คำตอบเผยแพร่แล้วเมื่อวานซืนLast edited เมื่อวานซืน32 แหล่งที่มา

ShieldBreak ใน Microsoft Defender ยังไร้แพตช์: สิ่งที่ผู้ดูแล Windows ต้องรู้

ณ 19 สิงหาคม 2026 ShieldBreak หรือ CVE 2026 69414 เป็นช่องโหว่ยกระดับสิทธิ์ระดับ High (CVSS 7.8) ที่มีโค้ดทดสอบการโจมตีเผยแพร่แล้ว แต่ยังไม่มีแพตช์เฉพาะจาก Microsoft และยังไม่มีหลักฐานยืนยันการถูกใช้โจมตีจริง นักวิจัยอ้างว่าโค้ดทดสอบทำงานสำเร็จ 100% บน Windows 11 25H2, รุ่น Canary/Insider และ Windows Server 2025 แต่...

ค้นหาและตรวจสอบข้อเท็จจริงด้วย Studio Global AI ดูหน้าที่กำลังมาแรงเพิ่มเติม

คำตอบการวิจัย

ประเด็นสำคัญ

ณ 19 สิงหาคม 2026 ShieldBreak หรือ CVE 2026 69414 เป็นช่องโหว่ยกระดับสิทธิ์ระดับ High (CVSS 7.8) ที่มีโค้ดทดสอบการโจมตีเผยแพร่แล้ว แต่ยังไม่มีแพตช์เฉพาะจาก Microsoft และยังไม่มีหลักฐานยืนยันการถูกใช้โจมตีจริง
นักวิจัยอ้างว่าโค้ดทดสอบทำงานสำเร็จ 100% บน Windows 11 25H2, รุ่น Canary/Insider และ Windows Server 2025 แต่ตัวเลขดังกล่าวยังไม่ใช่ผลทดสอบที่ Microsoft รับรองหรือรายการรุ่นที่ได้รับผลกระทบอย่างเป็นทางการ
ปัญหา Defender สแกนล่ม สแกนแบบออฟไลน์ค้างที่ 91% และการแครชของ MsMpEng.exe ถูกพบหลังการอัปเดตที่เกี่ยวข้อง แต่หลักฐานปัจจุบันบ่งชี้เพียงความสัมพันธ์ ยังยืนยันไม่ได้ว่าเกิดจากการเร่งแก้ ShieldBreak

Abstract cybersecurity illustration of Microsoft Defender malware scanning and a ShieldBreak vulnerability alert — What is the full situation surrounding Microsoft Defender’s response to the ShieldBreak zero-day: how ShieldBreak (CVE-2026-69414, CVSS 7.8)ShieldBreak targets the Malware Protection Engine used by Microsoft Defender.
AI พรอมต์
Create a landscape editorial hero image for this Studio Global article: What is the full situation surrounding Microsoft Defender’s response to the ShieldBreak zero-day: how ShieldBreak (CVE-2026-69414, CVSS 7.8). Article summary: ShieldBreak is a confirmed, publicly disclosed Microsoft Defender elevation-of-privilege vulnerability, but key operational claims—including exact affected builds, universal exploit reliability, and the alleged scan-regr. Topic tags: general, government, education, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, wat
openai.com

ShieldBreak คือช่องโหว่ยกระดับสิทธิ์ใน Microsoft Malware Protection Engine ซึ่งเป็นเอนจินสแกนที่ใช้โดย Microsoft Defender โดย Microsoft ติดตามช่องโหว่นี้ในชื่อ CVE-2026-69414 และจัดระดับความรุนแรงเป็น High ด้วยคะแนน CVSS 7.8

ช่องโหว่นี้ถูกอธิบายว่าเป็นการหลบเลี่ยงการแก้ไขช่องโหว่เดิมชื่อ RoguePlanet (CVE-2026-50656) ที่ Microsoft ปล่อยออกมาในเดือนกรกฎาคม แม้ Microsoft ยืนยันว่าทราบปัญหาและกำลังจัดทำอัปเดตด้านความปลอดภัย แต่ ณ วันที่ 19 สิงหาคม 2026 แหล่งข้อมูลที่มีอยู่ยังไม่พบแพตช์เฉพาะสำหรับ ShieldBreak

ความเสี่ยงอยู่ตรงไหน

ShieldBreak ไม่ใช่ช่องโหว่ที่เปิดให้ผู้โจมตีจากอินเทอร์เน็ตเข้าควบคุมเครื่องได้ทันที โดยทั่วไปผู้โจมตีต้องมีบัญชีผู้ใช้ภายในเครื่อง หรือมีความสามารถรันโค้ดบนเครื่องเป้าหมายก่อน จากนั้นจึงใช้ช่องโหว่เพื่อยกระดับสิทธิ์จากผู้ใช้ระดับต่ำไปเป็น


