กลไกการทำงาน: TOCTOU Race Condition ในเอ็นจิ้นแอนตี้ไวรัส

ช่องโหว่นี้เป็น Time-of-Check to Time-of-Use (TOCTOU) race condition ซึ่งเกิดจาก การจัดการลิงก์ที่ไม่ถูกต้อง (improper link resolution หรือ CWE-59) โดยปกติแล้ว Microsoft Malware Protection Engine จะทำงานด้วยสิทธิระดับสูงสุดคือ NT AUTHORITY\SYSTEM วิธีการโจมตีคือการแข่งกับเอ็นจิ้นนี้เอง:

• ผู้ใช้ที่ไม่มีสิทธิ์พิเศษ (low-privileged user) จะสร้างลิงก์สัญลักษณ์ (symbolic link) หรือไฟล์ที่ดักจับการทำงานของเอ็นจิ้น โดยเอ็นจิ้นจะตรวจสอบไฟล์นั้นก่อน (Time-of-Check) จากนั้นผู้โจมตีจะสลับไฟล์อย่างรวดเร็วในจังหวะที่เอ็นจิ้นกำลังจะใช้งาน (Time-of-Use)
• ด้วยการใช้เทคนิค oplock (opportunistic lock) เพื่อควบคุมจังหวะได้อย่างแม่นยำ ผู้โจมตีจะสามารถเปลี่ยนเส้นทางการทำงานของเอ็นจิ้นไปยังตำแหน่งที่ตัวเองควบคุมได้
• จากนั้นเอ็นจิ้นซึ่งทำงานด้วยสิทธิ SYSTEM จะดำเนินการบางอย่างกับไฟล์นั้น (เช่น เขียนหรือรันไฟล์) ที่ตำแหน่งที่ผู้โจมตีเลือก ทำให้ผู้โจมตีสามารถเปิดหน้าต่างคำสั่ง (command shell) ที่ทำงานด้วยสิทธิ SYSTEM ได้สำเร็จ

ช่องโหว่นี้เป็นแบบ local ซึ่งหมายความว่าผู้โจมตีต้องเข้าถึงเครื่องนั้นได้แล้วในระดับผู้ใช้ทั่วไป แต่ไม่จำเป็นต้องมีสิทธิพิเศษเพิ่มเติม นอกจากนี้ โค้ด PoC ยังใช้ได้ผลไม่ว่า Defender จะเปิดใช้งาน real-time protection หรือไม่ก็ตาม

คะแนน CVSS และระดับความรุนแรง

Microsoft ให้คะแนน CVSS 3.1 ฐาน 7.8 (HIGH) โดยกำหนดให้ Attack Complexity เป็น Low (ให้เหตุผลว่า oplock ทำให้การแข่งจังหวะทำได้ง่ายขึ้น) ในขณะที่ NVD ให้คะแนนฐาน 7.0 (HIGH) โดยกำหนด Attack Complexity เป็น High (ยอมรับว่าการแข่งจังหวะนั้นยาก) ค่า temporal score ตามการประเมินของ Microsoft อยู่ที่ 7.6

ช่องโหว่นี้ถูกจัดอันดับให้มีแนวโน้ม "ถูกโจมตีได้ง่าย" (Exploitation More Likely) ในดัชนี Exploitability Index ของ Microsoft

ไทม์ไลน์การเปิดเผยสู่สาธารณะ

ช่องว่างระหว่างการปล่อยโค้ดโจมตีสู่สาธารณะและการที่ Microsoft รับทราบเป็นประเด็นสำคัญ:

ระยะเวลาจากการปล่อยโค้ดสู่สาธารณะ (10 มิถุนายน) จนถึงวันที่ Microsoft รับทราบ (16 มิถุนายน) นั้นห่างกันประมาณ 6 วัน และ ณ ต้นเดือนกรกฎาคม 2026 โค้ดโจมตีนี้ถูกเปิดเผยต่อสาธารณะมาแล้ว ประมาณหนึ่งเดือนแต่ก็ยังไม่มีแพตช์

ใครเป็นผู้ค้นพบ: แคมเปญ Nightmare Eclipse

ช่องโหว่นี้ถูกค้นพบและเผยแพร่โดยนักวิจัยด้านความปลอดภัยที่ใช้ชื่อแฝงว่า Nightmare Eclipse (หรือที่รู้จักในชื่อ Chaotic Eclipse)

