Microsoft แก้ไขช่องโหว่ 1,411 รายการ รวมถึงช่องโหว่แบบ Zero-day 3 รายการ ใน Patch Tuesday ประจำเดือนตุลาคม 2026

Microsoft ออกแพตช์อัปเดตประจำเดือนตุลาคม 2026 แก้ไขช่องโหว่ 1,411 รายการ โดยเป็นช่องโหว่ Zero-Days 3 รายการ

Microsoft ออก Patch Tuesday ประจำเดือนตุลาคม 2026 ซึ่งมีการปล่อยอัปเดตความปลอดภัยเพื่อแก้ไขช่องโหว่จำนวนมากถึง 1,411 รายการ (ถือเป็นสถิติสูงสุดใหม่) โดยในจำนวนนี้รวมถึงช่องโหว่แบบ Zero-Day 3 รายการ ซึ่งแบ่งเป็นช่องโหว่ที่พบว่ามีการโจมตีจริงแล้ว 1 รายการ และช่องโหว่ที่ถูกเปิดเผยต่อสาธารณะแล้วอีก 2 รายการ

โดย Patch Tuesday ประจำเดือนตุลาคม 2026 มีการแก้ไขช่องโหว่ระดับ Critical จำนวน 70 รายการ ซึ่งเป็นช่องโหว่ Remote Code Execution (การสั่งรันโค้ดที่เป็นอันตรายจากระยะไกล) 57 รายการ, Elevation of Privilege (การยกระดับสิทธิ์) 11 รายการ และ Spoofing (การปลอมแปลงข้อมูล) 2 รายการ

ช่องโหว่ในแต่ละประเภทมีดังต่อไปนี้ :

• ช่องโหว่การยกระดับสิทธิ์ (Privilege Escalation) 677 รายการ
• ช่องโหว่การ Bypass คุณสมบัติด้านความปลอดภัย (Security Feature Bypass) 40 รายการ
• ช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (Remote Code Execution) 317 รายการ
• ช่องโหว่ในการเปิดเผยข้อมูล (Information Disclosure) 254 รายการ
• ช่องโหว่ที่ทำให้เกิด DoS (Denial of Service) 73 รายการ
• ช่องโหว่ของการปลอมแปลง (Spoofing) 28 รายการ

โดยจะนับเฉพาะช่องโหว่ที่ Microsoft ประกาศแก้ไขในวัน Patch Tuesday เท่านั้น ยอดรวมช่องโหว่ในครั้งนี้ จึงไม่นับรวมช่องโหว่จำนวน 348 รายการ ที่ได้รับการแก้ไขไปแล้วในช่วงต้นเดือน ซึ่งรวมถึงช่องโหว่ในบริการ และผลิตภัณฑ์ต่าง ๆ เช่น Azure API Center, Azure App Service, Azure Event Grid, Azure SRE Agent, Mariner, Microsoft Bookings, Microsoft Dataverse, Microsoft Exchange Server และ Microsoft Partner Center

นับเป็นครั้งที่ Microsoft ปล่อยอัปเดต Patch Tuesday ที่มีจำนวนการแก้ไขช่องโหว่มากที่สุดเป็นประวัติการณ์ ในขณะที่บริษัทยังคงใช้แพลตฟอร์ม AI เพื่อค้นหา และแก้ไขช่องโหว่ด้านความปลอดภัยในผลิตภัณฑ์ของตนอย่างต่อเนื่อง

นอกจากนี้ Microsoft ยังประกาศว่า Windows 11 เวอร์ชัน 24H2 (รุ่น Home และ Pro) และ Windows 10 Enterprise LTSB 2016 ได้สิ้นสุดระยะเวลาการสนับสนุนแล้ว (end of support)

โดยก่อนหน้านี้ Microsoft ยังได้แจ้งเตือนให้องค์กรที่ใช้งาน Windows 11 เวอร์ชัน 23H2 (รุ่น Enterprise, Education และ IoT Enterprise) ทำการอัปเกรดเป็นเวอร์ชันที่ใหม่กว่า เนื่องจากรุ่นดังกล่าวกำลังจะไม่ได้รับอัปเดตความปลอดภัยอีกต่อไป

ช่องโหว่ Zero-Days รายการ ที่ถูกแก้ไข

Patch Tuesday ประจำเดือนตุลาคม 2026 มีการแก้ไขช่องโหว่ Zero-Days ที่กำลังถูกใช้ในการโจมตี 1 รายการ และช่องโหว่ Zero-days 2 รายการ ที่ถูกเปิดเผยรายละเอียดออกสู่สาธารณะ

โดย Microsoft จัดประเภทช่องโหว่ Zero-Days ว่า เป็นช่องโหว่ที่ถูกเปิดเผยรายละเอียดออกสู่สาธารณะ หรือถูกใช้โจมตีอยู่ในขณะที่ยังไม่มีการแก้ไขช่องโหว่อย่างเป็นทางการ

