| 7 เม.ย. | BlueHammer ถูกเผยแพร่สู่สาธารณะพร้อมโค้ดพิสูจน์แนวคิด (PoC) ฉบับเต็ม |
| ~10 เม.ย. | มีการตรวจพบการโจมตีจริงจากโครงสร้างพื้นฐานที่ระบุตำแหน่งทางภูมิศาสตร์ได้ว่าอยู่ในรัสเซีย โดย Barracuda และ Huntress |
| 14 เม.ย. | การอัปเดตแพตช์วันอังคารของไมโครซอฟท์ได้ออกแพตช์สำหรับ BlueHammer ในชื่อ CVE-2026-33825 (คะแนน CVSS 7.8) |
| 16 เม.ย. | RedSun (การยกระดับสิทธิ์ผ่านการย้อนกลับไฟล์บนคลาวด์ของ Defender) และ UnDefend (ปิดการอัปเดตลายเซ็นของ Defender) ถูกเปิดเผย; Huntress ยืนยันว่าช่องโหว่ทั้งสามของ Defender ถูกใช้ในการโจมตีจริง |
| ~17 เม.ย. | CISA เพิ่ม CVE-2026-41091 (RedSun) และ CVE-2026-45498 (UnDefend) ลงในแคตตาล็อกช่องโหว่ที่ถูกใช้โจมตี (KEV) โดยกำหนดให้หน่วยงานรัฐบาลกลางติดตั้งแพตช์ภายในวันที่ 3 มิถุนายน |
| 12 พ.ค. | YellowKey (การเลี่ยงผ่าน BitLocker ผ่าน WinRE) และ GreenPlasma (การยกระดับสิทธิ์ CTFMON สู่ SYSTEM) ถูกเผยแพร่ หนึ่งวันหลังจากแพตช์วันอังคารของเดือนพฤษภาคม |
| 17 พ.ค. | MiniPlasma ถูกเผยแพร่ — การยกระดับสิทธิ์สู่ระดับ SYSTEM บน Windows 11 ที่ติดตั้งแพตช์ล่าสุดแล้ว |
| 19 พ.ค. | ThreatLocker ยืนยันว่า MiniPlasma ทำงานได้บนระบบที่ติดตั้งแพตช์ล่าสุดแล้ว |
| 21 พ.ค. | ไมโครซอฟท์ออกแพตช์นอกตารางสำหรับ RedSun และ UnDefend |
| ~23 พ.ค. | GitHub ระงับบัญชี Nightmare-Eclipse |
| ~26–27 พ.ค. | GitLab ระงับบัญชีที่เกี่ยวข้อง |
| 27 พ.ค. | ไมโครซอฟท์เผยแพร่บล็อกโพสต์ "A shared responsibility" ประณามการเปิดเผยข้อมูลและเตือนถึงการดำเนินการทางกฎหมายที่อาจเกิดขึ้นจากหน่วยอาชญากรรมดิจิทัล |
| 14 ก.ค. (ถูกขู่) | นักวิจัยเตือนว่าจะมีการปล่อยช่องโหว่จำนวนมากอีกครั้งในวันที่นี้ |
ภายในสิ้นเดือนพฤษภาคม 2026 มีการแพตช์ช่องโหว่ไปแล้วสามรายการจากทั้งหมดหกรายการ อีกสามรายการยังคงไม่ได้รับการแก้ไข โดย MiniPlasma เป็นภัยคุกคามที่ร้ายแรงและส่งผลกระทบโดยตรงมากที่สุด
MiniPlasma นั้นอันตรายเป็นพิเศษ เพราะมันอนุญาตให้ผู้ใช้ทั่วไปได้รับสิทธิ์ระดับ SYSTEM บนระบบที่ติดตั้งการอัปเดตล่าสุดทั้งหมดของเดือนพฤษภาคม 2026 แล้ว มันใช้ประโยชน์จากไดรเวอร์