นี่เป็น ช่องโหว่ครั้งที่ 7 จากการโจมตี Microsoft Defender อย่างต่อเนื่องของนักวิจัยรายนี้ ช่องโหว่ก่อนหน้านี้ที่เปิดเผย ได้แก่ BlueHammer, RedSun, UnDefend, YellowKey, และ GreenPlasma ซึ่งเป็นช่องโหว่แบบยกระดับสิทธิและบายพาสความปลอดภัยของ Defender TechRadar ระบุว่า RoguePlanet เป็นส่วนหนึ่งของ "แคมเปญวิจัยที่ต่อเนื่องเพื่อเจาะพื้นผิวการโจมตีของ Defender" มีการยืนยัน PoC โดยองค์กรภายนอกอย่าง ThreatLocker ซึ่งยืนยันความน่าเชื่อถือของชุดการโจมตีนี้

เสียงวิจารณ์จากชุมชนเรื่องความล่าช้าของแพตช์

ความล่าช้าของแพตช์ทำให้ชุมชนความปลอดภัยออกมาวิจารณ์อย่างรุนแรง:

• Red Hound กล่าวถึงสถานการณ์นี้อย่างตรงไปตรงมา: "โค้ดโจมตีที่ใช้ได้จริงสำหรับแอนตี้ไวรัสที่มาพร้อมกับ Windows ทุกเครื่องถูกเปิดเผยต่อสาธารณะนานกว่าสองสัปดาห์แล้ว แต่ก็ยังไม่มีแพตช์"
• Cloud Security Alliance ระบุว่า ณ วันที่ 19 มิถุนายน ซึ่งเป็นเวลา 9 วันหลังจากการเปิดเผย ยังไม่มีแพตช์หรือกำหนดการอัปเดตแบบ out-of-band และเรียกช่องว่างนี้ว่า "น่าตกใจ" สำหรับช่องโหว่ที่มาพร้อมกับ Windows ทุกเครื่องทั้งสำหรับผู้บริโภคและองค์กร
• cve.tools รายงานว่า ณ วันที่ 1 กรกฎาคม 2026 (21 วันหลังจากการเปิดเผย) ยังไม่มีแพตช์ และการปล่อยให้เสี่ยงเป็นเวลานานนั้น "ผิดปกติสำหรับซีโรเดย์ที่ถูกเปิดเผยต่อสาธารณะในส่วนประกอบความปลอดภัยหลัก"
• หลายแหล่งข่าวชี้ให้เห็นถึงความขัดแย้งที่ เอ็นจิ้นแอนตี้ไวรัสของ Microsoft เอง ซึ่งเป็นแนวป้องกันสุดท้าย กลับถูกใช้เป็นช่องทางในการโจมตีเพื่อยกระดับสิทธิเป็น SYSTEM และการขาดความเร่งด่วนของ Microsoft ทำให้เกิดคำถามเกี่ยวกับกระบวนการตอบสนองต่อช่องโหว่ของบริษัท

ประเด็นหลักของความหงุดหงิดคือ: เพราะ Defender เปิดใช้งานตามค่าเริ่มต้นบน Windows ทุกเครื่อง ช่องโหว่นี้จึงมีพื้นผิวการโจมตีที่กว้างมหาศาล แต่ Microsoft ก็ยังไม่ออกแพตช์ชั่วคราว (out-of-band) แม้จะมีโค้ดโจมตีที่ใช้งานได้จริงเผยแพร่ต่อสาธารณะก็ตาม

มาตรการบรรเทาผลกระทบชั่วคราวและขั้นตอนที่องค์กรควรดำเนินการ

หลายแหล่งข้อมูลแนะนำมาตรการต่อไปนี้จนกว่า Microsoft จะออกแพตช์ถาวร:

ติดตั้งแพตช์เมื่อมีให้ใช้งาน

• อัปเดต Microsoft Malware Protection Engine (MsMpEng) ทันทีที่ Microsoft ปล่อยอัปเดตความปลอดภัย โดยทั่วไปจะถูกส่งผ่าน Windows Update หรือ Microsoft Update Catalog
• ณ วันที่ 10 กรกฎาคม 2026 ยังไม่มีแพตช์ — ให้ติดตามประกาศจาก CVE advisory และ Microsoft Security Response Center (MSRC) สำหรับการอัปเดต out-of-band

มาตรการบรรเทาผลกระทบชั่วคราว (เมื่อยังไม่มีแพตช์)