ช่องโหว่ Zero-day ที่พบว่ามีการโจมตีจริง

CVE-2026-96951 - Windows Shell Security Feature Bypass Vulnerability

Microsoft ได้แก้ไขช่องโหว่ bypass คุณสมบัติด้านความปลอดภัย Mark of the Web ที่ทำให้ Hacker สามารถ Bypass ฟีเจอร์ความปลอดภัยได้ โดยเกิดจากช่องโหว่ในการจัดการองค์ประกอบพิเศษที่ใช้ในคำสั่งอย่างไม่เหมาะสม (command injection) ใน Windows Shell ซึ่งช่องโหว่นี้พบว่ามีการนำไปใช้ในการโจมตีจริงแล้ว

Microsoft ไม่มีการเปิดเผยรายละเอียดเกี่ยวกับวิธีการที่ Hacker โจมตีโหว่นี้ หรือใครเป็นผู้เปิดเผยข้อมูลดังกล่าว

ช่องโหว่ Zero-Days ที่ถูกเปิดเผยรายละเอียดออกสู่สาธารณะ

CVE-2026-96951 - Windows Shell Security Feature Bypass Vulnerability

Microsoft ได้แก้ไขช่องโหว่ bypass security feature (Windows Defender Application Control (WDAC)) ใน .NET Framework โดยเกิดจากช่องโหว่ในเส้นทางการค้นหา (search path) ที่ไม่น่าเชื่อถือใน .NET Framework ซึ่งอาจถูกนำไปใช้เพื่อเรียกใช้งานแอปพลิเคชันที่ไม่ได้รับอนุญาตในระดับ local โดยไม่จำเป็นต้องมีการโต้ตอบจากผู้ใช้งาน

Microsoft ระบุว่า James Forshaw จาก Google Project Zero เป็นผู้ค้นพบช่องโหว่นี้

CVE-2026-92707 - MessagePack-CSharp Denial of Service Vulnerability

Microsoft ได้แก้ไขช่องโหว่ DoS ที่เกิดจากช่องโหว่ในการจัดสรรหน่วยความจำแบบต่อเนื่องใน .NET ที่ไม่มีการควบคุมอย่างเหมาะสม ทำให้ Hacker ที่ไม่ได้รับอนุญาตสามารถทำให้เกิดการปฏิเสธการให้บริการ (DoS) ผ่านเครือข่ายได้

ทั้งนี้ Microsoft ไม่ได้เปิดเผยข้อมูลว่าใครเป็นผู้แจ้งให้ทราบถึงช่องโหว่ดังกล่าว

กลุ่มความเสี่ยงใหม่ช่วยจัดลำดับความสำคัญของการอัปเดตความปลอดภัย Patch Tuesday

ด้วยจำนวนช่องโหว่ที่ทำลายสถิติในเดือนนี้ Microsoft จึงได้แนะนำวิธีการใหม่สำหรับองค์กรในการจัดลำดับความสำคัญของการอัปเดตความปลอดภัยโดยการจัดกลุ่มช่องโหว่ที่เกี่ยวข้องเข้าด้วยกันในสิ่งที่เรียกว่า "กลุ่มความเสี่ยง"

วิธีการใหม่นี้จะจัดกลุ่มช่องโหว่ที่คล้ายกันเข้าด้วยกันเพื่อช่วยให้องค์กรเข้าใจได้ดีขึ้นว่าช่องโหว่ด้านความปลอดภัยใดที่ก่อให้เกิดความเสี่ยงสูงสุดต่อระบบของตน และควรได้รับการจัดลำดับความสำคัญในการแก้ไข

สำหรับเดือนตุลาคม 2026 Microsoft ได้เผยแพร่กลุ่มความเสี่ยง 15 กลุ่ม รวมถึง :

ช่องโหว่ 136 รายการที่ส่งผลกระทบต่อ filesystems, storage และการ backup ของ Windows

ช่องโหว่ 135 รายการที่เกี่ยวข้องกับ Office document และ mail client

ช่องโหว่ 131 รายการที่ส่งผลกระทบต่อ graphics, media และการประมวลผล content ของ Windows

ช่องโหว่ 109 รายการที่เกี่ยวข้องกับขอบเขตสิทธิ์หลักของ Windows core และ kernel

ช่องโหว่ 103 รายการที่ส่งผลกระทบต่อบริการการติดตั้ง การใช้งาน และการอัปเดตของ Windows

Microsoft เน้นย้ำว่ากลุ่มเหล่านี้ไม่ได้บ่งชี้ว่าช่องโหว่ใดอันตรายที่สุดเสมอไป เนื่องจากความเสี่ยงที่แท้จริงขึ้นอยู่กับว่ามีการใช้ช่องโหว่เหล่านั้นในการโจมตีหรือไม่, ความรุนแรงของช่องโหว่ และวิธีการที่องค์กรใช้ซอฟต์แวร์ที่ได้รับผลกระทบ