NT AUTHORITY\\SYSTEM

ซึ่งเป็นบริบทสิทธิ์สูงสุดระดับหนึ่งของ Windows

ดังนั้น ShieldBreak จึงเป็นเครื่องมือสำหรับ ขั้นหลังการเจาะระบบ มากกว่าจะเป็นช่องทางยึดเครื่องจากระยะไกลโดยลำพัง ความเสี่ยงสำคัญคือ หากผู้โจมตีมีช่องทางรันโค้ดในเครื่องอยู่แล้ว ช่องโหว่นี้อาจช่วยให้ขยายอำนาจควบคุมระบบได้มากขึ้น

ShieldBreak ต่างจาก RoguePlanet อย่างไร

RoguePlanet เป็นช่องโหว่ใน Defender เช่นเดียวกัน และเกี่ยวข้องกับการแก้ไขลิงก์ก่อนเข้าถึงไฟล์อย่างไม่เหมาะสม (improper link resolution before file access) ซึ่งจัดอยู่ในหมวด CWE-59 โดย Microsoft รายงานว่าได้แก้ไขช่องโหว่ดังกล่าวแล้วในเดือนกรกฎาคม พร้อมระบุเวอร์ชัน Malware Protection Engine ที่ใช้เป็นฐานแก้ไขคือ 1.1.26060.3008

ความสำคัญของ ShieldBreak อยู่ที่รายงานสาธารณะระบุว่าแนวทางโจมตีใหม่นี้สามารถหลบเลี่ยงการแก้ไข RoguePlanet ได้ โดยไม่ได้เป็นเพียงการนำวิธีโจมตีเดิมกลับมาใช้ซ้ำ ผลลัพธ์ที่รายงานยังคงเหมือนเดิม คือผู้ใช้สิทธิ์ต่ำภายในเครื่องสามารถยกระดับไปสู่ SYSTEM ได้

สำหรับผู้ดูแลระบบ นั่นหมายความว่า การตรวจสอบเพียงว่าเครื่องติดตั้งการแก้ไข RoguePlanet ในเดือนกรกฎาคมแล้ว ยังไม่เพียงพอ ที่จะสรุปว่า ShieldBreak ถูกปิดช่องทางแล้ว รายงานระบุว่า Proof of Concept (PoC) ถูกเผยแพร่เมื่อ 12 สิงหาคม ขณะที่ระเบียน CVE ของ Microsoft ยังระบุว่าการจัดทำอัปเดตความปลอดภัยอยู่ระหว่างดำเนินการ

Windows รุ่นใดที่มีรายงานว่าได้รับผลกระทบ

ข้อมูลที่ชัดเจนที่สุดจากรายงานสาธารณะกล่าวถึง:

Windows 11 25H2
Windows 11 รุ่น Canary หรือรุ่นในช่องทาง Insider
Windows Server 2025

นักวิจัยผู้เผยแพร่ PoC อ้างว่าทดสอบแล้วสำเร็จ 100% ในสภาพแวดล้อมเหล่านี้ ขณะเดียวกันมีรายงานการทดสอบซ้ำบน Windows 11 ที่อัปเดตล่าสุดแล้วด้วย อย่างไรก็ตาม หลักฐานดังกล่าวยังไม่ใช่ตารางความเข้ากันได้ของทุก Build ที่ Microsoft รับรอง และไม่ควรตีความว่าอัตราสำเร็จ 100% ครอบคลุม Windows ทุกรุ่นหรือทุกการตั้งค่า

ยังมีรายงานว่า Windows 10 และ Windows Server รุ่นที่เกี่ยวข้องอาจมีช่องโหว่เช่นกัน แต่ PoC ที่เผยแพร่ยังไม่รองรับระบบเหล่านี้อย่างสมบูรณ์ จึงควรถือเป็นการประเมินจากรายงานสาธารณะ ไม่ใช่การยืนยันว่า Windows 10 หรือ Windows Server ทุก Build สามารถถูกโจมตีได้

คำอธิบาย CVE สาธารณะของ Microsoft ยืนยันขอบเขตผลิตภัณฑ์ที่เกี่ยวข้องว่าอยู่ใน Malware Protection Engine ของ Defender แต่ข้อมูลที่มีอยู่ยังไม่ได้ระบุรายชื่อ Build ที่ได้รับผลกระทบอย่างครบถ้วน

