ศึก Nightmare-Eclipse: ปฏิบัติการ 6 สัปดาห์ 6 ซีโร่เดย์ สั่นคลอนภพภูมิความปลอดภัยไซเบอร์

สรุปช่องโหว่และสถานะแพตช์

ภายในสิ้นเดือนพฤษภาคม 2026 มีการแพตช์ช่องโหว่ไปแล้วสามรายการจากทั้งหมดหกรายการ อีกสามรายการยังคงไม่ได้รับการแก้ไข โดย MiniPlasma เป็นภัยคุกคามที่ร้ายแรงและส่งผลกระทบโดยตรงมากที่สุด

MiniPlasma นั้นอันตรายเป็นพิเศษ เพราะมันอนุญาตให้ผู้ใช้ทั่วไปได้รับสิทธิ์ระดับ SYSTEM บนระบบที่ติดตั้งการอัปเดตล่าสุดทั้งหมดของเดือนพฤษภาคม 2026 แล้ว มันใช้ประโยชน์จากไดรเวอร์ cldflt.sys Cloud Files ซึ่งเป็นตัวเดียวกับที่ BlueHammer กำหนดเป้าหมาย โดยการกระตุ้นช่องโหว่ที่เคยถูกแก้ไขไปแล้วในปี 2020 ซึ่งนักวิจัยอ้างว่าไมโครซอฟท์ไม่เคยแพตช์อย่างสมบูรณ์

แรงจูงใจของนักวิจัย: การประท้วงต่อต้าน MSRC

นักวิจัยได้อธิบายอย่างชัดเจนว่าการเปิดเผยข้อมูลเหล่านี้เป็นการตอบโต้ต่อการปฏิบัติที่ไม่เหมาะสมจาก MSRC คำแถลงต่อสาธารณะและรายงานข่าวระบุว่าการแจ้งเตือนแบบส่วนตัวก่อนหน้านี้ถูกเพิกเฉย, ล่าช้า, หรือถูกตอบสนองด้วยข้อเรียกร้องที่นักวิจัยมองว่าเกินกว่าเหตุ — รวมถึงมีรายงานว่าถูกขอให้ส่งวิดีโอสาธิตการโจมตี มีคำกล่าวอ้างที่มาจากนักวิจัยซ้ำๆ ว่า MSRC ขู่ว่าจะ "ทำลายชีวิตผม และพวกเขาก็ทำแล้ว" (ruin my life and they did)

จังหวะเวลาของการเผยแพร่ครั้งหลังๆ — ซึ่งโพสต์ในวันถัดจากแพตช์วันอังคาร — ได้รับการออกแบบอย่างโปร่งใสเพื่อเพิ่มการรับรู้และแรงกดดันให้สูงสุด YellowKey และ GreenPlasma ถูกปล่อยออกมาในวันที่ 12 พฤษภาคม ทันทีหลังจากรอบแพตช์ของไมโครซอฟท์ในเดือนพฤษภาคม และ MiniPlasma ตามมาในวันที่ 17 พฤษภาคม

การตอบสนองของไมโครซอฟท์และภัยคุกคามทางกฎหมาย

ในวันที่ 27 พฤษภาคม ไมโครซอฟท์ได้เผยแพร่บล็อกโพสต์ชื่อ "A shared responsibility: Protecting customers through coordinated vulnerability disclosure" (ความรับผิดชอบร่วมกัน: การปกป้องลูกค้าผ่านการเปิดเผยช่องโหว่ที่มีการประสานงาน) โดยมีเนื้อหาดังนี้:

• ระบุชื่อช่องโหว่ทั้งหกรายการว่า "ไม่ได้ถูกเปิดเผยอย่างมีความรับผิดชอบ" (not responsibly disclosed)
• กระตุ้นให้ชุมชนความปลอดภัยปฏิบัติตามแนวปฏิบัติการเปิดเผยช่องโหว่ที่มีการประสานงาน (CVD)
• มีการขู่ทางกฎหมายแบบคลุมเครือจากหน่วยอาชญากรรมดิจิทัลของไมโครซอฟท์ โดยเตือนว่าการเปิดเผยข้อมูลที่เป็นอาวุธต่อสาธารณะอาจนำไปสู่ผลทางกฎหมาย

ภาษาที่ไมโครซอฟท์ใช้เป็นการยกระดับความขัดแย้ง แต่มันไม่ได้แก้ปัญหาหลัก: ซีโร่เดย์สามรายการยังคงไม่มีแพตช์ แพลตฟอร์มที่โฮสต์โค้ด — GitHub ประมาณวันที่ 23 พฤษภาคม และ GitLab ในอีกไม่กี่วันต่อมา — ได้ดำเนินการบังคับใช้โดยการระงับบัญชีของนักวิจัย

การโจมตีจริงและสัญญาณเตือนจากสถาบัน

ภายในกลางเดือนเมษายน ช่องโหว่ของ Defender ทั้งสามรายการแรกถูกนำไปใช้ในการโจมตีจริงแล้ว Huntress และ Barracuda ระบุว่าผู้คุกคามได้นำโค้ด PoC โดยตรงจากที่เก็บ GitHub สาธารณะ และใช้โครงสร้างพื้นฐานที่เชื่อมโยงกับตำแหน่งทางภูมิศาสตร์ในรัสเซีย

