Microsoft ออกแพตซ์อัปเดตประจำเดือนกรกฎาคม 2025 แก้ไขช่องโหว่ 137 รายการ รวมถึงช่องโหว่ Zero-Days 1 รายการ

Microsoft ออก Patch Tuesday ประจำเดือนกรกฎาคม 2025 โดยแก้ไขช่องโหว่ 137 รายการ ซึ่งรวมถึงช่องโหว่ Zero-Days ที่ถูกเปิดเผยรายละเอียดออกสู่สาธารณะ 1 รายการใน Microsoft SQL Server

โดย Patch Tuesday ประจำเดือนกรกฎาคม 2025 มีการแก้ไขช่องโหว่ระดับ Critical จำนวน 14 รายการ ซึ่งเป็นช่องโหว่ Remote Code Execution 10 รายการ และช่องโหว่ Information Disclosure 1 รายการ รวมถึงช่องโหว่ใน AMD side channel attack 2 รายการ

ช่องโหว่ในแต่ละประเภทมีดังต่อไปนี้ :

  • ช่องโหว่การยกระดับสิทธิ์ (Privilege Escalation) 53 รายการ
  • ช่องโหว่การ Bypass คุณสมบัติด้านความปลอดภัย (Security Feature Bypass) 8 รายการ
  • ช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (Remote Code Execution) 41 รายการ
  • ช่องโหว่ในการเปิดเผยข้อมูล (Information Disclosure) 18 รายการ
  • ช่องโหว่ที่ทำให้เกิด DoS (Denial of Service) 6 รายการ
  • ช่องโหว่ของการปลอมแปลง (Spoofing) 4 รายการ

ทั้งนี้ไม่รวมช่องโหว่ Mariner 4 รายการ และ Microsoft Edge 3 รายการ ที่ได้รับการแก้ไขไปแล้วในช่วงต้นเดือนนี้

ช่องโหว่ Zero-Days 1 รายการ และช่องโหว่ Critical ของ Microsoft Office

Patch Tuesday ประจำเดือนกรกฎาคม 2025 มีการแก้ไขช่องโหว่ Zero-days 1 รายการ โดยเป็นช่องโหว่ใน Microsoft SQL Server ซึ่งทาง Microsoft ระบุว่า ช่องโหว่ Zero-days ดังกล่าวเป็นช่องโหว่ที่ถูกเปิดเผยต่อสาธารณะ หรือกำลังถูกนำไปใช้ในการโจมตี ขณะที่ยังไม่มีการแก้ไขอย่างเป็นทางการ

CVE-2025-49719 - Microsoft SQL Server Information Disclosure Vulnerability

Microsoft ได้แก้ไขช่องโหว่ Input validation ใน Microsoft SQL Server ที่ทำให้ Hacker จากระยะไกลที่ไม่ผ่านการยืนยันตัวตน สามารถเข้าถึงข้อมูลจากหน่วยความจำที่ไม่ได้ถูกตั้งค่าเริ่มต้นได้ โดยผู้ดูแลระบบสามารถแก้ไขช่องโหว่ได้โดยการติดตั้ง Microsoft SQL Server เวอร์ชันล่าสุด และติดตั้ง Microsoft OLE DB Driver 18 หรือ 19

โดย Microsoft ระบุว่า Vladimir Aleksic ของ Microsoft เป็นผู้ค้นพบช่องโหว่นี้ แต่ทั้งนี้ยังไม่ได้เปิดเผยรายละเอียดการโจมตีช่องโหว่

แม้ว่าจะพบช่องโหว่ Zero-days เพียงรายการเดียว แต่ Microsoft ได้แก้ไขช่องโหว่ Critical หลายรายการที่เกี่ยวข้องกับการเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลใน Microsoft Office ซึ่งสามารถใช้ได้โดยเพียงแค่เปิดเอกสารที่สร้างขึ้นเป็นพิเศษ หรือเมื่อดูผ่าน preview pane รวมถึง CVE-2025-49704 ซึ่งเป็นช่องโหว่ใน Microsoft SharePoint ที่ทำให้สามารถถูกโจมตีจากระยะไกลผ่านทางอินเทอร์เน็ตได้ หากมีบัญชีผู้ใช้บนแพลตฟอร์มนั้น

ทั้งนี้การอัปเดตความปลอดภัยสำหรับช่องโหว่เหล่านี้ยังไม่พร้อมใช้งานสำหรับ Microsoft Office LTSC สำหรับ Mac 2021 และ 2024 และจะเปิดให้อัปเดตได้ในเร็ว ๆ นี้

การอัปเดตด้านความปลอดภัยจากบริษัทอื่น ๆ

นอกจาก Microsoft ได้ออกแพตซ์อัปเดต Patch Tuesday ประจำเดือนกรกฎาคม 2025 แล้ว ยังมีบริษัทอื่น ๆ ที่ออกแพตซ์อัปเดตด้านความปลอดภัยเช่นกัน ได้แก่ :

  • AMD เปิดเผยการโจมตี Transient Scheduler รูปแบบใหม่โดยอิงตามรายงานของ Microsoft ที่มีชื่อว่า "Enter, Exit, Page Fault, Leak: Testing Isolation Boundaries for Microarchitectural Leaks"
  • Cisco ออกแพตซ์อัปเดตต่าง ๆ มากมายในเดือนนี้ รวมถึงแพตช์สำหรับ root SSH credentials แบบฮาร์ดโค้ดใน Unified CM
  • Fortinet ออกแพตซ์อัปเดตความปลอดภัยสำหรับผลิตภัณฑ์หลายรายการ รวมถึง FortiOS, FortiManager, FortiSandbox, FortiIsolator และ FortiProxy
  • Google ออกแพตซ์อัปเดตด้านความปลอดภัยสำหรับ Google Chrome เพื่อแก้ไขช่องโหว่แบบ zero-days ที่กำลังถูกโจมตีอย่างต่อเนื่องซึ่งมีหมายเลข CVE-2025-6554 แต่ Google ยังไม่ได้ออกแพตซ์อัปเดตความปลอดภัยใด ๆ ของ Android ใน Android Security Bulletin เดือนกรกฎาคม 2025
  • Grafana ออกแพตซ์อัปเดตด้านความปลอดภัยสำหรับช่องโหว่ Chromium 4 รายการในปลั๊กอิน Grafana Image Renderer และ Synthetic Monitoring Agent
  • Ivanti ออกแพตซ์อัปเดตด้านความปลอดภัยสำหรับช่องโหว่ใน Ivanti Connect Secure และ Policy Secure, Ivanti EPMM และ Ivanti EPM ยังไม่มีรายงานว่าช่องโหว่เหล่านี้ถูกนำไปใช้ในการโจมตีจริง
  • SAP ออกแพตซ์อัปเดตด้านความปลอดภัยเดือนกรกฎาคมสำหรับผลิตภัณฑ์หลายรายการ รวมถึงอัปเกรดช่องโหว่ก่อนหน้านี้ (CVE-2025-30012) ใน SAP Supplier Relationship Management ที่ได้รับคะแนน CVSS 10/10

ที่มา : bleepingcomputer