มีการใช้ ShieldBreak โจมตีจริงแล้วหรือยัง

ยังไม่มีหลักฐานที่อ้างอิงได้จากแหล่งข้อมูลที่ให้มาว่า ShieldBreak ถูกนำไปใช้โจมตีในโลกจริงแล้ว การมี PoC เผยแพร่สู่สาธารณะย่อมเพิ่มโอกาสที่ทั้งฝ่ายป้องกันและผู้โจมตีจะนำเทคนิคไปวิเคราะห์ แต่ไม่ควรเรียกว่าเป็นการโจมตีที่เกิดขึ้นจริง หากยังไม่มีข้อมูล Telemetry รายงานตอบสนองเหตุการณ์ หรือคำยืนยันจากหน่วยงานข่าวกรองภัยคุกคาม

ในระหว่างที่รอแพตช์ องค์กรควรให้ความสำคัญกับการป้องกันขั้นก่อนหน้า เช่น การบล็อกโค้ดที่ไม่น่าเชื่อถือ การลดสิทธิ์ผู้ดูแลระบบ การจำกัดช่องทาง Remote Management และการป้องกันการขโมยข้อมูลรับรองของผู้ใช้ภายในเครื่อง

ปัญหา Defender สแกนล่มเกี่ยวข้องกันหรือไม่

อีกประเด็นหนึ่งที่เกิดขึ้นในช่วงเวลาใกล้เคียงกันคือ ผู้ใช้รายงานว่า Microsoft Defender ทำงานผิดปกติหลังการอัปเดตเอนจินและ Security Intelligence โดยมีอาการดังนี้:

Quick Scan และ Full Scan ล้มเหลวเมื่อใกล้เสร็จ
Offline Scan ค้างอยู่ที่ประมาณ 91%
กระบวนการ MsMpEng.exe แครช
Event Viewer ชี้ไปยังข้อผิดพลาดใน mpengine.dll
พบสตริงข้อผิดพลาด 0x000005 ในรายงานบางส่วน

เวอร์ชันเอนจินที่ถูกอ้างถึงบ่อย ได้แก่:

1.1.26070.7
1.1.26080.2

บันทึกการแครชใน Microsoft Q&A ระบุ Defender Platform เวอร์ชัน 4.18.26070.9 และ Malware Protection Engine เวอร์ชัน 1.1.26070.7 พร้อมชี้ไปยัง mpengine.dll โดยบันทึกดังกล่าวระบุ Exception Code เป็น c0000005 ซึ่งเป็นคนละรหัสกับ 0x000005 ที่ปรากฏในรายงานข่าวและรายงานจากผู้ใช้บางส่วน

รายงานหนึ่งระบุ Security Intelligence Update ที่เกี่ยวข้อง ได้แก่ 1.457.222.0, 1.457.225.0, 1.457.226.0, 1.457.227.0 และ 1.457.230.0 นอกจากนี้ยังมีการระบุว่าอัปเดตเป็น 1.457.236.0 ช่วยแก้ปัญหาการแครชสำหรับผู้ใช้บางรายได้ แต่ควรตรวจสอบกับข้อมูลการเผยแพร่ล่าสุดของ Microsoft ก่อนถือว่าเป็นวิธีแก้ที่ใช้ได้กับทุกระบบ

หลักฐานในปัจจุบันสนับสนุนเพียง ความสัมพันธ์ด้านเวลาและด้านเทคนิค กล่าวคือ ปัญหาเกิดขึ้นหลังการอัปเดตที่เกี่ยวข้อง มีผู้ใช้หลายรายพบอาการคล้ายกัน และบันทึกการแครชชี้ไปยังเอนจินป้องกันมัลแวร์ แต่ยังไม่มีคำยืนยันจาก Microsoft ว่าอัปเดตดังกล่าวเป็นการแก้ ShieldBreak แบบเร่งด่วน หรือเป็นสาเหตุโดยตรงของปัญหาสแกนล่ม

ดังนั้น คำกล่าวว่า Microsoft “ทำ Defender พังระหว่างแก้ ShieldBreak” ยังเป็นข้อสันนิษฐานที่เป็นไปได้ แต่ไม่ได้รับการยืนยัน ควรติดตามสองเหตุการณ์นี้ร่วมกันเนื่องจากเกี่ยวข้องกับพื้นที่เอนจินเดียวกันโดยรวม แต่ไม่ควรสรุปว่าเป็นเหตุการณ์เดียวกันจนกว่าจะมีการวิเคราะห์ทางเทคนิคหรือคำชี้แจงอย่างเป็นทางการ