• จำกัดบัญชีผู้ใช้ในเครื่อง เนื่องจากการโจมตีต้องอาศัยการล็อกอินแบบโต้ตอบ (interactive logon) จึงควรลดจำนวนผู้ใช้ทั่วไปบนระบบที่สำคัญให้น้อยที่สุด
• บังคับใช้ AppLocker หรือ WDAC (Windows Defender Application Control) เพื่อป้องกันการรันโปรแกรมหรือสคริปต์ที่ไม่ได้รับอนุญาต รวมถึงไฟล์ PoC ที่ไม่น่าเชื่อถือ
• เปิดใช้งานกฎ ASR (Attack Surface Reduction) ที่สามารถป้องกันการขโมยข้อมูลประจำตัวและกระบวนการที่ไม่น่าเชื่อถือ — แม้ว่าสิ่งเหล่านี้อาจไม่สามารถหยุด TOCTOU race ได้โดยตรง
• ตรวจสอบหาสิ่งบ่งชี้การโจมตี (IOC) การโจมตีนี้ต้องอาศัยการสร้าง oplock และ symbolic link โดยเฉพาะ ควรตั้งกฎในระบบ EDR (Endpoint Detection and Response) เพื่อเตือนเมื่อมีการใช้งาน oplock หรือสร้าง symlink ที่ผิดปกติโดยกระบวนการที่ไม่ใช่ SYSTEM
• ให้ความสำคัญกับการจำกัดการเข้าถึงทางกายภาพและลอจิคัล สำหรับเครื่อง Windows ที่ผู้ใช้ที่ไม่น่าเชื่อถือหรือยังไม่ผ่านการตรวจสอบ มาตรการนี้เป็นมาตรการควบคุมชั่วคราวที่เชื่อถือได้มากที่สุด เนื่องจากช่องโหว่นี้ต้องมีการรันโค้ดในเครื่อง
• ใช้หลักการสิทธิ์น้อยที่สุด (least-privilege) — อย่าให้สิทธิผู้ดูแลระบบในเครื่องแก่ผู้ใช้ทั่วไป แม้ว่าจะต้องทราบว่ามาตรการนี้ไม่ได้ป้องกันการโจมตี (เนื่องจากเป็นการยกระดับจากผู้ใช้ทั่วไปเป็น SYSTEM)

กลไกการทำงาน: TOCTOU Race Condition ในเอ็นจิ้นแอนตี้ไวรัส

ช่องโหว่นี้เป็น Time-of-Check to Time-of-Use (TOCTOU) race condition ซึ่งเกิดจาก การจัดการลิงก์ที่ไม่ถูกต้อง (improper link resolution หรือ CWE-59) โดยปกติแล้ว Microsoft Malware Protection Engine จะทำงานด้วยสิทธิระดับสูงสุดคือ NT AUTHORITY\SYSTEM วิธีการโจมตีคือการแข่งกับเอ็นจิ้นนี้เอง:

• ผู้ใช้ที่ไม่มีสิทธิ์พิเศษ (low-privileged user) จะสร้างลิงก์สัญลักษณ์ (symbolic link) หรือไฟล์ที่ดักจับการทำงานของเอ็นจิ้น โดยเอ็นจิ้นจะตรวจสอบไฟล์นั้นก่อน (Time-of-Check) จากนั้นผู้โจมตีจะสลับไฟล์อย่างรวดเร็วในจังหวะที่เอ็นจิ้นกำลังจะใช้งาน (Time-of-Use)
• ด้วยการใช้เทคนิค oplock (opportunistic lock) เพื่อควบคุมจังหวะได้อย่างแม่นยำ ผู้โจมตีจะสามารถเปลี่ยนเส้นทางการทำงานของเอ็นจิ้นไปยังตำแหน่งที่ตัวเองควบคุมได้
• จากนั้นเอ็นจิ้นซึ่งทำงานด้วยสิทธิ SYSTEM จะดำเนินการบางอย่างกับไฟล์นั้น (เช่น เขียนหรือรันไฟล์) ที่ตำแหน่งที่ผู้โจมตีเลือก ทำให้ผู้โจมตีสามารถเปิดหน้าต่างคำสั่ง (command shell) ที่ทำงานด้วยสิทธิ SYSTEM ได้สำเร็จ

ช่องโหว่นี้เป็นแบบ local ซึ่งหมายความว่าผู้โจมตีต้องเข้าถึงเครื่องนั้นได้แล้วในระดับผู้ใช้ทั่วไป แต่ไม่จำเป็นต้องมีสิทธิพิเศษเพิ่มเติม นอกจากนี้ โค้ด PoC ยังใช้ได้ผลไม่ว่า Defender จะเปิดใช้งาน real-time protection หรือไม่ก็ตาม