cldflt.sys Cloud Files ซึ่งเป็นตัวเดียวกับที่ BlueHammer กำหนดเป้าหมาย โดยการกระตุ้นช่องโหว่ที่เคยถูกแก้ไขไปแล้วในปี 2020 ซึ่งนักวิจัยอ้างว่าไมโครซอฟท์ไม่เคยแพตช์อย่างสมบูรณ์
นักวิจัยได้อธิบายอย่างชัดเจนว่าการเปิดเผยข้อมูลเหล่านี้เป็นการตอบโต้ต่อการปฏิบัติที่ไม่เหมาะสมจาก MSRC คำแถลงต่อสาธารณะและรายงานข่าวระบุว่าการแจ้งเตือนแบบส่วนตัวก่อนหน้านี้ถูกเพิกเฉย, ล่าช้า, หรือถูกตอบสนองด้วยข้อเรียกร้องที่นักวิจัยมองว่าเกินกว่าเหตุ — รวมถึงมีรายงานว่าถูกขอให้ส่งวิดีโอสาธิตการโจมตี มีคำกล่าวอ้างที่มาจากนักวิจัยซ้ำๆ ว่า MSRC ขู่ว่าจะ "ทำลายชีวิตผม และพวกเขาก็ทำแล้ว" (ruin my life and they did)
จังหวะเวลาของการเผยแพร่ครั้งหลังๆ — ซึ่งโพสต์ในวันถัดจากแพตช์วันอังคาร — ได้รับการออกแบบอย่างโปร่งใสเพื่อเพิ่มการรับรู้และแรงกดดันให้สูงสุด YellowKey และ GreenPlasma ถูกปล่อยออกมาในวันที่ 12 พฤษภาคม ทันทีหลังจากรอบแพตช์ของไมโครซอฟท์ในเดือนพฤษภาคม และ MiniPlasma ตามมาในวันที่ 17 พฤษภาคม
ในวันที่ 27 พฤษภาคม ไมโครซอฟท์ได้เผยแพร่บล็อกโพสต์ชื่อ "A shared responsibility: Protecting customers through coordinated vulnerability disclosure" (ความรับผิดชอบร่วมกัน: การปกป้องลูกค้าผ่านการเปิดเผยช่องโหว่ที่มีการประสานงาน) โดยมีเนื้อหาดังนี้:
ภาษาที่ไมโครซอฟท์ใช้เป็นการยกระดับความขัดแย้ง แต่มันไม่ได้แก้ปัญหาหลัก: ซีโร่เดย์สามรายการยังคงไม่มีแพตช์ แพลตฟอร์มที่โฮสต์โค้ด — GitHub ประมาณวันที่ 23 พฤษภาคม และ GitLab ในอีกไม่กี่วันต่อมา — ได้ดำเนินการบังคับใช้โดยการระงับบัญชีของนักวิจัย
ภายในกลางเดือนเมษายน ช่องโหว่ของ Defender ทั้งสามรายการแรกถูกนำไปใช้ในการโจมตีจริงแล้ว Huntress และ Barracuda ระบุว่าผู้คุกคามได้นำโค้ด PoC โดยตรงจากที่เก็บ GitHub สาธารณะ และใช้โครงสร้างพื้นฐานที่เชื่อมโยงกับตำแหน่งทางภูมิศาสตร์ในรัสเซีย
CISA ตอบสนองอย่างรวดเร็ว BlueHammer ถูกเพิ่มเข้าไปในแคตตาล็อก KEV เมื่อวันที่ 22 เมษายน โดยมีกำหนดเส้นตายให้หน่วยงานรัฐบาลกลางแพตช์ภายในวันที่ 6 พฤษภาคม RedSun และ UnDefend ตามมาทีหลัง โดยมีกำหนดเส้นตายภายในวันที่ 3 มิถุนายน
การเพิ่มช่องโหว่เหล่านี้สะท้อนให้เห็นถึงความกังวลอย่างลึกซึ้ง: เมื่อเครื่องมือรักษาความปลอดภัยกลายเป็นเวกเตอร์การโจมตีเสียเอง รูปแบบการป้องกันแบบดั้งเดิมก็แตกสลาย
