เปิดโปง ShieldBreak: เอ็กซพลอยต์ Zero-Day ล่าสุดที่ bypass แพตช์ Microsoft Defender สำเร็จ

มัน bypass แพตช์ได้อย่างไร?

ShieldBreak ไม่ใช่ช่องโหว่ใหม่ที่แตกต่างไปจากเดิม — แต่มันคือ การ bypass แพตช์โดยตรง นักวิจัยผู้พัฒนาได้แถลงว่าไมโครซอฟท์ "ล้มเหลวในการแพตช์ช่องโหว่ RoguePlanet อย่างถูกต้อง" และ PoC นี้แสดงให้เห็นถึงการหลบเลี่ยงมาตรการที่ไมโครซอฟท์ปล่อยออกมาเมื่อห้าสัปดาห์ก่อนหน้านั้น

ใครเป็นผู้ปล่อย?

เอ็กซพลอยต์นี้ถูกปล่อยโดยนักวิจัยด้านความปลอดภัยที่ใช้หลายนามแฝง: Nightmare Eclipse, Chaotic Eclipse, INFINITE NIGHTMARE และ MSNightmare นี่คือ เอ็กซพลอยต์ Zero-Day บน Windows ตัวที่ 9 ที่เขาปล่อยสู่สาธารณะ

ระบบที่ได้รับผลกระทบ

ShieldBreak ส่งผลกระทบต่อ Windows 10 และ Windows 11 ที่อัปเดตครบถ้วนสมบูรณ์ ซึ่งรัน Microsoft Defender Malware Protection Engine เวอร์ชันที่ได้รับการอัปเดตในเดือนกรกฎาคม 2026 เนื่องจากมันเป็นการ bypass แพตช์ ระบบใดก็ตามที่ติดตั้งแพตช์เดือนกรกฎาคมสำหรับ CVE-2026-50656 โดยไม่มีมาตรการเพิ่มเติมก็ยังคงมีความเสี่ยงอยู่

บริบทที่กว้างขึ้น: ความขัดแย้งที่ยืดเยื้อหลายเดือน

Nightmare Eclipse และไมโครซอฟท์กำลังเผชิญหน้ากันในที่สาธารณะเกี่ยวกับการเปิดเผยช่องโหว่มาเป็นเวลาหลายเดือน:

• นักวิจัยมักจะปล่อย Zero-Day PoCs ภายในไม่กี่ชั่วโมงหลังจาก Patch Tuesday ของไมโครซอฟท์ โดยจับจังหวะให้เกิดแรงกดดันสูงสุด
• ในเดือนพฤษภาคม 2026 ไมโครซอฟท์ได้บล็อกนักวิจัยจาก GitHub และ GitLab และตีพิมพ์บล็อกโพสต์ตำหนิพฤติกรรมของนักวิจัย นักวิจัยตอบโต้ด้วยการขู่ว่าจะปล่อย Zero-Day เพิ่มเติม
• ไมโครซอฟท์ระบุว่าการเปิดเผยดังกล่าวขาดความรับผิดชอบ ขณะที่นักวิจัยแย้งว่าไมโครซอฟท์ช้าในการแพตช์ข้อบกพร่องที่รายงาน และการกดดันจากสาธารณะคืออาวุธเดียวที่ได้ผล
• The Register รายงานเมื่อวันที่ 9 กรกฎาคม 2026 ว่าไมโครซอฟท์ได้ "แก้ไขอย่างเงียบๆ" ให้กับ RoguePlanet โดย "ปิดช่องโหว่ล่าสุดที่ถูกเปิดโปงโดยนักวิจัยด้านความปลอดภัย Nightmare Eclipse หลังจากการต่อสู้ในที่สาธารณะเป็นเวลาหลายเดือน" การปล่อย ShieldBreak เพียงหนึ่งเดือนต่อมาบ่งชี้ว่าข้อพิพาทยังคงดำเนินต่อไป

August 2026 Patch Tuesday (11 สิงหาคม 2026)

Patch Tuesday ประจำเดือนสิงหาคม 2026 ของไมโครซอฟท์ได้แก้ไขช่องโหว่ประมาณ 400–418 รายการ (จำนวนแตกต่างกันไปตามแหล่งที่มา) รวมถึงช่องโหว่ระดับ รุนแรง 62 รายการ และ Zero-Day สามรายการ

Zero-Day ที่ถูกโจมตีจริง: CVE-2026-68820

• คอมโพเนนต์: Windows Ancillary Function Driver for WinSock (afd.sys) ซึ่งเป็นไดรเวอร์ระดับเคอร์เนลที่จัดการการดำเนินการซ็อกเก็ตสำหรับกระบวนการที่ใช้เครือข่ายเกือบทั้งหมดของ Windows
• ประเภท: ข้อบกพร่องแบบ use-after-free
• ระดับความรุนแรง: Important
• สถานะ: มีการโจมตีจริงในโลกไซเบอร์ ณ เวลาที่ออกแพตช์

นอกจากนี้ยังมีการแก้ไขข้อบกพร่องยกระดับสิทธิ์ของ AFD.sys อีกสองรายการ: CVE-2026-61348 และ CVE-2026-70307 การออกรอบเดือนสิงหาคมของไมโครซอฟท์เกิดขึ้นหลังจาก Patch Tuesday เดือนกรกฎาคม 2026 ที่ทำลายสถิติด้วยการแก้ไข 570 แพตช์ และรอบเดือนมิถุนายน 2026 ที่มีการแก้ไขประมาณ 200 แพตช์