คะแนน CVSS และระดับความรุนแรง

Microsoft ให้คะแนน CVSS 3.1 ฐาน 7.8 (HIGH) โดยกำหนดให้ Attack Complexity เป็น Low (ให้เหตุผลว่า oplock ทำให้การแข่งจังหวะทำได้ง่ายขึ้น) ในขณะที่ NVD ให้คะแนนฐาน 7.0 (HIGH) โดยกำหนด Attack Complexity เป็น High (ยอมรับว่าการแข่งจังหวะนั้นยาก) ค่า temporal score ตามการประเมินของ Microsoft อยู่ที่ 7.6

ช่องโหว่นี้ถูกจัดอันดับให้มีแนวโน้ม "ถูกโจมตีได้ง่าย" (Exploitation More Likely) ในดัชนี Exploitability Index ของ Microsoft

ไทม์ไลน์การเปิดเผยสู่สาธารณะ

ช่องว่างระหว่างการปล่อยโค้ดโจมตีสู่สาธารณะและการที่ Microsoft รับทราบเป็นประเด็นสำคัญ:

ระยะเวลาจากการปล่อยโค้ดสู่สาธารณะ (10 มิถุนายน) จนถึงวันที่ Microsoft รับทราบ (16 มิถุนายน) นั้นห่างกันประมาณ 6 วัน และ ณ ต้นเดือนกรกฎาคม 2026 โค้ดโจมตีนี้ถูกเปิดเผยต่อสาธารณะมาแล้ว ประมาณหนึ่งเดือนแต่ก็ยังไม่มีแพตช์

ใครเป็นผู้ค้นพบ: แคมเปญ Nightmare Eclipse

ช่องโหว่นี้ถูกค้นพบและเผยแพร่โดยนักวิจัยด้านความปลอดภัยที่ใช้ชื่อแฝงว่า Nightmare Eclipse (หรือที่รู้จักในชื่อ Chaotic Eclipse)

นี่เป็น ช่องโหว่ครั้งที่ 7 จากการโจมตี Microsoft Defender อย่างต่อเนื่องของนักวิจัยรายนี้ ช่องโหว่ก่อนหน้านี้ที่เปิดเผย ได้แก่ BlueHammer, RedSun, UnDefend, YellowKey, และ GreenPlasma ซึ่งเป็นช่องโหว่แบบยกระดับสิทธิและบายพาสความปลอดภัยของ Defender TechRadar ระบุว่า RoguePlanet เป็นส่วนหนึ่งของ "แคมเปญวิจัยที่ต่อเนื่องเพื่อเจาะพื้นผิวการโจมตีของ Defender" มีการยืนยัน PoC โดยองค์กรภายนอกอย่าง ThreatLocker ซึ่งยืนยันความน่าเชื่อถือของชุดการโจมตีนี้

เสียงวิจารณ์จากชุมชนเรื่องความล่าช้าของแพตช์

ความล่าช้าของแพตช์ทำให้ชุมชนความปลอดภัยออกมาวิจารณ์อย่างรุนแรง:

• Red Hound กล่าวถึงสถานการณ์นี้อย่างตรงไปตรงมา: "โค้ดโจมตีที่ใช้ได้จริงสำหรับแอนตี้ไวรัสที่มาพร้อมกับ Windows ทุกเครื่องถูกเปิดเผยต่อสาธารณะนานกว่าสองสัปดาห์แล้ว แต่ก็ยังไม่มีแพตช์"
• Cloud Security Alliance ระบุว่า ณ วันที่ 19 มิถุนายน ซึ่งเป็นเวลา 9 วันหลังจากการเปิดเผย ยังไม่มีแพตช์หรือกำหนดการอัปเดตแบบ out-of-band และเรียกช่องว่างนี้ว่า "น่าตกใจ" สำหรับช่องโหว่ที่มาพร้อมกับ Windows ทุกเครื่องทั้งสำหรับผู้บริโภคและองค์กร
• cve.tools รายงานว่า ณ วันที่ 1 กรกฎาคม 2026 (21 วันหลังจากการเปิดเผย) ยังไม่มีแพตช์ และการปล่อยให้เสี่ยงเป็นเวลานานนั้น "ผิดปกติสำหรับซีโรเดย์ที่ถูกเปิดเผยต่อสาธารณะในส่วนประกอบความปลอดภัยหลัก"
• หลายแหล่งข่าวชี้ให้เห็นถึงความขัดแย้งที่ เอ็นจิ้นแอนตี้ไวรัสของ Microsoft เอง ซึ่งเป็นแนวป้องกันสุดท้าย กลับถูกใช้เป็นช่องทางในการโจมตีเพื่อยกระดับสิทธิเป็น SYSTEM และการขาดความเร่งด่วนของ Microsoft ทำให้เกิดคำถามเกี่ยวกับกระบวนการตอบสนองต่อช่องโหว่ของบริษัท

