หลังจากการอัปเดต Windows 11 ประจำเดือนเมษายน 2025 ด้วยแพตช์หมายเลข KB5055523 ผู้ใช้จำนวนมากต่างสะดุดตากับโฟลเดอร์แปลกชื่อว่า inetpub ที่ปรากฏขึ้นบนไดรฟ์ C: โดยไม่มีคำอธิบาย ไม่มีโปรแกรมใหม่ถูกติดตั้ง และไม่ได้เปิดใช้ฟีเจอร์ใด ๆ ที่เกี่ยวข้องกับโฟลเดอร์นี้มาก่อน เมื่อเปิดเข้าไปดูก็พบว่าไม่มีไฟล์ภายใน ขนาดเป็นศูนย์ไบต์ และสามารถลบออกได้โดยไม่มีผลกระทบกับระบบ ทำให้ผู้ใช้หลายคนสงสัยว่าอาจเกี่ยวข้องกับฟีเจอร์ IIS (Internet Information Services) ของ Windows ที่ปกติจะไม่ปรากฏ หากไม่ได้เปิดใช้งานด้วยตนเอง
แม้ในช่วงแรก Microsoft ยังไม่ได้ให้คำตอบอย่างเป็นทางการ แต่ต่อมาก็ได้ชี้แจงว่า โฟลเดอร์ inetpub ดังกล่าวเป็นส่วนหนึ่งของการอัปเดตเพื่อความปลอดภัย โดยมีเป้าหมายเพื่อปิดช่องโหว่รหัส CVE-2025-21204 ซึ่งอาจเปิดทางให้ผู้ใช้ทั่วไปสามารถยกระดับสิทธิ์ตนเองจนกลายเป็น SYSTEM ได้โดยไม่ผ่านสิทธิ์แอดมิน Microsoft จึงแก้ปัญหาโดยการสร้างโฟลเดอร์ C:\inetpub ไว้ล่วงหน้าในทุกเครื่อง และเตือนว่าห้ามลบโฟลเดอร์นี้ เพราะอาจทำให้ระบบอัปเดตในอนาคตทำงานผิดพลาด
ปัญหาใหม่ก็เกิดขึ้นตามมา เมื่อนักวิจัยด้านความปลอดภัย Kevin Beaumont ค้นพบว่า โฟลเดอร์นี้อาจกลายเป็นช่องโหว่ที่เปิดให้ผู้ใช้ทั่วไป ซึ่งไม่ใช่แอดมิน สามารถใช้คำสั่ง mklink /j เพื่อสร้าง symlink เชื่อม inetpub ไปยังโปรแกรมอื่น เช่น notepad.exe ได้ ด้วยคำสั่งใน Command Prompt เพียงบรรทัดเดียว ส่งผลให้ Windows เข้าใจผิดและไม่สามารถติดตั้งอัปเดตได้อีกเลย กลายเป็นการโจมตีแบบ denial of service ที่หยุดการอัปเดตความปลอดภัยของระบบโดยสมบูรณ์
สิ่งที่น่ากังวลคือ ช่องโหว่นี้อาจถูกนำไปใช้โดยแฮกเกอร์เพื่อปิดระบบอัปเดตของเครื่องเราโดยที่เราไม่รู้ตัว และยังทำได้ง่ายมาก ๆ ด้วยเพราะไม่ต้องใช้สิทธิ์ Admin ทำให้เมื่อมีอัปเดตความปลอดภัยใหม่ ๆ ในอนาคต ระบบก็ไม่สามารถติดตั้งได้ และช่องโหว่อื่น ๆ ที่ Microsoft แก้ไขในภายหลังจะยังคงอยู่ในเครื่อง เปิดโอกาสให้แฮกเกอร์เจาะเข้ามาโจมตีซ้ำได้ง่ายขึ้นในระยะยาว ถือเป็นการเพิ่มความเสี่ยงเชิงระบบโดยตรงจากภายใน
Symlink หรือ symbolic link เป็นลิงก์ที่ชี้ไปยังไฟล์หรือโฟลเดอร์อื่น คล้าย Shortcut แต่พิเศษกว่าตรงที่แม้ไม่มีข้อมูลจริงอยู่ในนั้น แต่ระบบจะทำงานเหมือนเป็นของจริง ข้อกังวลคือสามารถสร้างได้แม้ไม่มีสิทธิ์แอดมิน ซึ่งอาจถูกนำไปใช้ในทางที่เป็นอันตรายได้ง่าย
ปัจจุบัน Microsoft ยังไม่ออกแพตช์แก้ไขช่องโหว่ใหม่นี้ และยังไม่มีการประกาศอย่างเป็นทางการเพิ่มเติม ผู้ใช้จึงควรหลีกเลี่ยงการลบหรือแก้ไขโฟลเดอร์ inetpub ด้วยตนเอง รวมถึงไม่ควรทดลองใช้คำสั่ง symlink โดยไม่จำเป็น เพื่อความปลอดภัยของระบบในระยะยาว
หลังอัปเดต Windows 11 เดือนเมษายน 2025 ผู้ใช้พบโฟลเดอร์แปลกชื่อ inetpub โผล่ขึ้นบนไดรฟ์ C: โดย Microsoft ชี้แจงว่าเป็นส่วนหนึ่งของแพตช์เพื่ออุดช่องโหว่ CVE-2025-21204 และห้ามลบโดยเด็ดขาด ไม่งั้นอาจทำให้ Windows Update รวนได้ ล่าสุดนักวิจัยพบว่าโฟลเดอร์นี้อาจถูกนำมาใช้เป็นช่องโหว่เพื่อทำให้ระบบอัปเดตแพตช์ความปลอดภัยไม่ได้ ด้วยคำสั่ง CMD โดยผู้ใช้ทั่วไปที่ไม่ใช่แอดมิน เพื่อบล็อกไม่ให้ระบบอัปเดตได้อีกเลย เสี่ยงกลายเป็นช่องโหว่ให้แฮกเกอร์ปิดระบบอัปเดตและเจาะเข้ามาในอนาคต ปัจจุบันยังไม่มีแพตช์แก้ไข เลยแนะนำว่าไม่ควรจะไปยุ่ง
ที่มา : Neowin
Comment