Microsoft ได้ออกแพตช์แก้ไขช่องโหว่ Zero-day ใน Windows Shell ซึ่งกำลังถูกใช้โจมตีจริงอยู่ในขณะนี้ โดยช่องโหว่ดังกล่าวทำให้ผู้โจมตีสามารถ bypass กลไกการป้องกันของ Mark of the Web (MoTW) ได้
ช่องโหว่นี้มีหมายเลข CVE-2026-96951 และได้รับการแก้ไขในการอัปเดต Patch Tuesday ประจำเดือนตุลาคม 2026 มีคะแนนความรุนแรงตามมาตรฐาน CVSS อยู่ที่ 8.8 และได้รับการจัดระดับความสำคัญเป็น "Important" โดย Microsoft
ช่องโหว่นี้ไม่ได้ถูกเปิดเผยต่อสาธารณะก่อนที่จะมีการให้อัปเดต แต่ Microsoft ยืนยันว่ามีการนำช่องโหว่นี้ไปใช้ในการโจมตีจริงแล้ว จากการประเมินสถานะ "Exploitation Detected" ของ Microsoft แสดงถึงการโจมตีที่ได้รับการยืนยันแล้ว ไม่ใช่ภัยคุกคามที่อาจเกิดขึ้นในอนาคต ดัชนีความเสี่ยงต่อการถูกโจมตีของ Microsoft จึงแนะนำให้ลูกค้าให้ความสำคัญกับการติดตั้งการอัปเดตที่เกี่ยวข้องในกลุ่มนี้
ช่องโหว่ Zero-Day บน Windows Shell
ช่องโหว่นี้เกี่ยวข้องกับ Command Injection ซึ่งเกิดจากการที่ Windows Shell ไม่สามารถจัดการกับองค์ประกอบพิเศษที่ใช้ในคำสั่งได้อย่างถูกต้อง Microsoft ระบุว่า ผลกระทบของช่องโหว่นี้คือการทำให้ผู้โจมตีที่ไม่มีสิทธิ์ผ่านเข้าใช้งานเครือข่าย สามารถ Bypass การทำงานของฟีเจอร์ความปลอดภัยได้ หากการโจมตีประสบความสำเร็จ จะช่วยให้ผู้โจมตีสามารถ Bypass ระบบป้องกันของ Mark of the Web ได้
Mark of the Web มีหน้าที่ระบุไฟล์ที่มาจากอินเทอร์เน็ต และช่วยให้ Windows สามารถแสดงคำเตือน หรือดำเนินการตรวจสอบเพื่อความปลอดภัยอื่น ๆ ได้ การ Bypass การป้องกันนี้อาจทำให้เกราะป้องกันสำคัญระหว่างไฟล์ที่ถูกดาวน์โหลดมา กับการที่ผู้ใช้งานเปิดไฟล์ที่มีเนื้อหาอันตรายนั้นหายไป อย่างไรก็ตาม ผลกระทบตามที่มีรายงานระบุว่าเป็นเพียง Security Bypass ไม่ใช่ช่องโหว่ Remote Code Execution (RCE) โดยตรง
ผู้โจมตีสามารถส่งไฟล์ที่ถูกสร้างขึ้นมาเป็นพิเศษผ่านทางอีเมล หรือแอปส่งข้อความทันที และใช้วิธี Social Engineering เพื่อโน้มน้าวให้เป้าหมายหลงเปิดไฟล์นั้น โดยการเจาะระบบด้วยช่องโหว่นี้จำเป็นต้องอาศัยการกระทำของผู้ใช้ ซึ่งหมายความว่า ไม่ควรมองว่าช่องโหว่นี้เป็นการโจมตีแบบ Zero-click Attack แม้ว่าจะเป็นการโจมตีได้ผ่านเครือข่ายก็ตาม
การรายงานก่อนหน้านี้เกี่ยวกับการโจมตีแบบ Windows LNK Stomping ซึ่งได้อธิบายถึงอีกวิธีหนึ่งที่ผู้โจมตีใช้ Bypass ระบบป้องกัน Mark of the Web ผ่านไฟล์ Shortcuts ของ Windows นอกจากนี้ ช่องโหว่ Mark of the Web ของ WinZip ยังแสดงให้เห็นว่าการแตกไฟล์ออกจากการบีบอัด สามารถทำให้ Tag ที่ระบุที่มาจากอินเทอร์เน็ตหายไปได้ ทั้งนี้ ช่องโหว่เหล่านี้ถือเป็นคนละช่องโหว่กัน และยังไม่ใช่เทคนิคที่ได้รับการยืนยันว่าถูกนำมาใช้ในการโจมตีครั้งล่าสุดนี้
ประกาศแจ้งเตือนอย่างเป็นทางการจาก Microsoft ระบุชื่อผู้ที่มีส่วนร่วมในการค้นพบ ได้แก่ Riku Bamba และ Yuya Chudo จาก Fujitsu Limited, Benoit Sevens (โดยใช้ Claude ของ Anthropic) และนักวิจัยที่ใช้ชื่อว่า yhw อย่างไรก็ตาม ประกาศดังกล่าวไม่ได้ระบุรายละเอียดเกี่ยวกับผู้โจมตี, เป้าหมายการโจมตี, รูปแบบไฟล์อันตรายที่ใช้ หรือขอบเขตความเสียหายของการโจมตี ซึ่งข้อมูลที่ขาดหายไปเหล่านี้ทำให้ยากต่อการสรุปข้อมูลเกี่ยวกับแคมเปญการโจมตี และผลกระทบที่เกิดขึ้น
ทีมรักษาความปลอดภัยควรให้ความสำคัญกับการติดตั้งอัปเดต Windows ที่เกี่ยวข้อง และตรวจสอบข้อมูลผลิตภัณฑ์ที่ได้รับผลกระทบจากคู่มือ Security Update Guide ของ Microsoft การทดสอบ และติดตั้งแพตช์แก้ไขอย่างรวดเร็วถือเป็นสิ่งสำคัญอย่างยิ่ง
เนื่องจากมีการยืนยันแล้วว่าช่องโหว่นี้ถูกนำไปใช้ในการโจมตีจริง ผู้ใช้งานควรใช้ความระมัดระวังเมื่อได้รับไฟล์แนบที่ผิดปกติ เนื่องจากรูปแบบการโจมตีนี้อาศัยการหลอกลวงให้ผู้ใช้โต้ตอบกับเนื้อหาที่อยู่ภายใต้การควบคุมของผู้โจมตี
ที่มา : cybersecuritynews
You must be logged in to post a comment.