Notepad กลายเป็นช่องทางโจมตี ช่องโหว่ใหม่ใน Windows 11 เสี่ยงรันไฟล์อันตรายโดยไม่รู้ตัว
Microsoft ได้ออกแพตช์แก้ไขช่องโหว่ความปลอดภัยรุนแรงในแอป Notepad ของ Windows 11 ซึ่งอาจฟังดูไม่น่าเชื่อสำหรับโปรแกรมจดโน้ตธรรมดา แต่ช่องโหว่นี้เปิดทางให้ผู้โจมตีสามารถหลอกให้ไฟล์ปฏิบัติการรันได้ทันทีเมื่อผู้ใช้คลิกลิงก์ที่ถูกฝังอยู่ในไฟล์ Markdown (.md) โดยไม่แสดงคำเตือนด้านความปลอดภัยใด ๆ บนระบบ ซึ่งถูกระบุเป็นช่องโหว่ CVE-2026-20841 และได้รับคะแนนความรุนแรงสูงถึง 8.8 จาก 10 ตามเกณฑ์ความรุนแรงของระบบจัดอันดับช่องโหว่ความปลอดภัย
Notepad ใน Windows 11 ได้รับการปรับปรุงให้รองรับ Markdown — ตัวภาษาเรียบง่ายที่ใช้จัดรูปแบบข้อความและสร้างลิงก์คลิกได้ — เพื่อเพิ่มความยืดหยุ่นในการอ่านและแก้ไขไฟล์ข้อความ รูปแบบ Markdown นี้ทำให้ Notepad สามารถแสดงลิงก์ที่ผู้ใช้สามารถคลิกได้ในไฟล์ แต่กลไกการจัดการลิงก์ที่ไม่ได้ตรวจสอบอย่างเคร่งครัด ทำให้แฮกเกอร์สามารถฝังลิงก์ที่ชี้ไปยังไฟล์ปฏิบัติการหรือโพรโทคอลพิเศษ (เช่น file://, ms-appinstaller:// หรือ URI อื่น ๆ) ซึ่งเมื่อผู้ใช้เปิดไฟล์และคลิกเข้าไป โค้ดหรือไฟล์นั้นจะรันโดยไม่ถามยืนยันก่อน ทั้งนี้โค้ดจะรันในบริบทสิทธิ์ของผู้ใช้ปัจจุบัน — หมายความว่าหากผู้ใช้มีสิทธิ์ระดับสูง ผู้โจมตีอาจได้สิทธิ์ตามระดับนั้นด้วย
Microsoft ระบุว่าช่องโหว่นี้ ยังไม่พบการใช้งานโจมตีในโลกจริง ก่อนการออกแพตช์ แต่ก็ได้แพตช์แก้ไขปัญหานี้แล้วผ่านการอัปเดตรายเดือนหรือที่เรียกว่า Patch Tuesday ของเดือนกุมภาพันธ์ 2569 (2026)
สำหรับผู้ใช้ Windows 11 ตอนนี้ควรแน่ใจว่า Notepad ของคุณได้รับการอัปเดตเป็นเวอร์ชันล่าสุดผ่าน Microsoft Store หรือ Windows Update เพื่อให้แพตช์ด้านความปลอดภัยนี้ถูกนำไปใช้งานแล้ว และควรหลีกเลี่ยงการเปิดไฟล์ Markdown จากแหล่งที่ไม่น่าเชื่อถือหรือไม่คุ้นเคย เพื่อหลีกเลี่ยงความเสี่ยงจากการถูกหลอกให้รันไฟล์โดยไม่ตั้งใจ