สมมติว่าฝ่ายบัญชีของคุณได้รับอีเมลจาก "ซัพพลายเออร์" แนบไฟล์ชื่อใบแจ้งหนี้เดือนตุลาคม พนักงานเปิดไฟล์ตามปกติ เพราะ Windows ไม่ได้แสดงคำเตือนอะไรเป็นพิเศษ
ปกติไฟล์ที่มาจากอินเทอร์เน็ตหรือไฟล์แนบในอีเมลจะมีป้ายกำกับที่ Windows ติดไว้ เรียกว่า Mark of the Web ป้ายนี้บอกระบบว่าไฟล์มาจากภายนอก แล้วแสดงคำเตือนหรือบล็อกมาโครใน Office ช่องโหว่ที่ Microsoft เพิ่งแก้ในเดือนนี้ทำให้ผู้โจมตีหลบป้ายนี้ได้ และมีการใช้โจมตีจริงแล้ว
เกิดอะไรขึ้น
วันที่ 13 ตุลาคม 2569 Microsoft ออกแพตช์ความปลอดภัยประจำเดือน (Patch Tuesday) รอบนี้แก้ช่องโหว่มากกว่า 1,400 รายการ Tenable นับได้ 1,407 รายการ ส่วน BleepingComputer นับได้ 1,411 รายการ โดยไม่รวม 348 รายการที่แก้ไปก่อนหน้าในเดือนเดียวกัน ตัวเลขต่างกันตามวิธีนับ แต่ทั้งสองแหล่งตรงกันว่ารอบนี้ใหญ่เป็นพิเศษ
ช่องโหว่ที่ควรสนใจก่อนคือ CVE-2026-96951 ใน Windows Shell ข้อมูลใน Security Update Guide ของ Microsoft ระบุว่า
- ถูกใช้โจมตีจริงแล้ว (Exploitation Detected) แต่ไม่ได้เปิดเผยต่อสาธารณะก่อนออกแพตช์
- คะแนน CVSS 3.1 อยู่ที่ 8.8 จัดระดับ Important
- ผู้โจมตีที่ใช้ช่องโหว่นี้ได้สำเร็จจะหลบการป้องกันของ Mark of the Web ได้
- วิธีโจมตีคือส่งไฟล์ที่สร้างขึ้นเฉพาะทางอีเมลหรือข้อความ หรือหลอกให้ผู้ใช้กดลิงก์ไปยังเว็บของผู้โจมตี ผู้โจมตีบังคับให้เปิดเองไม่ได้ ต้องอาศัยให้ผู้ใช้ลงมือ
วันเดียวกัน CISA หน่วยงานความมั่นคงไซเบอร์ของสหรัฐฯ เพิ่ม CVE-2026-96951 เข้ารายการช่องโหว่ที่ถูกโจมตีจริง (Known Exploited Vulnerabilities) และกำหนดให้หน่วยงานรัฐบาลกลางของสหรัฐฯ แก้ภายในวันที่ 16 ตุลาคม 2569 กำหนดนี้ไม่ได้บังคับธุรกิจไทย แต่บอกได้ว่าหน่วยงานด้านความปลอดภัยมองว่าเรื่องนี้เร่งด่วนแค่ไหน
อีกรายการที่ควรทราบคือ CVE-2026-108398 ใน .NET Framework ซึ่งเปิดเผยต่อสาธารณะก่อนมีแพตช์ ช่องโหว่นี้ทำให้ผู้โจมตีที่เข้าถึงเครื่องได้แล้วหลบ Windows Defender Application Control (WDAC) และรันโปรแกรมที่ไม่ได้รับอนุญาตได้ Microsoft ระบุว่ายังไม่พบการโจมตีจริง
ทำไมเรื่องนี้สำคัญกับธุรกิจไทย
ไฟล์แนบในอีเมลยังเป็นช่องทางหลักที่ผู้โจมตีใช้เข้าถึงองค์กร ทั้งใบแจ้งหนี้ปลอม ใบเสนอราคา และเอกสารสมัครงาน หลายบริษัทพึ่งคำเตือนของ Windows และการบล็อกมาโครของ Office เป็นด่านสุดท้ายก่อนพนักงานเปิดไฟล์ เอกสารของ Microsoft อธิบายว่า Office ตัดสินใจบล็อกมาโครในไฟล์จากอินเทอร์เน็ตโดยดูจาก Mark of the Web เป็นหลัก ถ้าป้ายนี้ถูกหลบได้ ด่านนั้นก็อ่อนลงทันที
ทีมไอทีหลายแห่งทยอยติดตั้งแพตช์แบบรอบเดือน หรือรอให้คนอื่นทดสอบก่อนสองถึงสามสัปดาห์ แนวทางนี้เหมาะกับแพตช์ทั่วไป แต่กับช่องโหว่ที่ถูกโจมตีอยู่แล้ว ช่วงรอนั้นคือช่วงที่เครื่องในบริษัทเปิดรับความเสี่ยงอยู่
อีกจุดที่มักหลุดคือเครื่องที่ไม่ได้รับแพตช์แล้ว Microsoft ระบุว่าแพตช์เดือนตุลาคม 2569 เป็นรอบสุดท้ายของ Windows 11 เวอร์ชัน 24H2 รุ่น Home และ Pro เราเขียนรายละเอียดเรื่องนี้ไว้ใน บทความเรื่องวงจรชีวิต Windows 11 24H2 เครื่องกลุ่มนี้ได้แพตช์รอบนี้ แต่ถ้ามีช่องโหว่ใหม่ในเดือนหน้าจะไม่ได้อีก
