Microsoft Patch Tuesday สิงหาคม 2026: LegacyHive, ShieldBreak และการปะทะครั้งใหญ่กับ Nightmare Eclipse

ขนาดของ Patch Batch เดือนสิงหาคม 2026

ไมโครซอฟท์แก้ไขช่องโหว่ระหว่าง 398 ถึง 421 รายการ ครอบคลุมทั้ง Windows, Office, Azure, Exchange, SharePoint และผลิตภัณฑ์อื่นๆ จำนวน CVE ที่แต่ละแหล่งรายงานแตกต่างกันไป:

• SANS ISC: 418 CVEs, 62 รายการรุนแรง
• Tenable: 398 CVEs, 42 รายการรุนแรง
• CrowdStrike: 415 CVEs, 62 รายการรุนแรง
• Splashtop: 421 CVEs
• BleepingComputer: ช่องโหว่ราว 400 รายการ, Zero-Day 3 รายการ

ทุกแหล่งข้อมูลหลักเห็นพ้องต้องกันว่ามีช่องโหว่ทั้งหมด "ราว 400" รายการ

Zero-Day ที่ถูกโจมตีจริง: CVE-2026-68820

Zero-Day เพียงรายการเดียวที่ไมโครซอฟท์ยืนยันว่าถูกใช้โจมตีจริงคือ CVE-2026-68820 ซึ่งเป็นช่องโหว่ยกระดับสิทธิ์ (Elevation of Privilege) ใน Windows Ancillary Function Driver for WinSock (afd.sys) Automox อธิบายว่าไดรเวอร์นี้คือ "ตัวขับเคลื่อนการเชื่อมต่อ Socket ของ Windows บนทุกอุปกรณ์โดยพฤตินัย" ช่องโหว่นี้ทำให้ผู้โจมตีที่พิสูจน์ตัวตนแล้วในระบบสามารถยกระดับสิทธิ์เป็น SYSTEM-level บนระบบที่ได้รับผลกระทบ

LegacyHive (CVE-2026-62832): ช่องโหว่ที่ถูกเปิดเผยต่อสาธารณะใน Windows User Profile Service

CVE-2026-62832 ซึ่งถูกตั้งชื่อว่า "LegacyHive" เป็นช่องโหว่ยกระดับสิทธิ์ใน Windows User Profile Service ที่เกิดจากการแก้ไขลิงก์ที่ไม่เหมาะสมก่อนการเข้าถึงไฟล์ (CWE-59) ไมโครซอฟท์ให้ระดับความรุนแรงเป็น Important ด้วย คะแนน CVSS 7.8 และประเมินโอกาสในการถูกนำไปใช้โจมตีว่า "More Likely"

กลไกการทำงานของ LegacyHive

ผู้โจมตีที่ผ่านการยืนยันตัวตนและมีข้อมูลรับรองของบัญชีท้องถิ่นอีกบัญชีหนึ่ง สามารถรันแอปพลิเคชันที่ถูกสร้างขึ้นมาเป็นพิเศษเพื่อโหลด Registry Hive ของผู้ใช้อื่น ซึ่งอาจนำไปสู่สิทธิ์ของผู้ดูแลระบบ ช่องโหว่นี้ส่งผลกระทบต่อ Windows 10, Windows 11, และ Windows Server 2022/2025 ก่อนติดตั้งแพตช์

ShieldBreak: Exploit ที่อ้างว่า Bypass Patch ของไมโครซอฟท์

เมื่อวันที่ 12 สิงหาคม 2026 — หนึ่งวันหลังจาก Patch Tuesday — นักวิจัย Nightmare Eclipse (หรือที่รู้จักในชื่อ Chaotic Eclipse) ได้เผยแพร่ Proof-of-Concept Exploit ชื่อ ShieldBreak นักวิจัยรายนี้ระบุว่า ShieldBreak เป็นการ Bypass แบบสมบูรณ์ของ Patch เดือนกรกฎาคม 2026 สำหรับ CVE-2026-50656 ("RoguePlanet") ซึ่งเป็นช่องโหว่ Race Condition ยกระดับสิทธิ์ใน Microsoft Defender Malware Protection Engine (mpengine.dll)

ความสามารถของ ShieldBreak

ShieldBreak รายงานว่าสามารถให้สิทธิ์ NT AUTHORITY\SYSTEM แก่ผู้โจมตีบน Windows 10, Windows 11, และ Windows Server ที่อัปเดตครบถ้วนแล้ว Exploit นี้ใช้เส้นทางการโจมตีที่แตกต่างจากรุ่นก่อน: ในขณะที่ RoguePlanet ใช้ประโยชน์จาก Race Condition ในระบบไฟล์ที่เกี่ยวข้องกับดิสก์เสมือน ShieldBreak จะ Hook Callback ในโหมดผู้ใช้เพื่อเปลี่ยนแปลงเนื้อหาไฟล์ระหว่างการสแกน Cloud-Hydration ของ Defender ผ่าน Windows Cloud Filter API (cfapi) นักวิจัยระบุว่า Proof-of-Concep นี้มี "อัตราความสำเร็จ 100%" บน Windows 11 25H2 และ Windows Server 2025

