Microsoft ปล่อยอัปเดตความปลอดภัย (Patch Tuesday) ประจำเดือนกันยายน 2026 เพื่อแก้ไขช่องโหว่รวมทั้งหมด 966 รายการ ถือเป็น Patch Tuesday ที่มีจำนวนช่องโหว่มากที่สุดเป็นประวัติการณ์ของ Microsoft และในรอบนี้ยังมีช่องโหว่ Zero-Day จำนวน 2 รายการ ซึ่งทั้งคู่มีหลักฐานว่าถูกนำไปใช้โจมตีจริงแล้ว

สำหรับ Windows 11 เวอร์ชัน 25H2 และ 24H2 ได้รหัส KB5124008 ส่วน Windows 11 เวอร์ชัน 23H2 ได้รหัส KB5122880 ขณะที่ Windows 10 เวอร์ชัน 22H2 และ Windows 10 Enterprise LTSC ที่ยังอยู่ในโครงการ Extended Security Updates (ESU) ได้รหัส KB5122878

ในการอัปเดตรอบนี้ มีช่องโหว่ระดับร้ายแรง (Critical) จำนวน 105 รายการ แบ่งเป็นช่องโหว่รันโค้ดจากระยะไกล (Remote Code Execution – RCE) 81 รายการ ช่องโหว่ยกระดับสิทธิ์ (Elevation of Privilege) 20 รายการ ช่องโหว่เปิดเผยข้อมูล 2 รายการ และช่องโหว่หลบเลี่ยงระบบความปลอดภัยอีก 1 รายการ

รายละเอียดจำนวนช่องโหว่แต่ละประเภท

  • ช่องโหว่ยกระดับสิทธิ์ (Elevation of Privilege): 438 รายการ
  • ช่องโหว่หลบเลี่ยงระบบความปลอดภัย (Security Feature Bypass): 19 รายการ
  • ช่องโหว่รันโค้ดจากระยะไกล (Remote Code Execution): 258 รายการ
  • ช่องโหว่เปิดเผยข้อมูล (Information Disclosure): 173 รายการ
  • ช่องโหว่โจมตีให้ระบบล่ม (Denial of Service): 56 รายการ
  • ช่องโหว่ปลอมแปลงตัวตน (Spoofing): 16 รายการ

ตัวเลขช่องโหว่ 966 รายการดังกล่าว นับเฉพาะช่องโหว่ที่ Microsoft แก้ไขในวัน Patch Tuesday เท่านั้น และยังไม่รวมช่องโหว่อีก 204 รายการที่ได้รับการแก้ไขไปก่อนหน้านี้ในเดือนกันยายน เช่น Azure AI Language, Azure Cosmos DB, Copilot Studio, Entra ID, Mariner, Microsoft Edge, Microsoft Fabric และ Power Automate

รายละเอียดของ Zero-Day ทั้ง 2 ตัว

CVE-2026-81963 (Windows Update Stack) ความรุนแรง 7.8/10 คะแนน

เป็นช่องโหว่ยกระดับสิทธิ์ (Elevation of Privilege) ที่ถูกนำไปใช้โจมตีจริงแล้ว เกิดจากปัญหา Improper Link Resolution หรือการจัดการ Link Following ก่อนเข้าถึงไฟล์ภายใน Windows Update Stack ที่ไม่เหมาะสม ทำให้ผู้โจมตีที่มีสิทธิ์ใช้งานเครื่องอยู่ก่อน สามารถยกระดับสิทธิ์ขึ้นเป็นระดับ SYSTEM ได้

ช่องโหว่นี้ต้องโจมตีจากภายในเครื่อง ผู้โจมตีจำเป็นต้องผ่านการยืนยันตัวตนและมีสิทธิ์ระดับต่ำอยู่ก่อน ไม่สามารถใช้เจาะเครื่องจากระยะไกลโดยตรง และไม่ต้องอาศัยการกดหรือการดำเนินการเพิ่มเติมจากผู้ใช้