ประเด็นหลักของความหงุดหงิดคือ: เพราะ Defender เปิดใช้งานตามค่าเริ่มต้นบน Windows ทุกเครื่อง ช่องโหว่นี้จึงมีพื้นผิวการโจมตีที่กว้างมหาศาล แต่ Microsoft ก็ยังไม่ออกแพตช์ชั่วคราว (out-of-band) แม้จะมีโค้ดโจมตีที่ใช้งานได้จริงเผยแพร่ต่อสาธารณะก็ตาม

มาตรการบรรเทาผลกระทบชั่วคราวและขั้นตอนที่องค์กรควรดำเนินการ

หลายแหล่งข้อมูลแนะนำมาตรการต่อไปนี้จนกว่า Microsoft จะออกแพตช์ถาวร:

ติดตั้งแพตช์เมื่อมีให้ใช้งาน

• อัปเดต Microsoft Malware Protection Engine (MsMpEng) ทันทีที่ Microsoft ปล่อยอัปเดตความปลอดภัย โดยทั่วไปจะถูกส่งผ่าน Windows Update หรือ Microsoft Update Catalog
• ณ วันที่ 10 กรกฎาคม 2026 ยังไม่มีแพตช์ — ให้ติดตามประกาศจาก CVE advisory และ Microsoft Security Response Center (MSRC) สำหรับการอัปเดต out-of-band

มาตรการบรรเทาผลกระทบชั่วคราว (เมื่อยังไม่มีแพตช์)

• จำกัดบัญชีผู้ใช้ในเครื่อง เนื่องจากการโจมตีต้องอาศัยการล็อกอินแบบโต้ตอบ (interactive logon) จึงควรลดจำนวนผู้ใช้ทั่วไปบนระบบที่สำคัญให้น้อยที่สุด
• บังคับใช้ AppLocker หรือ WDAC (Windows Defender Application Control) เพื่อป้องกันการรันโปรแกรมหรือสคริปต์ที่ไม่ได้รับอนุญาต รวมถึงไฟล์ PoC ที่ไม่น่าเชื่อถือ
• เปิดใช้งานกฎ ASR (Attack Surface Reduction) ที่สามารถป้องกันการขโมยข้อมูลประจำตัวและกระบวนการที่ไม่น่าเชื่อถือ — แม้ว่าสิ่งเหล่านี้อาจไม่สามารถหยุด TOCTOU race ได้โดยตรง
• ตรวจสอบหาสิ่งบ่งชี้การโจมตี (IOC) การโจมตีนี้ต้องอาศัยการสร้าง oplock และ symbolic link โดยเฉพาะ ควรตั้งกฎในระบบ EDR (Endpoint Detection and Response) เพื่อเตือนเมื่อมีการใช้งาน oplock หรือสร้าง symlink ที่ผิดปกติโดยกระบวนการที่ไม่ใช่ SYSTEM
• ให้ความสำคัญกับการจำกัดการเข้าถึงทางกายภาพและลอจิคัล สำหรับเครื่อง Windows ที่ผู้ใช้ที่ไม่น่าเชื่อถือหรือยังไม่ผ่านการตรวจสอบ มาตรการนี้เป็นมาตรการควบคุมชั่วคราวที่เชื่อถือได้มากที่สุด เนื่องจากช่องโหว่นี้ต้องมีการรันโค้ดในเครื่อง
• ใช้หลักการสิทธิ์น้อยที่สุด (least-privilege) — อย่าให้สิทธิผู้ดูแลระบบในเครื่องแก่ผู้ใช้ทั่วไป แม้ว่าจะต้องทราบว่ามาตรการนี้ไม่ได้ป้องกันการโจมตี (เนื่องจากเป็นการยกระดับจากผู้ใช้ทั่วไปเป็น SYSTEM)