TechTalkThai ศูนย์รวมข่าว Enterprise IT ออนไลน์แห่งแรกในประเทศไทย
Microsoft ปล่อยแพตช์ความปลอดภัยประจำรอบ Patch Tuesday เดือนพฤศจิกายน 2026 แก้ไขช่องโหว่รวม 1,235 รายการ ในจำนวนนี้มีช่องโหว่ Zero-day บน Microsoft Outlook ที่ถูกใช้โจมตีจริงเพื่อขโมย NTLM hash ของผู้ใช้งาน
แพตช์รอบนี้แก้ช่องโหว่ระดับ Critical 66 รายการ แบ่งเป็นช่องโหว่ Remote Code Execution (RCE) 48 รายการ, Elevation of Privilege (EoP) 15 รายการ และ Use-After-Free บน Microsoft Edge อีก 3 รายการ หากแยกตามประเภทโดยประมาณ จะเป็นช่องโหว่ EoP 536 รายการ, RCE 296 รายการ, Information Disclosure 157 รายการ, Denial of Service 46 รายการ, Security Feature Bypass 27 รายการ, Spoofing 22 รายการ และช่องโหว่บน Microsoft Edge (Chromium-based) อีก 142 รายการ โดยราว 639 รายการเกี่ยวข้องกับ Windows หรือคอมโพเนนต์ของ Windows ทั้งนี้ตัวเลขดังกล่าวยังไม่รวมช่องโหว่ 108 รายการที่แก้ไปก่อนหน้าในเดือนเดียวกัน ได้แก่ Entra Device Registration 1 รายการ, Mariner 82 รายการ และ Microsoft Edge 25 รายการ จำนวนช่องโหว่ที่สูงต่อเนื่องนี้ตามมาหลังจากรอบเดือนตุลาคมที่แก้ไปถึง 1,411 รายการ โดย Microsoft ยังคงใช้ AI ในการค้นหาและแพตช์ช่องโหว่
ช่องโหว่ Zero-day ที่ถูกใช้โจมตีจริงในรอบนี้คือ CVE-2026-124194 ซึ่งเป็นช่องโหว่ประเภท Spoofing บน Microsoft Outlook โดย Microsoft อธิบายว่าผู้โจมตีที่ไม่ผ่านการยืนยันตัวตนสามารถส่งไฟล์ข้อความที่สร้างขึ้นเป็นพิเศษ แล้วหลอกให้ผู้ใช้งานเปิดด้วย Outlook เวอร์ชันที่ได้รับผลกระทบ เมื่อเปิดไฟล์ดังกล่าว Outlook อาจเชื่อมต่อไปยัง network location ที่ผู้โจมตีควบคุมโดยไม่แสดงคำเตือน external content ตามปกติ ซึ่งอาจทำให้ข้อมูลการยืนยันตัวตนรั่วไหลและถูกนำไปใช้สวมรอยเป็นผู้ใช้งานได้ ทั้งนี้การโจมตีต้องอาศัยการเชื่อมต่อเครือข่ายและการกระทำของผู้ใช้งาน
ช่องโหว่ลักษณะนี้จัดเป็น NTLM credential disclosure โดยไฟล์แนบอันตรายจะทำให้ Windows เชื่อมต่อไปยัง network share ของผู้โจมตีเมื่อถูกเปิด และระหว่างเชื่อมต่อ Windows อาจพยายามยืนยันตัวตนกับเซิร์ฟเวอร์ปลายทางโดยอัตโนมัติ ส่งผลให้ NTLMv2 hash ของผู้ใช้งานรั่วไหล ผู้โจมตีสามารถดักเก็บ hash นี้และอาจนำไปถอดรหัสแบบ offline ก่อนนำ Credential ที่ได้ไปเข้าถึงบัญชีขององค์กรโดยไม่ได้รับอนุญาต ช่องโหว่ลักษณะคล้ายกันนี้เคยถูกใช้โจมตีมาแล้วในอดีต โดยมักมาในรูปของไฟล์แนบอันตรายที่ส่งผ่านแคมเปญ Phishing
นอกจาก Microsoft แล้ว ในเดือนพฤศจิกายน 2026 ยังมีผู้ผลิตอีกหลายรายออกแพตช์หรือคำแนะนำด้านความปลอดภัย เช่น
- Cisco แก้ช่องโหว่ Critical บน Catalyst SD-WAN Controller, Secure Email Gateway และ Meraki
- Ivanti แก้ช่องโหว่ 2 รายการบน Connect Secure (ICS) ที่ถูกนำมาใช้โจมตีร่วมกันแบบ Zero-day ตั้งแต่อย่างน้อยวันที่ 1 ตุลาคม
- SonicWall แก้ช่องโหว่ 7 รายการบน SonicOS รวมถึงช่องโหว่ SSL-VPN authentication bypass ที่ถูกใช้โจมตีจริง
- SAP แก้ช่องโหว่ระดับความรุนแรงสูงสุด 4 รายการ
- Zyxel แพตช์ Zero-day บนสวิตช์ GS1900 series ที่ถูกใช้เจาะอุปกรณ์ไปเกือบ 1,000 เครื่องทั่วโลก
- Google ออกแพตช์ฉุกเฉินแก้ช่องโหว่ Zero-day บน Chrome
- Vates แก้ช่องโหว่ authentication bypass ระดับ Critical บน Xen Orchestra ที่กำลังถูกใช้โจมตีจริง
