ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ (ThaiCERT) ได้ติดตามสถานการณ์ภัยคุกคามทางไซเบอร์ และพบรายงานช่องโหว่ใน Microsoft Malware Protection Engine ที่ใช้งานใน Microsoft Defender หมายเลข CVE-2026-69414 หรือที่ชื่อ ShieldBreak เป็นช่องโหว่ยกระดับสิทธิ์ (Elevation of Privilege) โดยผู้โจมตีที่มีสิทธิ์ผู้ใช้งานระดับต่ำในระบบ Windows อาจใช้ประโยชน์จากช่องโหว่เพื่อยกระดับสิทธิ์เป็น SYSTEM ได้ ทาง Microsoft ยืนยันว่าได้ทราบเกี่ยวกับช่องโหว่ดังกล่าวและอยู่ระหว่างจัดทำอัปเดตเพื่อแก้ไขปัญหา ปัจจุบันยังไม่มีแพตช์สำหรับช่องโหว่นี้ [1]
1. รายละเอียดช่องโหว่
CVE-2026-69414 (CVSS v3.1: 7.8) [2] หรือ ShieldBreak เป็นช่องโหว่ประเภท Elevation of Privilege ใน Microsoft Malware Protection Engine โดยผู้โจมตีที่มีสิทธิ์ผู้ใช้งานระดับต่ำและสามารถรันโค้ดภายในเครื่อง อาจใช้ประโยชน์จากช่องโหว่เพื่อยกระดับสิทธิ์เป็น SYSTEM ได้ ปัจจุบัน Microsoft อยู่ระหว่างพัฒนาอัปเดตเพื่อแก้ไขช่องโหว่ดังกล่าว ทั้งนี้ ShieldBreak ถูกเปิดเผยโดยนักวิจัยที่ใช้นามแฝง Nightmare Eclipse และถูกอธิบายว่าเป็นเทคนิคที่สามารถหลีกเลี่ยงมาตรการแก้ไขช่องโหว่ RoguePlanet หรือ CVE-2026-50656 ซึ่ง Microsoft เคยออกอัปเดตแก้ไขก่อนหน้านี้ อย่างไรก็ตาม นักวิเคราะห์ช่องโหว่ระบุว่า ShieldBreak มีกลไกการทำงานแตกต่างจาก RoguePlanet โดยเกี่ยวข้องกับการเปลี่ยนแปลงข้อมูลของไฟล์ในระหว่างที่ Microsoft Defender ตรวจสอบไฟล์ผ่าน Cloud Filter API (CFAPI)
2. ระบบที่ได้รับผลกระทบ
จากข้อมูลที่เปิดเผยพบว่าช่องโหว่อาจส่งผลกระทบต่อระบบ Windows ที่ใช้งาน Microsoft Defender และ Microsoft Malware Protection Engine โดยมีรายงานการทดสอบหรือระบุว่าได้รับผลกระทบ ได้แก่
– Windows 10
– Windows 11
– Windows Server รวมถึง Windows Server 2025
ระบบต้องเปิดใช้งาน Microsoft Defender เพื่อให้เงื่อนไขการโจมตีตาม PoC สามารถทำงานได้
3. แนวทางการแก้ไข
3.1 ผู้ดูแลระบบควรติดตามประกาศของ Microsoft สำหรับ CVE-2026-69414 และติดตั้ง Security Update ทันทีเมื่อ Microsoft เผยแพร่แพตช์อย่างเป็นทางการ
3.2 ตรวจสอบให้แน่ใจว่าระบบ Windows และ Microsoft Defender ได้รับการอัปเดต Security Intelligence, Platform Update และ Engine Update เป็นเวอร์ชันล่าสุดที่ Microsoft รองรับ
3.3 จำกัดสิทธิ์ของบัญชีผู้ใช้งานโดยใช้หลัก Least Privilege และหลีกเลี่ยงการให้สิทธิ์ Local Administrator แก่ผู้ใช้งานโดยไม่มีความจำเป็น เนื่องจากการใช้ประโยชน์จากช่องโหว่ต้องอาศัยการเข้าถึงระบบภายในเครื่องก่อน
3.4 จำกัดการใช้งานซอฟต์แวร์หรือไฟล์ปฏิบัติการที่ไม่ได้รับอนุญาต รวมถึงควบคุมการดาวน์โหลดและเรียกใช้ไฟล์จากแหล่งที่ไม่น่าเชื่อถือ เพื่อลดโอกาสที่ผู้โจมตีจะสามารถนำ PoC หรือเครื่องมือโจมตีเข้ามารันบนระบบได้
3.5 ผู้ดูแลระบบควรตรวจสอบ Security Log, Microsoft Defender for Endpoint และระบบ EDR/SIEM เพื่อค้นหาพฤติกรรมยกระดับสิทธิ์หรือการสร้าง Process ที่ทำงานด้วยสิทธิ์ SYSTEM อย่างผิดปกติ
4. หากยังไม่มีแพตช์ ควรดำเนินการดังนี้
4.1 จำกัดสิทธิ์การเข้าสู่ระบบ โดยเฉพาะบัญชีผู้ใช้งานทั่วไป บัญชี Remote Desktop และบัญชีที่สามารถเข้าถึงเครื่องแม่ข่ายสำคัญ
4.2 ใช้ Application Control เช่น Windows Defender Application Control (WDAC) หรือ AppLocker เพื่อจำกัดการรันโปรแกรมหรือสคริปต์ที่ไม่ได้รับอนุญาต
4.3 ตรวจสอบการสร้าง Process หรือ Service ที่ทำงานด้วยสิทธิ์ SYSTEM จาก Parent Process ที่ผิดปกติ รวมถึงกิจกรรมที่เกิดขึ้นทันทีภายหลังบัญชีผู้ใช้งานสิทธิ์ต่ำเข้าสู่ระบบ
4.4 ระวังการเรียกใช้งานไฟล์หรือเครื่องมือที่เกี่ยวข้องกับ PoC ของ ShieldBreak ซึ่งเผยแพร่สู่สาธารณะแล้ว และพิจารณากำหนดกฎตรวจจับบน EDR/SIEM ตามความเหมาะสม
4.5 จำกัดการเข้าถึงระบบ Windows Server ที่มีความสำคัญจากเครือข่ายผู้ใช้งานทั่วไป และใช้ Network Segmentation เพื่อลดโอกาสที่ผู้โจมตีซึ่งสามารถเข้าถึงเครื่องใดเครื่องหนึ่งจะเคลื่อนย้ายไปยังระบบสำคัญ
4.6 หากตรวจพบการยกระดับสิทธิ์เป็น SYSTEM โดยไม่ทราบสาเหตุ ควรแยกระบบออกจากเครือข่าย ตรวจสอบ Process, Service, Scheduled Task, Registry, ไฟล์ที่ถูกสร้างหรือแก้ไข ตลอดจนตรวจสอบ Credentials ที่อาจถูกเข้าถึงหลังการยกระดับสิทธิ์
แหล่งอ้างอิง
[1] https://dg.th/0in4jpkfmt
[2] https://dg.th/w9htc6ernu