Microsoft ยังไม่ได้เปิดเผยรายละเอียดว่าช่องโหว่นี้ถูกนำไปใช้โจมตีในรูปแบบใดหรือกลุ่มเป้าหมายใด โดยช่องโหว่ถูกค้นพบโดย Romain Deperne และ Microsoft Threat Intelligence Center (MSTIC) และปัจจุบันถูกเพิ่มเข้าในรายการ Known Exploited Vulnerabilities ของ CISA แล้ว

CVE-2026-85880 (Windows Advanced Local Procedure Call – ALPC) ความรุนแรง 7.8/10 คะแนน

เป็นช่องโหว่ยกระดับสิทธิ์ (Elevation of Privilege) ที่ถูกนำไปใช้โจมตีจริงแล้ว เกิดจากปัญหา Heap-based Buffer Overflow ภายใน Windows Advanced Local Procedure Call หรือ ALPC ซึ่งเป็นกลไกที่ Windows ใช้สำหรับให้ Process ต่าง ๆ ติดต่อสื่อสารกันภายในเครื่อง

ผู้โจมตีที่ผ่านการยืนยันตัวตนและสามารถรันโค้ดบนเครื่องได้อยู่ก่อน สามารถใช้ช่องโหว่นี้เพื่อยกระดับสิทธิ์ขึ้นเป็นระดับ SYSTEM ได้ โดยเป็นการโจมตีแบบ Local ไม่สามารถใช้เจาะจากระยะไกลโดยตรง และไม่ต้องอาศัยการดำเนินการเพิ่มเติมจากผู้ใช้

Microsoft ยังไม่ได้เปิดเผยว่าช่องโหว่นี้ถูกนำไปใช้โจมตีอย่างไรหรือเกี่ยวข้องกับกลุ่มแฮกเกอร์ใด โดยช่องโหว่ถูกค้นพบและรายงานโดย Volexity รวมถึง Mark Kelly, David Galazin และ Jeremy Hedges จาก Proofpoint และปัจจุบัน CISA ยืนยันว่ามีการนำช่องโหว่นี้ไปใช้โจมตีจริงแล้วเช่นกัน

จำนวนช่องโหว่ในเดือนกันยายนเพิ่มขึ้นอย่างมากเมื่อเทียบกับช่วงก่อนหน้า โดยเดือนกรกฎาคม 2026 Microsoft แก้ไขช่องโหว่ไปประมาณ 570 รายการ ส่วนเดือนสิงหาคมอยู่ที่ประมาณ 400 รายการ ก่อนพุ่งขึ้นมาเป็น 966 รายการในเดือนนี้ ซึ่งถือเป็นสถิติสูงสุดของ Patch Tuesday

Microsoft เคยระบุว่าหนึ่งในสาเหตุที่จำนวนช่องโหว่ที่ตรวจพบเพิ่มขึ้น มาจากการนำระบบค้นหาช่องโหว่ที่ขับเคลื่อนด้วย AI มาใช้ตรวจสอบผลิตภัณฑ์และซอฟต์แวร์ต่าง ๆ ทำให้บริษัทสามารถค้นพบและแก้ไขปัญหาด้านความปลอดภัยได้มากขึ้นกว่าเดิม

สำหรับผู้ใช้งาน Windows แนะนำให้ติดตั้งอัปเดตความปลอดภัยประจำเดือนกันยายนโดยเร็ว โดยเฉพาะเครื่องที่ใช้งานในองค์กรหรือมีผู้ใช้งานหลายบัญชี เนื่องจาก Zero-Day ทั้ง 2 รายการในรอบนี้มีหลักฐานว่าถูกนำไปใช้โจมตีจริงแล้ว และสามารถใช้ยกระดับสิทธิ์ของผู้โจมตีขึ้นไปถึงระดับ SYSTEM ได้

ที่มา : BleepingComputer