนได้

หากยังไม่สามารถอัปเดตได้ทันที ควรลดความเสี่ยงโดย:

• จำกัดการเข้าถึงเครื่องแบบ interactive
• ลดสิทธิ์ผู้ใช้ที่ไม่จำเป็น
• ตรวจสอบสถานะระบบป้องกัน endpoint อย่างใกล้ชิด

ทำไมช่องโหว่ใน Defender ถึงสำคัญ

ซอฟต์แวร์ป้องกันภัยไซเบอร์อย่าง Microsoft Defender มักทำงานด้วยสิทธิ์สูงและเชื่อมโยงลึกกับระบบปฏิบัติการ Windows ดังนั้น หากตัวเครื่องมือป้องกันเองมีช่องโหว่ ก็อาจกลายเป็นจุดโจมตีที่ทรงพลังสำหรับผู้ไม่หวังดี.

เหตุการณ์อัปเดตฉุกเฉินครั้งนี้จึงตอกย้ำบทเรียนสำคัญของความปลอดภัยไซเบอร์: แม้แต่เครื่องมือที่สร้างขึ้นเพื่อป้องกันระบบ ก็ยังต้องได้รับการอัปเดตและตรวจสอบอย่างสม่ำเสมอเพื่อปิดช่องทางการโจมตี.