เมื่อซอฟต์แวร์พยายามเปิดไฟล์ ระบบอาจติดตามลิงก์หรือ shortcut ไปยังไฟล์อื่นโดยไม่ได้ตรวจสอบอย่างปลอดภัย ส่งผลให้ผู้โจมตีสามารถหลอกให้ Defender เข้าถึงไฟล์ที่ถูกควบคุมโดยผู้โจมตีได้.

รายละเอียดสำคัญ:

• ประเภทช่องโหว่: Elevation of Privilege (LPE)
• คะแนนความรุนแรง: CVSS 3.1 = 7.8 (High)
• ลักษณะการโจมตี: ต้องมีการเข้าถึงเครื่องในระดับผู้ใช้ก่อน (local attacker)

หากโจมตีสำเร็จ ผู้โจมตีสามารถ ยกระดับสิทธิ์จากผู้ใช้ธรรมดาไปเป็นระดับ SYSTEM ซึ่งเป็นสิทธิ์สูงสุดใน Windows ได้ .

ช่องโหว่นี้เกี่ยวข้องกับ Microsoft Malware Protection Engine ซึ่งเป็นกลไกหลักที่ใช้สแกนและตรวจจับมัลแวร์ใน Microsoft Defender. เวอร์ชันที่ได้รับผลกระทบรวมถึงเอ็นจินก่อน 1.1.26040.8 และ Defender เวอร์ชันก่อน 4.18.26040.7 .

รายงานบางส่วนยังระบุว่าเอ็นจินช่วงเวอร์ชัน 1.1.26030.3008 ถึงก่อน 1.1.26040.8 อาจได้รับผลกระทบจากช่องโหว่นี้ .

CVE‑2026‑45498: ช่องโหว่ Denial‑of‑Service ใน Defender

ช่องโหว่ที่สอง CVE‑2026‑45498 เป็นบั๊กที่ทำให้เกิด Denial‑of‑Service (DoS) ใน Microsoft Defender .

เมื่อถูกใช้โจมตี ช่องโหว่นี้สามารถทำให้ Defender หยุดทำงานหรือไม่สามารถป้องกันมัลแวร์ได้ตามปกติ ซึ่งอาจเปิดโอกาสให้มัลแวร์หรือการโจมตีอื่นผ่านระบบป้องกันไปได้ .

ข้อมูลทางเทคนิคที่เปิดเผยต่อสาธารณะยังมีจำกัด โดย:

• NVD ยังไม่ได้เผยแพร่การประเมินคะแนน CVSS อย่างเป็นทางการ
• รายงานบางแห่งระบุคะแนนประมาณ CVSS 4.0

ลักษณะกลไก DoS ที่แน่ชัดยังไม่ได้เปิดเผยโดยละเอียด แต่ถูกยืนยันว่าเป็นช่องโหว่ใน Microsoft Defender ที่สามารถทำให้บริการป้องกันหยุดทำงานได้.

การตอบสนองของ CISA และกำหนดเส้นตายแก้ไข

CISA เพิ่มช่องโหว่ทั้งสองลงใน KEV Catalog เมื่อวันที่ 20 พฤษภาคม 2026 หลังยืนยันว่ามีการใช้โจมตีจริงแล้ว .

สำหรับหน่วยงานรัฐบาลกลางของสหรัฐฯ (Federal Civilian Executive Branch):

• ต้องดำเนินการแก้ไขช่องโหว่ตามแนวทาง Binding Operational Directive 22‑01
• CVE‑2026‑45498 มีเส้นตายการแก้ไขวันที่ 3 มิถุนายน 2026

แนวทางแก้ไขที่แนะนำ ได้แก่:

• ติดตั้งแพตช์หรืออัปเดตจาก Microsoft
• ใช้มาตรการบรรเทาความเสี่ยงตามคำแนะนำของผู้ผลิต
• หากไม่สามารถแก้ไขได้ ให้พิจารณาปิดการใช้งานหรือเลิกใช้ผลิตภัณฑ์ที่มีช่องโหว่

บริบทภัยคุกคามที่กว้างขึ้น

การเพิ่มช่องโหว่สองรายการนี้เกิดขึ้นพร้อมกับการที่ CISA เพิ่ม ช่องโหว่อีกหลายรายการใน KEV Catalog ในวันเดียวกัน ซึ่งรวมถึงบั๊กเก่าของ Microsoft และ Adobe ที่ยังคงถูกใช้โจมตีอยู่ .

สถานการณ์นี้สะท้อนแนวโน้มสำคัญของความปลอดภัยไซเบอร์ในองค์กร:

• ช่องโหว่ที่ถูกใช้โจมตีจริง (actively exploited) ต้องได้รับการแพตช์อย่างเร่งด่วน
• ซอฟต์แวร์ความปลอดภัยเอง เช่น antivirus หรือ endpoint protection ก็สามารถมีช่องโหว่ได้

สำหรับองค์กรที่ใช้ Windows และ Microsoft Defender การอัปเดตระบบอย่างสม่ำเสมอจึงเป็นหนึ่งในมาตรการป้องกันที่สำคัญที่สุด.

