CVE-2026-81963: ช่องโหว่ Windows Update Stack และความเสี่ยง

ในรอบแพทช์ประจำเดือนกันยายน 2026 ไมโครซอฟท์ได้ปล่อยชุดอัปเดตความปลอดภัยครั้งใหญ่ที่สุดเท่าที่เคยมีมา โดยแก้ไขช่องโหว่รวมทั้งหมด 974 รายการ ครอบคลุมทั้งระบบปฏิบัติการวินโดวส์และผลิตภัณฑ์อื่นๆ ทว่าสิ่งที่เป็นประเด็นสำคัญที่สุดคือ มีช่องโหว่ถึงสองรายการที่ถูกกลุ่มผู้ไม่หวังดีนำไปใช้โจมตีในสถานการณ์จริงแล้วก่อนที่แพทช์จะถูกปล่อยออกมา หนึ่งในนั้นคือช่องโหว่รหัส CVE-2026-81963 ซึ่งซ่อนตัวอยู่ในสแต็กการอัปเดตของวินโดวส์

ช่องโหว่ CVE-2026-81963 จัดอยู่ในประเภทการยกระดับสิทธิ์ภายในเครื่อง (Local Privilege Escalation) และได้รับคะแนนความรุนแรงตามมาตรฐาน CVSS อยู่ที่ 7.8 คะแนน จุดอ่อนดังกล่าวเกิดจากการผสมผสานระหว่างข้อบกพร่องเรื่องการจัดการเส้นทางไฟล์ก่อนเข้าถึง (CWE-59) และการควบคุมการเข้าถึงที่ไม่รัดกุมเพียงพอ ส่งผลให้ระบบอัปเดตเกิดความสับสนและยอมติดตามลิงก์อันตรายที่ผู้โจมตีสร้างขึ้น ทำให้แฮกเกอร์ที่แฝงตัวอยู่แล้วในระดับผู้ใช้ทั่วไปสามารถไต่ระดับสิทธิ์ขึ้นไปเทียบเท่ากับบัญชี SYSTEM ขั้นสูงสุดได้

แม้ว่าช่องโหว่นี้จะไม่ได้เปิดโอกาสให้ผู้โจมตีเจาะเข้ามาจากระยะไกลได้โดยตรง เนื่องจากผู้ร้ายจำเป็นต้องมีสิทธิ์เข้าถึงตัวเครื่องในระดับต่ำก่อน แต่มันก็มีความอันตรายสูงมากเพราะเครื่องเป้าหมายอาจเป็นเครื่องที่ผ่านการอัปเดตแพทช์มาแล้วก็ตาม เนื่องจากกลไกที่ใช้รักษาความปลอดภัยให้ระบบทันสมัยอยู่เสมอนั้นกลับกลายมาเป็นช่องทางให้ถูกเจาะเสียเอง ทางด้านเทนเบิล (Tenable) ระบุว่านี่คือช่องโหว่ยกระดับสิทธิ์ในส่วน Windows Update Stack รายการที่เจ็ดนับตั้งแต่ปี 2022 แต่มีความพิเศษตรงที่นี่คือรายการแรกที่เป็นทั้งซีโร่เดย์และมีการยืนยันว่าถูกใช้โจมตีจริงแล้ว

ภาพประกอบจากคลังภาพสต็อก ไม่ใช่ภาพจากเหตุการณ์จริง

ในขณะเดียวกัน ทางราปิดเซเว่น (Rapid7) ได้วิเคราะห์ตัวแพทช์แก้ไขและพบว่าไมโครซอฟท์ได้ทำการปิดกั้นไม่ให้สแต็กการอัปเดตยอมทำตามลิงก์แปลกปลอมอีกต่อไป เพื่อป้องกันไม่ให้ไฟล์ที่ถูกควบคุมโดยผู้โจมตีสามารถเขียนทับส่วนประกอบหลักของระบบปฏิบัติการได้ นอกจากนี้ยังมีช่องโหว่ซีโร่เดย์ตัวที่สองในชุดแพทช์เดียวกันคือ CVE-2026-85880 ซึ่งเป็นปัญหาฮีปบัฟเฟอร์โอเวอร์ฟ్ลอว์ในส่วนวินโดวส์ ALPC ที่เปิดให้แอปพลิเคชันในแซนด์บ็อกซ์หลบหนีออกมาได้สำเร็จ