โดยแนวทางใหม่นี้ยังอยู่ในระหว่างการทดลอง และมีจุดประสงค์เพื่อช่วยให้องค์กรจัดลำดับความสำคัญของการอัปเดตด้านความปลอดภัย ไม่ใช่เพื่อทดแทนคำแนะนำในการแก้ไขช่องโหว่ที่มีอยู่เดิม

การอัปเดตด้านความปลอดภัยจากบริษัทอื่น ๆ

นอกจาก Microsoft ได้ออกแพตช์อัปเดตประจำเดือนตุลาคม 2026 แล้ว ยังมีบริษัทอื่น ๆ ที่ออกแพตช์อัปเดตด้านความปลอดภัยเช่นกัน ได้แก่

Adobe ออกแพตซ์อัปเดตความปลอดภัยสำหรับผลิตภัณฑ์หลายรายการ รวมถึง Commerce, Substance 3D Samples, ColdFusion, Photoshop, Dimension และ Framework

Atlassian ออกแพตซ์อัปเดตความปลอดภัยสำหรับช่องโหว่ระดับ Critical (CVE-2026-21589) ในผลิตภัณฑ์ Data Center แบบติดตั้งเอง (self-hosted) หลายรายการ เช่น Confluence, Jira และ Bitbucket โดยผู้โจมตีได้ฉวยโอกาสใช้ประโยชน์จากช่องโหว่นี้หลังจากมีการเผยแพร่โค้ดสาธิตการโจมตี (PoC)

Cisco ออกแพตซ์อัปเดตความปลอดภัยสำหรับผลิตภัณฑ์หลายรายการ รวมถึงการแก้ไขช่องโหว่ระดับ Critical ในระบบปฏิบัติการเครือข่ายศูนย์ข้อมูล NX-OS ซึ่งอาจทำให้ผู้โจมตีสามารถรันโค้ดตามต้องการด้วยสิทธิ์ระดับ root บนสวิตช์ตระกูล Nexus

Citrix ออกแพตซ์อัปเดตความปลอดภัยสำหรับช่องโหว่ใน NetScaler ADC และ NetScaler Gateway โดยช่องโหว่ CVE-2026-88779 ที่กำลังถูกนำไปใช้ในการโจมตีแบบ zero-day ก่อนที่จะมีการออกแพตช์แก้ไข

Dell ออกแพตซ์อัปเดตความปลอดภัยสำหรับช่องโหว่ระดับ Critical ในเครื่องมือติดตั้งผ่าน CLI อย่าง System Update (DSU) และ Container Storage Modules (CSM)

Docker แก้ไขช่องโหว่ระดับ Critical ใน DockerHub ซึ่งทำให้ผู้โจมตีสามารถสวมรอยเป็นผู้ใช้งาน และ push อิมเมจจาก repository ของผู้อื่นได้

Fortinet ออกแพตซ์อัปเดตความปลอดภัยสำหรับผลิตภัณฑ์หลายรายการ รวมถึงช่องโหว่ระดับ Critical ใน FortiMail (CVE-2026-104286) ซึ่งกำลังถูกผู้โจมตีนำไปใช้ในการโจมตีแบบ zero-day

GitLab ออกแพตซ์อัปเดตความปลอดภัยสำหรับช่องโหว่ระดับ  Critical ใน AI Gateway และ CI/CD Regular Expression Compiler

Ivanti ออกแพตซ์อัปเดตความปลอดภัยสำหรับช่องโหว่แบบ zero-day ในเกตเวย์สำหรับการเข้าถึงจากระยะไกล Ivanti Connect Secure (ICS) ซึ่งกำลังถูกนำไปใช้ในการโจมตีจริง

Kiteworks ออกแพตซ์อัปเดตความปลอดภัยสำหรับช่องโหว่ 126 รายการ รวมถึงช่องโหว่ที่มีความรุนแรงสูงสุดซึ่งส่งผลกระทบต่อโซลูชันความปลอดภัย Email Protection Gateway (EPG)

Progress Software ออกแพตซ์อัปเดตความปลอดภัยสำหรับช่องโหว่ระดับ Critical และระดับ High ใน MarkLogic Server

SAP ออกแพตซ์อัปเดตความปลอดภัยประจำเดือนตุลาคม โดยแก้ไขช่องโหว่ความปลอดภัย 20 รายการ รวมถึงช่องโหว่ OAuth2 SSRF ที่มีความรุนแรงสูงสุดใน Cloud SDK สำหรับ Python

SonicWall ออกแพตซ์อัปเดตความปลอดภัยสำหรับช่องโหว่การปลอมแปลงคำขอฝั่งเซิร์ฟเวอร์ (SSRF) ระดับร้ายแรงใน SMA1000 ซึ่งกำลังถูกนำมาใช้ในการโจมตี

ที่มา : Bleepingcomputer/