ชุมชนความปลอดภัยทางไซเบอร์ตอบสนองด้วยคำตัดสินที่แตกออกเป็นสองฝั่ง
การวิจารณ์นักวิจัย มาจาก Barracuda, ThreatLocker, และ LevelBlue ซึ่งระบุว่าแคมเปญนี้เป็นอันตรายและต่อต้านการผลิตผล การปล่อยโค้ดโจมตีสำเร็จรูปสู่สาธารณะทำให้ผู้ใช้งานองค์กรตกอยู่ในความเสี่ยงทันทีในขณะที่ยังไม่มีแพตช์
การวิจารณ์ไมโครซอฟท์ ก็รุนแรงไม่แพ้กัน นักวิจัยหลายคนตั้งข้อสังเกตว่าเรื่องราวทั้งหมดนี้สามารถหลีกเลี่ยงได้หากกระบวนการของ MSRC มีความเคารพและตอบสนองมากกว่านี้ การเปิดเผยข้อมูลครั้งนี้รื้อฟื้นความคับข้องใจที่มีมาอย่างยาวนาน: การตรวจสอบที่ล่าช้า, การสื่อสารที่ทึบแสง, และท่าทีที่เป็นปฏิปักษ์ต่อผู้ค้นพบที่ไม่เข้าข่ายรูปแบบเงินรางวัลขององค์กร
พลวัตที่น่าสนใจประการหนึ่ง: ไมโครซอฟท์ขู่ดำเนินการทางกฎหมายในขณะที่ช่องโหว่อีกสามรายการยังไม่มีแพตช์ — การเคลื่อนไหวที่นักวิจารณ์เรียกว่าเป็นการสร้างภาพลักษณ์และจัดลำดับความสำคัญผิดพลาด
นักวิจัยเงียบหายไปแต่ไม่ได้เงียบสนิท หลังจากสูญเสียการเข้าถึงแพลตฟอร์ม พวกเขาได้ย้ายไปยังบล็อกส่วนตัวและขู่อย่างชัดเจนว่าจะมีการปล่อยโค้ดจำนวนมากอีกครั้งในวันที่ 14 กรกฎาคม ซึ่งเป็นแพตช์วันอังคารถัดไป ภัยคุกคามนั้นน่าเชื่อถือหรือไม่ยังไม่มีใครรู้ แต่รูปแบบนั้นได้ถูกกำหนดไว้แล้ว
สำหรับทีมรักษาความปลอดภัย สิ่งสำคัญเร่งด่วนนั้นชัดเจน: ติดตั้งแพตช์นอกตารางของ Defender, ใช้มาตรการบรรเทาผลกระทบของ YellowKey (ลบค่า autofstx.exe ในรีจิสทรี BootExecute และเปิดใช้งาน TPM+PIN สำหรับ BitLocker) , และให้พิจารณา MiniPlasma ว่าเป็นภัยคุกคามที่ยังมีชีวิตโดยไม่มีการแก้ไขอย่างเป็นทางการ เฝ้าระวังการปล่อยโค้ด PoC เพิ่มเติมที่อาจตั้งเวลาให้ตรงกับแพตช์วันอังคารในอนาคต และเตรียมการควบคุมเพื่อชดเชยสำหรับส่วนประกอบของ Defender ที่ผู้โจมตีกำลังมุ่งเป้าอย่างเป็นระบบ
บทเรียนจาก Nightmare-Eclipse ไม่ใช่แค่เรื่องของช่องโหว่หกรายการ แต่มันคือการทดสอบความเครียดสำหรับความสัมพันธ์ระหว่างผู้จำหน่ายแพลตฟอร์มและนักวิจัยที่พวกเขาพึ่งพา เมื่อความสัมพันธ์นั้นพังทลาย ผลที่ตามมาจะถูกเปิดเผยต่อสาธารณะ, สามารถนำไปใช้โจมตีได้, และรุนแรง
Comments
0 comments