ควรถอนการอัปเดต Defender หรือไม่

มีรายงานว่าการย้อนกลับ Definition ของ Defender ช่วยให้การสแกนกลับมาทำงานได้ในบางกรณี จึงอาจใช้เป็นทางเลือกเพื่อวินิจฉัยปัญหาแบบควบคุมได้ แต่ไม่ควรนำไปใช้เป็นแนวทางทั่วไปโดยไม่ประเมินความเสี่ยง เพราะการย้อนกลับ Intelligence หรือ Engine อาจทำให้ระบบสูญเสียการตรวจจับภัยคุกคามรุ่นใหม่ และอาจลบมาตรการบรรเทาผลกระทบที่ Microsoft แจกจ่ายผ่านอัปเดตไปแล้ว

แนวทางที่ปลอดภัยกว่าคือ:

อัปเดต Defender Platform, Engine, Security Intelligence และ Windows ให้เป็นปัจจุบัน เว้นแต่ทีมตอบสนองเหตุการณ์จะตัดสินใจเป็นกรณีเฉพาะ
ตรวจสอบสถานะการป้องกัน เวอร์ชันเอนจิน เวอร์ชันแพลตฟอร์ม และเวอร์ชัน Security Intelligence ของแต่ละเครื่อง
หากจำเป็นต้องย้อนกลับ ให้ทดสอบในระบบแยกก่อน พร้อมจัดทำแผนควบคุมความเสี่ยงชดเชยอย่างชัดเจน
หาก Defender สแกนไม่ได้ ให้เพิ่มเส้นทางสแกนอิสระแบบ On-Demand หรือใช้ความสามารถสแกนจาก EDR
ติดตั้งอัปเดตป้องกันรุ่นปัจจุบันทันทีที่มีเวอร์ชันที่ผ่านการตรวจสอบความเข้ากันได้แล้ว

มาตรการลดความเสี่ยงระหว่างที่ยังไม่มีแพตช์ ShieldBreak

ลดเงื่อนไขการเข้าถึงเครื่องจากภายใน

ใช้บัญชี Standard User เป็นค่าเริ่มต้น ยกเลิกสิทธิ์ Local Administrator ที่ไม่จำเป็น จำกัด RDP และเครื่องมือ Remote Management หลีกเลี่ยงบัญชีผู้ดูแลระบบร่วมกัน และควบคุมการเข้าถึงคอนโซลภายในเครื่อง

องค์กรอาจเสริมด้วย Application Allowlisting, การควบคุมสคริปต์ และระบบ Telemetry ของ Endpoint เพื่อจำกัดโอกาสที่ผู้โจมตีจะรันโค้ดบนเครื่องและเข้าถึงเส้นทางที่มีช่องโหว่

เปิด Tamper Protection ไว้

Tamper Protection ช่วยป้องกันการเปลี่ยนแปลงการตั้งค่า Defender โดยไม่ได้รับอนุญาต แต่ไม่ได้ซ่อมแซมเส้นทางการทำงานของเอนจินที่มีช่องโหว่ และไม่ควรถูกมองว่าเป็นแพตช์ของ ShieldBreak

ใช้ Attack Surface Reduction เป็นชั้นป้องกันเสริม

กฎ Attack Surface Reduction (ASR) สามารถจำกัดพฤติกรรมที่มักเกี่ยวข้องกับการรันโค้ดและการเข้าถึงระยะแรก เช่น สคริปต์ที่ถูกนำไปใช้ในทางมิชอบ การสร้างโปรเซสที่น่าสงสัย การขโมยข้อมูลรับรอง และการที่ Office สร้างโปรเซสลูก

อย่างไรก็ตาม ASR ไม่ได้แก้ช่องโหว่ยกระดับสิทธิ์ใน Defender โดยตรง หากผู้โจมตีสามารถรัน PoC ได้แล้ว จึงควรใช้ ASR ร่วมกับการควบคุมบัญชี การจำกัดการเข้าถึง และการติดตั้งแพตช์ ไม่ใช่ใช้แทนมาตรการเหล่านี้

เฝ้าระวังการยกระดับสิทธิ์และเอนจินล้มเหลว

ทีมรักษาความปลอดภัยควรตรวจสอบ:

โปรเซสที่ทำงานด้วยสิทธิ์ SYSTEM แต่เริ่มต้นจากบริบทผู้ใช้สิทธิ์ต่ำ
การจัดการ Link หรือ Reparse Point ที่ผิดปกติ
Defender Service หยุดทำงานหรือทำงานล้มเหลวโดยไม่คาดคิด
การแครชซ้ำของ MsMpEng.exe หรือ mpengine.dll
เหตุการณ์ที่เกิดขึ้นพร้อมกับการรันโค้ดหรือการยกระดับสิทธิ์ในเครื่อง

ตัวบ่งชี้เหล่านี้ไม่ใช่หลักฐานยืนยันว่าถูกโจมตีด้วย ShieldBreak แต่ช่วยคัดกรองระบบที่ควรตรวจสอบเพิ่มเติมได้

พิจารณาใช้ผลิตภัณฑ์รักษาความปลอดภัยจากผู้ผลิตรายอื่นอย่างระมัดระวัง

หาก Defender ไม่สามารถสแกนได้ในระดับที่กระทบการปฏิบัติงาน องค์กรอาจพิจารณาใช้ผลิตภัณฑ์ Endpoint จากผู้ผลิตที่ผ่านการประเมิน หรือเพิ่มเครื่องมือสแกนชดเชย แต่การเปลี่ยนระบบอาจทำให้เกิดช่องว่างด้านการตั้งค่า การทำงานซ้ำซ้อนระหว่างผลิตภัณฑ์ และความเสี่ยงระหว่างย้ายระบบ

ควรทดลองในวงจำกัด ตรวจสอบ Real-Time Protection และ Telemetry ให้ครบ และต้องรักษาความคุ้มครองต่อเนื่องตลอดช่วงเปลี่ยนผ่าน

สรุป

ShieldBreak ควรถูกมองว่าเป็นช่องโหว่ยกระดับสิทธิ์ความรุนแรงสูงในเอนจิน Microsoft Defender ซึ่งโจมตีจากภายในเครื่องได้ มี PoC เผยแพร่สู่สาธารณะ และยังไม่มีแพตช์ Microsoft ที่ยืนยันแล้วในข้อมูล ณ วันที่ 19 สิงหาคม 2026 นักวิจัยอ้างว่า PoC ทำงานสำเร็จ 100% บน Windows 11 25H2, รุ่น Canary และ Windows Server 2025 ขณะที่มีรายงานการทดสอบซ้ำโดยบุคคลภายนอกบน Windows 11 ที่อัปเดตแล้ว แต่ตัวเลขดังกล่าวยังคงเป็นข้ออ้างจากงานวิจัย ไม่ใช่การรับรองจาก Microsoft

ส่วนปัญหา Defender สแกนล่มเป็นประเด็นด้านการปฏิบัติงานที่แยกออกมา หลักฐานเรื่องช่วงเวลา รายงานจากผู้ใช้ และลายเซ็นการแครชชี้ว่าควรตรวจสอบอย่างจริงจัง แต่ยังไม่พิสูจน์ว่าเกิดจากการตอบสนองต่อ ShieldBreak

แนวทางที่มีความเสี่ยงต่ำที่สุดในตอนนี้คือ รักษาอัปเดตการป้องกันให้เป็นปัจจุบัน จำกัดการรันโค้ดและสิทธิ์ผู้ดูแลระบบ ตรวจสอบสุขภาพของ Defender เพิ่มช่องทางสแกนสำรองที่ผ่านการทดสอบ และติดตั้งแพตช์ CVE-2026-69414 ทันทีหลัง Microsoft เผยแพร่และองค์กรตรวจสอบความเข้ากันได้แล้ว

Studio Global AI

ทำการวิจัยต่อ

หน้านี้รวมคำตอบที่ได้รับการสนับสนุนจากแหล่งที่มาซึ่งคุณสามารถดำเนินการต่อภายใน Studio Global

ค้นหาและตรวจสอบข้อเท็จจริงด้วย Studio Global AI

คนยังถาม

คำตอบสั้น ๆ สำหรับ "ShieldBreak ใน Microsoft Defender ยังไร้แพตช์: สิ่งที่ผู้ดูแล Windows ต้องรู้" คืออะไร

ประเด็นสำคัญที่ต้องตรวจสอบก่อนคืออะไร?

ฉันควรทำอย่างไรต่อไปในทางปฏิบัติ?

ปัญหา Defender สแกนล่ม สแกนแบบออฟไลน์ค้างที่ 91% และการแครชของ MsMpEng.exe ถูกพบหลังการอัปเดตที่เกี่ยวข้อง แต่หลักฐานปัจจุบันบ่งชี้เพียงความสัมพันธ์ ยังยืนยันไม่ได้ว่าเกิดจากการเร่งแก้ ShieldBreak

แหล่งที่มา