เมื่อซอฟต์แวร์พยายามเปิดไฟล์ ระบบอาจติดตามลิงก์หรือ shortcut ไปยังไฟล์อื่นโดยไม่ได้ตรวจสอบอย่างปลอดภัย ส่งผลให้ผู้โจมตีสามารถหลอกให้ Defender เข้าถึงไฟล์ที่ถูกควบคุมโดยผู้โจมตีได้.

รายละเอียดสำคัญ:

• ประเภทช่องโหว่: Elevation of Privilege (LPE)
• คะแนนความรุนแรง: CVSS 3.1 = 7.8 (High)
• ลักษณะการโจมตี: ต้องมีการเข้าถึงเครื่องในระดับผู้ใช้ก่อน (local attacker)

หากโจมตีสำเร็จ ผู้โจมตีสามารถ ยกระดับสิทธิ์จากผู้ใช้ธรรมดาไปเป็นระดับ SYSTEM ซึ่งเป็นสิทธิ์สูงสุดใน Windows ได้ .

ช่องโหว่นี้เกี่ยวข้องกับ Microsoft Malware Protection Engine ซึ่งเป็นกลไกหลักที่ใช้สแกนและตรวจจับมัลแวร์ใน Microsoft Defender. เวอร์ชันที่ได้รับผลกระทบรวมถึงเอ็นจินก่อน 1.1.26040.8 และ Defender เวอร์ชันก่อน 4.18.26040.7 .

รายงานบางส่วนยังระบุว่าเอ็นจินช่วงเวอร์ชัน 1.1.26030.3008 ถึงก่อน 1.1.26040.8 อาจได้รับผลกระทบจากช่องโหว่นี้ .

CVE‑2026‑45498: ช่องโหว่ Denial‑of‑Service ใน Defender

ช่องโหว่ที่สอง CVE‑2026‑45498 เป็นบั๊กที่ทำให้เกิด Denial‑of‑Service (DoS) ใน Microsoft Defender .

เมื่อถูกใช้โจมตี ช่องโหว่นี้สามารถทำให้ Defender หยุดทำงานหรือไม่สามารถป้องกันมัลแวร์ได้ตามปกติ ซึ่งอาจเปิดโอกาสให้มัลแวร์หรือการโจมตีอื่นผ่านระบบป้องกันไปได้ .

ข้อมูลทางเทคนิคที่เปิดเผยต่อสาธารณะยังมีจำกัด โดย:

• NVD ยังไม่ได้เผยแพร่การประเมินคะแนน CVSS อย่างเป็นทางการ
• รายงานบางแห่งระบุคะแนนประมาณ CVSS 4.0

ลักษณะกลไก DoS ที่แน่ชัดยังไม่ได้เปิดเผยโดยละเอียด แต่ถูกยืนยันว่าเป็นช่องโหว่ใน Microsoft Defender ที่สามารถทำให้บริการป้องกันหยุดทำงานได้.

การตอบสนองของ CISA และกำหนดเส้นตายแก้ไข

CISA เพิ่มช่องโหว่ทั้งสองลงใน KEV Catalog เมื่อวันที่ 20 พฤษภาคม 2026 หลังยืนยันว่ามีการใช้โจมตีจริงแล้ว .

สำหรับหน่วยงานรัฐบาลกลางของสหรัฐฯ (Federal Civilian Executive Branch):

• ต้องดำเนินการแก้ไขช่องโหว่ตามแนวทาง Binding Operational Directive 22‑01
• CVE‑2026‑45498 มีเส้นตายการแก้ไขวันที่ 3 มิถุนายน 2026

แนวทางแก้ไขที่แนะนำ ได้แก่:

• ติดตั้งแพตช์หรืออัปเดตจาก Microsoft
• ใช้มาตรการบรรเทาความเสี่ยงตามคำแนะนำของผู้ผลิต
• หากไม่สามารถแก้ไขได้ ให้พิจารณาปิดการใช้งานหรือเลิกใช้ผลิตภัณฑ์ที่มีช่องโหว่

บริบทภัยคุกคามที่กว้างขึ้น

การเพิ่มช่องโหว่สองรายการนี้เกิดขึ้นพร้อมกับการที่ CISA เพิ่ม ช่องโหว่อีกหลายรายการใน KEV Catalog ในวันเดียวกัน ซึ่งรวมถึงบั๊กเก่าของ Microsoft และ Adobe ที่ยังคงถูกใช้โจมตีอยู่ .

สถานการณ์นี้สะท้อนแนวโน้มสำคัญของความปลอดภัยไซเบอร์ในองค์กร:

• ช่องโหว่ที่ถูกใช้โจมตีจริง (actively exploited) ต้องได้รับการแพตช์อย่างเร่งด่วน
• ซอฟต์แวร์ความปลอดภัยเอง เช่น antivirus หรือ endpoint protection ก็สามารถมีช่องโหว่ได้

สำหรับองค์กรที่ใช้ Windows และ Microsoft Defender การอัปเดตระบบอย่างสม่ำเสมอจึงเป็นหนึ่งในมาตรการป้องกันที่สำคัญที่สุด.