Microsoft ออกแพตซ์อัปเดตประจำเดือนกันยายน 2025 แก้ไขช่องโหว่ 81 รายการ โดยเป็นช่องโหว่ Zero-Days 2 รายการ

Microsoft ออก Patch Tuesday ประจำเดือนกันยายน 2025 โดยแก้ไขช่องโหว่ 81 รายการ ซึ่งรวมถึงช่องโหว่ Zero-Days ที่ถูกเปิดเผยรายละเอียดออกสู่สาธารณะแล้ว 2 รายการ

โดย Patch Tuesday ประจำเดือนกันยายน 2025 มีการแก้ไขช่องโหว่ระดับ Critical จำนวน 9 รายการ ซึ่งเป็นช่องโหว่ Remote Code Execution 5 รายการ และช่องโหว่ Information Disclosure 1 รายการ รวมถึงช่องโหว่ Privilege Escalation 2 รายการ

ช่องโหว่ในแต่ละประเภทมีดังต่อไปนี้ :

  • ช่องโหว่การยกระดับสิทธิ์ (Privilege Escalation) 41 รายการ
  • ช่องโหว่การ Bypass คุณสมบัติด้านความปลอดภัย (Security Feature Bypass) 2 รายการ
  • ช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (Remote Code Execution) 22 รายการ
  • ช่องโหว่ในการเปิดเผยข้อมูล (Information Disclosure) 16 รายการ
  • ช่องโหว่ที่ทำให้เกิด DoS (Denial of Service) 3 รายการ
  • ช่องโหว่ของการปลอมแปลง (Spoofing) 1 รายการ

ทั้งนี้ไม่รวมช่องโหว่ของ Azure 3 รายการ, Dynamics 365 FastTrack Implementation Assets 1 รายการ, Mariner 2 รายการ, Microsoft Edge 5 รายการ และช่องโหว่ Xbox 1 รายการ ที่ได้รับการแก้ไขไปเมื่อต้นเดือนนี้

ช่องโหว่ Zero-Days 2 รายการ ที่ถูกแก้ไข

Patch Tuesday ประจำเดือนกันยายน 2025 มีการแก้ไขช่องโหว่ Zero-days 2 รายการ ใน Windows SMB Server และ Microsoft SQL Server Microsoft ซึ่งทาง Microsoft ระบุว่า ช่องโหว่ Zero-days ดังกล่าวเป็นช่องโหว่ที่ถูกเปิดเผยรายละเอียดออกสู่สาธารณะ หรือกำลังถูกนำไปใช้ในการโจมตี ขณะที่ยังไม่มีการแก้ไขอย่างเป็นทางการ

CVE-2025-55234 - Windows SMB Elevation of Privilege Vulnerability

Microsoft ได้แก้ไขช่องโหว่ Privilege Escalation ใน SMB Server จากการตั้งค่าที่ไม่ปลอดภัย ทำให้เสี่ยงต่อการถูกโจมตีแบบ relay attacks

ทั้งนี้ Microsoft ระบุว่า Windows ได้รวมการตั้งค่าเพื่อเพิ่มความปลอดภัยให้กับ SMB Server จากการโจมตีแบบ relay attacks ไว้แล้ว รวมถึงการเปิดใช้งาน SMB Server Signing และ SMB Server Extended Protection for Authentication (EPA) แต่การเปิดใช้งานฟีเจอร์เหล่านี้อาจทำให้เกิดปัญหาความเข้ากันได้กับอุปกรณ์ และการใช้งานรุ่นเก่า

Microsoft แนะนำให้ผู้ดูแลระบบเปิดใช้งานการตรวจสอบบน SMB Server เพื่อพิจารณาว่าจะพบปัญหาใด ๆ หรือไม่ เมื่อฟีเจอร์เหล่านี้ถูกเปิดใช้อย่างเต็มรูปแบบ

โดยส่วนหนึ่งของการอัปเดต Patch Tuesday ประจำเดือนกันยายน 2025 เป็นต้นไป (CVE-2025-55234) จะมีการเปิดใช้งานการสนับสนุนสำหรับการตรวจสอบความเข้ากันได้ของ SMB client สำหรับ SMB Server signing รวมถึง SMB Server EPA

Microsoft ไม่ได้ระบุว่าใครเป็นผู้ค้นพบช่องโหว่ และยังไม่ได้เปิดเผยรายละเอียดการโจมตีช่องโหว่

CVE-2024-21907 Improper Handling of Exceptional Conditions in Newtonsoft.Json

Microsoft ได้แก้ไขช่องโหว่ใน Newtonsoft.Json ซึ่งรวมอยู่ใน Microsoft SQL Server ใน Newtonsoft.Json ก่อนเวอร์ชัน 13.0.1

โดยเกิดจากข้อมูลที่สร้างขึ้นซึ่งส่งผ่านไปยัง JsonConvert.DeserializeObject method ที่อาจก่อให้เกิด StackOverflow exception ส่งผลให้เกิด Denial of Service(DoS) จากการโจมตีจากระยะไกลที่ไม่ผ่านการยืนยันตัวตน ทั้งนี้ขึ้นอยู่กับการใช้งานไลบรารี

การอัปเดตด้านความปลอดภัยจากบริษัทอื่น ๆ

นอกจาก Microsoft ได้ออกแพตซ์อัปเดต Patch Tuesday ประจำเดือนกันยายน 2025 แล้ว ยังมีบริษัทอื่น ๆ ที่ออกแพตซ์อัปเดตด้านความปลอดภัยเช่นกัน ได้แก่ :

  • Adobe เผยแพร่แพตช์อัปเดตด้านความปลอดภัยสำหรับช่องโหว่ "SessionReaper" ที่ส่งผลกระทบต่อ Magento eCommerce
  • Argo ได้แก้ไขช่องโหว่ของ Argo CD ที่ทำให้ API tokens ที่มีสิทธิ์ใช้งานต่ำสามารถเข้าถึง API endpoints และดึงข้อมูล credentials ของ repository ทั้งหมดที่เกี่ยวข้องกับ project
  • Cisco เผยแพร่แพตช์อัปเดตด้านความปลอดภัยสำหรับ WebEx, Cisco ASA และผลิตภัณฑ์อื่น ๆ
  • Google เผยแพร่แพตช์อัปเดตด้านความปลอดภัยสำหรับ Android ประจำเดือนกันยายน 2025 ซึ่งแก้ไขช่องโหว่ทั้งหมด 84 ช่องโหว่ รวมถึงช่องโหว่ที่กำลังถูกใช้ในการโจมตีอยู่ 2 ช่องโหว่
  • SAP เผยแพร่แพตช์อัปเดตด้านความปลอดภัยประจำเดือนกันยายน 2025 สำหรับผลิตภัณฑ์หลายรายการ รวมถึงการแก้ไขช่องโหว่ในการเรียกใช้คำสั่งที่เป็นอันตรายจากระยะไกล (RCE) ที่มีระดับความรุนแรงสูงสุดใน Netweaver
  • Sitecore เผยแพร่แพตช์อัปเดตด้านความปลอดภัยสำหรับช่องโหว่ Zero-day หมายเลข CVE-2025-53690 ซึ่งกำลังถูกนำไปใช้ในการโจมตีอย่างต่อเนื่อง
  • TP-Link ยืนยันว่าพบช่องโหว่ Zero-day ใหม่ในเราเตอร์บางรุ่น โดยบริษัทกำลังสำรวจช่องโหว่ดังกล่าว และกำลังจัดทำแพตช์สำหรับลูกค้าในสหรัฐอเมริกา

ที่มา : bleepingcomputer