Microsoft ออกแพตช์ใหญ่ อุดช่องโหว่ 1,235 รายการ รวม Zero-Day ใน Outlook เสี่ยงแฮกเกอร์ขโมยบัญชี
Microsoft ปล่อยอัปเดตความปลอดภัยประจำเดือนพฤศจิกายน 2026 หรือ November 2026 Patch Tuesday ครั้งใหญ่ แก้ไขช่องโหว่รวม 1,235 รายการ ครอบคลุมผลิตภัณฑ์และบริการหลายกลุ่ม โดยมีช่องโหว่ระดับ Critical ถึง 66 รายการ ที่น่ากังวลเป็นพิเศษคือการแก้ไขช่องโหว่ Zero-Day ใน Microsoft Outlook ซึ่งพบว่าถูกผู้โจมตีนำไปใช้จริงแล้ว เพื่อขโมยข้อมูลยืนยันตัวตนของผู้ใช้งาน Windows
รายงานจาก BleepingComputer ระบุว่า ช่องโหว่ทั้ง 1,235 รายการในรอบนี้ ประกอบด้วยช่องโหว่ประเภท Elevation of Privilege (ยกระดับสิทธิ์) จำนวน 536 รายการ, Remote Code Execution (สั่งรันโค้ดจากระยะไกล) 296 รายการ, Information Disclosure (เปิดเผยข้อมูล) 157 รายการ, Denial of Service (ทำให้ระบบหยุดให้บริการ) 46 รายการ และ Security Feature Bypass (หลบเลี่ยงระบบรักษาความปลอดภัย) 27 รายการ
นอกจากนี้ ยังมีช่องโหว่ประเภท Spoofing อีก 22 รายการ และช่องโหว่ใน Microsoft Edge ซึ่งพัฒนาบนพื้นฐาน Chromium อีก 142 รายการ โดยประมาณ 639 รายการเป็นช่องโหว่ที่เกี่ยวข้องกับ Windows และส่วนประกอบต่าง ๆ ของผลิตภัณฑ์ Windows
สำหรับช่องโหว่ระดับ Critical ทั้ง 66 รายการ แบ่งเป็น Remote Code Execution 48 รายการ, Elevation of Privilege 15 รายการ และ Use-After-Free ใน Microsoft Edge อีก 3 รายการ
พบ Zero-Day ใน Outlook ถูกใช้ขโมยข้อมูลยืนยันตัวตน NTLM
ประเด็นสำคัญของ Patch Tuesday เดือนนี้ คือการแก้ไขช่องโหว่ Zero-Day หมายเลข CVE-2026-124194 ซึ่งเป็นช่องโหว่ประเภท Spoofing ใน Microsoft Outlook โดย Microsoft ยืนยันว่าพบการนำช่องโหว่นี้ไปใช้โจมตีจริงแล้ว
ช่องโหว่ดังกล่าวเปิดทางให้ผู้โจมตีที่ไม่จำเป็นต้องผ่านการยืนยันตัวตน สามารถส่งไฟล์ข้อความที่สร้างขึ้นเป็นพิเศษไปยังเหยื่อ และหลอกให้เปิดไฟล์ดังกล่าวผ่าน Microsoft Outlook เวอร์ชันที่ได้รับผลกระทบ
เมื่อเหยื่อเปิดไฟล์ Outlook อาจเชื่อมต่อไปยังตำแหน่งเครือข่ายที่ผู้โจมตีควบคุมอยู่ โดยไม่แสดงคำเตือนเกี่ยวกับเนื้อหาภายนอกตามปกติ ส่งผลให้ Windows พยายามส่งข้อมูลสำหรับยืนยันตัวตนไปยังเซิร์ฟเวอร์ดังกล่าว
กระบวนการนี้อาจทำให้ผู้โจมตีสามารถดักจับค่า NTLMv2 Authentication Hash ซึ่งเป็นข้อมูลที่เกี่ยวข้องกับการยืนยันตัวตนของบัญชี Windows ก่อนนำไปวิเคราะห์หรือถอดรหัสแบบออฟไลน์ เพื่อนำข้อมูลที่ได้ไปใช้ปลอมตัวเป็นผู้ใช้งาน และพยายามเข้าถึงบัญชีหรือระบบภายในองค์กรโดยไม่ได้รับอนุญาต
Microsoft ระบุว่า การโจมตีจำเป็นต้องอาศัยการเชื่อมต่อเครือข่ายและการกระทำของผู้ใช้งาน โดยเฉพาะการเปิดไฟล์ที่ถูกสร้างขึ้นเพื่อโจมตี จึงเป็นอีกกรณีที่สะท้อนให้เห็นว่าไฟล์แนบจากแหล่งที่ไม่น่าเชื่อถืออาจกลายเป็นช่องทางสำคัญในการขโมยข้อมูลบัญชีองค์กร
การออกแพตช์ประจำเดือนพฤศจิกายนครั้งนี้เกิดขึ้นต่อเนื่องจากเดือนตุลาคม 2026 ซึ่ง Microsoft เคยปล่อยอัปเดตแก้ไขช่องโหว่สูงถึง 1,411 รายการ โดย BleepingComputer ระบุว่า Microsoft กำลังใช้เทคโนโลยี AI เข้ามาช่วยค้นหาและแก้ไขช่องโหว่ในผลิตภัณฑ์ของบริษัทมากขึ้น
ทั้งนี้ ตัวเลข 1,235 รายการในรายงานเดือนพฤศจิกายน นับเฉพาะช่องโหว่ที่ Microsoft เผยแพร่การแก้ไขในวัน Patch Tuesday เท่านั้น ไม่รวมช่องโหว่อีก 108 รายการที่ได้รับการแก้ไขไปก่อนหน้านี้ในเดือนเดียวกัน ซึ่งประกอบด้วยช่องโหว่ใน Entra Device Registration จำนวน 1 รายการ, Mariner 82 รายการ และ Microsoft Edge อีก 25 รายการ