ช่องโหว่ RCE ระดับ Critical ใน Windows Netlogon กำลังถูกนำไปใช้ในการโจมตีแล้ว

ศูนย์ความปลอดภัยทางไซเบอร์แห่งเบลเยียม (CCB) ซึ่งเป็นหน่วยงานระดับชาติของประเทศด้านความปลอดภัยทางไซเบอร์ แจ้งเตือนว่า พบ Hacker ได้โจมตีช่องโหว่ระดับ Critical ของ Windows Netlogon (CVE-2026-41089) ซึ่งเพิ่งได้รับการแก้ไขไป

Netlogon คือ Remote Procedure Call (RPC) interface และเป็น Microsoft Windows Server background service ที่ใช้ในการ authentication ของ service และผู้ใช้บนเครือข่ายที่ใช้โดเมนของ Windows

Microsoft ได้แก้ไขช่องโหว่นี้ในระหว่างการอัปเดต Patch Tuesday เดือนพฤษภาคม 2026 โดยอธิบายว่า เป็นช่องโหว่ stack-based buffer overflow ใน Windows Netlogon ที่ทำให้ Hacker ที่ไม่มี privilmiceges สามารถเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลบน domain controllers ของเป้าหมายได้

ช่องโหว่ CVE-2026-41089 ส่งผลกระทบต่อ Windows Server ทุกเวอร์ชันที่ได้รับการสนับสนุนในปัจจุบัน รวมถึง Windows Server 2025 เวอร์ชันล่าสุดด้วย

ตามคำแนะนำด้านความปลอดภัยที่ Microsoft เผยแพร่เมื่อวันที่ 12 พฤษภาคม 2026 ช่องโหว่นี้ถูกพบโดย Windows Attack Research & Protection (WARP) ซึ่งเป็นทีมวิจัยด้านความปลอดภัยทางไซเบอร์ และการวิศวกรรมเชิงรุกภายในของ Microsoft

รวมถึง หน่วยงานด้านความปลอดภัยทางไซเบอร์แห่งชาติของเบลเยียม (CCB) แจ้งเตือนว่า ปัจจุบันพบว่า Hacker ได้ทำการโจมตีช่องโหว่ CVE-2026-41089 อย่างแพร่หลายแล้ว และเร่งให้ผู้ดูแลระบบแก้ไขเซิร์ฟเวอร์ที่มีช่องโหว่โดยทันที

แม้ว่า CCB จะไม่ได้ให้รายละเอียดเพิ่มเติมเกี่ยวกับการโจมตีที่กำลังเกิดขึ้นเหล่านี้ แต่โฆษกของ Microsoft ให้ข้อมูลกับ BleepingComputer ว่า ข้อมูลเกี่ยวกับการโจมตีช่องโหว่ CVE-2026-41089 นั้นได้รับมาจาก "พันธมิตรที่เชื่อถือได้"

โฆษกของ Microsoft ให้ข้อมูลกับ BleepingComputer เช่นกันว่า บริษัทไม่มีหลักฐานใด ๆ ในขณะนี้ที่จะสนับสนุนข้อกล่าวอ้างของ CCB แต่แนะนำให้ปฏิบัติตามคำแนะนำเกี่ยวกับ CVE-2026-41089 และติดตั้งการอัปเดตความปลอดภัยล่าสุดสำหรับระบบที่ยังไม่ได้แก้ไข เพื่อป้องกันช่องโหว่นี้

ก่อนหน้านี้ Microsoft ได้เผยแพร่มาตรการแก้ไขสำหรับช่องโหว่ YellowKey (CVE-2026-45585) ซึ่งเป็นช่องโหว่ Zero-Day ใน Windows BitLocker ที่ทำให้เข้าถึงไดรฟ์ที่ได้รับการป้องกัน โดยช่องโหว่นี้ถูกอธิบายว่าเป็น Backdoor โดยนักวิจัยด้านความปลอดภัยนิรนามที่ชื่อว่า 'Nightmare Eclipse' ซึ่งได้เปิดเผยช่องโหว่นี้ และเผยแพร่ตัวอย่างการโจมตี (Proof-of-Concept หรือ PoC) ด้วย

ในช่วงหลายเดือนที่ผ่านมา Nightmare Eclipse ยังได้เปิดเผยช่องโหว่ Zero-day BlueHammer (CVE-2026-33825) และ RedSun (CVE-2026-41091) ซึ่งเป็นช่องโหว่การยกระดับสิทธิ์ (ทั้งสองช่องโหว่นี้กำลังถูกใช้ในการโจมตีอยู่) ช่องโหว่ Zero-day GreenPlasma และ MiniPlasma ที่ให้สิทธิ์ SYSTEM และ UnDefend (CVE-2026-45498) ซึ่งเป็นช่องโหว่ Zero-day อีกช่องโหว่หนึ่งที่ผู้โจมตีที่มีสิทธิ์ผู้ใช้ทั่วไปสามารถใช้ประโยชน์เพื่อบล็อกการอัปเดต Microsoft Defender definition ได้

ที่มา : bleepingcomputer