สถานะปัจจุบัน

นักวิเคราะห์บางรายตั้งข้อสังเกตว่าไมโครซอฟท์อาจได้แก้ไข Bypass Vector นี้อย่างเงียบๆ แล้ว อย่างไรก็ตาม ณ เวลาที่มีการเผยแพร่ ShieldBreak ยังไม่มีแพตช์อย่างเป็นทางการจากไมโครซอฟท์เพื่อปิดช่องโหว่นี้ นักวิจัยอิสระ รวมถึง Howler Cell ยืนยันว่าสามารถทำซ้ำได้สำเร็จบน Windows 11 Pro ที่อัปเดตครบถ้วน

การปะทะที่ขยายวงกว้างขึ้น: Nightmare Eclipse ปะทะ Microsoft

การปล่อย ShieldBreak เป็นบทล่าสุดของข้อพิพาทที่ทวีความรุนแรงขึ้นระหว่างไมโครซอฟท์กับนักวิจัยนิรนาม Nightmare Eclipse

เก้า Zero-Days นับตั้งแต่เดือนเมษายน 2026

นับตั้งแต่ เดือนเมษายน 2026 Nightmare Eclipse ได้เปิดเผย Zero-Day Exploit ต่อสาธารณะถึง เก้าตัว รวมถึงช่องโหว่ก่อนหน้านี้ที่ชื่อ RedSun, UnDefend, BlueHammer, YellowKey, GreenPlasma, และ MiniPlasma สามในจำนวนนี้ — BlueHammer, RedSun, และ UnDefend — ได้รับการยืนยันว่าถูกใช้โจมตีจริง และถูกเพิ่มเข้าในแค็ตตาล็อก Known Exploited Vulnerabilities (KEV) ของ CISA

การข่มขู่ทางกฎหมายของไมโครซอฟท์และกระแสตีกลับ

เมื่อวันที่ 27 พฤษภาคม 2026 Microsoft Security Response Center (MSRC) ได้เผยแพร่โพสต์ข่มขู่ดำเนินคดีอาญากับนักวิจัยรายนี้ ไมโครซอฟท์ยังปิดการใช้งานบัญชีของนักวิจัยบน GitHub (ซึ่งไมโครซอฟท์เป็นเจ้าของ) และ GitLab การดำเนินการนี้จุดกระแสตีกลับครั้งใหญ่จากวงการความมั่นคงปลอดภัย ภายใน วันที่ 1 มิถุนายน 2026 ไมโครซอฟท์ได้ถอยบางส่วน โดยชี้แจงต่อสาธารณะว่า "ไม่มีเจตนาที่จะดำเนินการใดๆ ต่อบุคคลที่ดำเนินการหรือเผยแพร่งานวิจัยด้านความปลอดภัยของตน"

การเผยแพร่อย่างต่อเนื่องแม้ถูกข่มขู่

Nightmare Eclipse ยังคงเผยแพร่ Zero-Day Exploit อย่างต่อเนื่องตลอดระยะเวลาที่เกิดข้อพิพาท โดย ShieldBreak ถูกปล่อยออกมาทันทีหลังจากการเปิดตัว Patch Tuesday ประจำเดือนสิงหาคม 2026 นักวิจัยอ้างว่ารายงานช่องโหว่ก่อนหน้านี้ผ่านช่องทางทางการของไมโครซอฟท์ถูกเพิกเฉย ซึ่งเป็นแรงจูงใจให้เปิดเผยต่อสาธารณะ

ข้อควรปฏิบัติสำหรับผู้ดูแลระบบไอที

1. อัปเดต CVE-2026-68820 ก่อน — ช่องโหว่ Zero-Day ใน WinSock Driver กำลังถูกโจมตีจริงในวงกว้าง
2. จัดลำดับความสำคัญ CVE-2026-62832 (LegacyHive) — แม้ยังไม่ถูกใช้โจมตี แต่ไมโครซอฟท์ประเมินว่ามีโอกาสถูกนำไปใช้โจมตีสูง และมี PoC Code เผยแพร่ต่อสาธารณะแล้ว
3. สถานการณ์ ShieldBreak ยังคงไม่แน่นอน — ไมโครซอฟท์อาจได้แก้ไข Bypass Vector อย่างเงียบๆ แต่ยังไม่มีการยืนยันหรือแพตช์อย่างเป็นทางการ ผู้ดูแลระบบควรติดตามการอัปเดตของ Microsoft Defender Malware Protection Engine อย่างใกล้ชิด
4. การรณรงค์ของ Nightmare Eclipse ยังคงดำเนินอยู่ — มีการเผยแพร่ Zero-Days ไปแล้วถึงเก้าตัวตั้งแต่เดือนเมษายน 2026 และอาจมีอีกมากตามมา