CISA ตอบสนองอย่างรวดเร็ว BlueHammer ถูกเพิ่มเข้าไปในแคตตาล็อก KEV เมื่อวันที่ 22 เมษายน โดยมีกำหนดเส้นตายให้หน่วยงานรัฐบาลกลางแพตช์ภายในวันที่ 6 พฤษภาคม RedSun และ UnDefend ตามมาทีหลัง โดยมีกำหนดเส้นตายภายในวันที่ 3 มิถุนายน การเพิ่มช่องโหว่เหล่านี้สะท้อนให้เห็นถึงความกังวลอย่างลึกซึ้ง: เมื่อเครื่องมือรักษาความปลอดภัยกลายเป็นเวกเตอร์การโจมตีเสียเอง รูปแบบการป้องกันแบบดั้งเดิมก็แตกสลาย

ปฏิกิริยาจากชุมชน: กระบวนการเปิดเผยข้อมูลที่พังทลาย

ชุมชนความปลอดภัยทางไซเบอร์ตอบสนองด้วยคำตัดสินที่แตกออกเป็นสองฝั่ง

การวิจารณ์นักวิจัย มาจาก Barracuda, ThreatLocker, และ LevelBlue ซึ่งระบุว่าแคมเปญนี้เป็นอันตรายและต่อต้านการผลิตผล การปล่อยโค้ดโจมตีสำเร็จรูปสู่สาธารณะทำให้ผู้ใช้งานองค์กรตกอยู่ในความเสี่ยงทันทีในขณะที่ยังไม่มีแพตช์

การวิจารณ์ไมโครซอฟท์ ก็รุนแรงไม่แพ้กัน นักวิจัยหลายคนตั้งข้อสังเกตว่าเรื่องราวทั้งหมดนี้สามารถหลีกเลี่ยงได้หากกระบวนการของ MSRC มีความเคารพและตอบสนองมากกว่านี้ การเปิดเผยข้อมูลครั้งนี้รื้อฟื้นความคับข้องใจที่มีมาอย่างยาวนาน: การตรวจสอบที่ล่าช้า, การสื่อสารที่ทึบแสง, และท่าทีที่เป็นปฏิปักษ์ต่อผู้ค้นพบที่ไม่เข้าข่ายรูปแบบเงินรางวัลขององค์กร

พลวัตที่น่าสนใจประการหนึ่ง: ไมโครซอฟท์ขู่ดำเนินการทางกฎหมายในขณะที่ช่องโหว่อีกสามรายการยังไม่มีแพตช์ — การเคลื่อนไหวที่นักวิจารณ์เรียกว่าเป็นการสร้างภาพลักษณ์และจัดลำดับความสำคัญผิดพลาด

อะไรจะเกิดขึ้นต่อไป

นักวิจัยเงียบหายไปแต่ไม่ได้เงียบสนิท หลังจากสูญเสียการเข้าถึงแพลตฟอร์ม พวกเขาได้ย้ายไปยังบล็อกส่วนตัวและขู่อย่างชัดเจนว่าจะมีการปล่อยโค้ดจำนวนมากอีกครั้งในวันที่ 14 กรกฎาคม ซึ่งเป็นแพตช์วันอังคารถัดไป ภัยคุกคามนั้นน่าเชื่อถือหรือไม่ยังไม่มีใครรู้ แต่รูปแบบนั้นได้ถูกกำหนดไว้แล้ว

สำหรับทีมรักษาความปลอดภัย สิ่งสำคัญเร่งด่วนนั้นชัดเจน: ติดตั้งแพตช์นอกตารางของ Defender, ใช้มาตรการบรรเทาผลกระทบของ YellowKey (ลบค่า autofstx.exe ในรีจิสทรี BootExecute และเปิดใช้งาน TPM+PIN สำหรับ BitLocker) , และให้พิจารณา MiniPlasma ว่าเป็นภัยคุกคามที่ยังมีชีวิตโดยไม่มีการแก้ไขอย่างเป็นทางการ เฝ้าระวังการปล่อยโค้ด PoC เพิ่มเติมที่อาจตั้งเวลาให้ตรงกับแพตช์วันอังคารในอนาคต และเตรียมการควบคุมเพื่อชดเชยสำหรับส่วนประกอบของ Defender ที่ผู้โจมตีกำลังมุ่งเป้าอย่างเป็นระบบ

บทเรียนจาก Nightmare-Eclipse ไม่ใช่แค่เรื่องของช่องโหว่หกรายการ แต่มันคือการทดสอบความเครียดสำหรับความสัมพันธ์ระหว่างผู้จำหน่ายแพลตฟอร์มและนักวิจัยที่พวกเขาพึ่งพา เมื่อความสัมพันธ์นั้นพังทลาย ผลที่ตามมาจะถูกเปิดเผยต่อสาธารณะ, สามารถนำไปใช้โจมตีได้, และรุนแรง