RoguePlanet ช่องโหว่ Defender ที่เปิดทางให้ยึดสิทธิ์ SYSTEM ล่าสุด Microsoft แก้แล้ว

Microsoft ออกอัปเดตแก้ไขช่องโหว่ RoguePlanet หรือ CVE-2026-50656 ใน Microsoft Defender แล้ว หลังช่องโหว่นี้อาจเปิดทางให้ผู้โจมตียกระดับสิทธิ์จากบัญชีผู้ใช้ทั่วไปไปเป็นสิทธิ์ระดับ SYSTEM ซึ่งเป็นระดับสูงสุดของระบบ Windows

ผู้ใช้ Windows ควรตรวจสอบว่า Microsoft Malware Protection Engine ได้รับการอัปเดตเป็นเวอร์ชัน 1.1.26060.3008 หรือใหม่กว่า แล้วหรือยัง โดยปกติระบบจะดาวน์โหลดอัปเดตนี้ให้อัตโนมัติ แต่สามารถตรวจสอบด้วยตัวเองได้เพื่อความมั่นใจ

RoguePlanet คือช่องโหว่อะไร?

รายงานจากเว็บไซต์ Malwarebytes ระบุว่า RoguePlanet เป็นช่องโหว่ประเภทการยกระดับสิทธิ์ หรือ Elevation of Privilege (EoP) ภายใน Microsoft Malware Protection Engine ซึ่งเป็นกลไกหลักที่ Microsoft Defender ใช้ตรวจจับและจัดการภัยคุกคาม

หากใช้ช่องโหว่สำเร็จ ผู้โจมตีอาจยกระดับสิทธิ์จากบัญชีผู้ใช้ทั่วไปไปเป็น NT AUTHORITY\SYSTEM ทำให้สามารถควบคุมส่วนสำคัญของ Windows ได้ในระดับสูงมาก

อย่างไรก็ตาม ช่องโหว่นี้ไม่ใช่การเจาะเครื่องจากระยะไกลโดยตรง ผู้โจมตีต้องมีช่องทางรันโค้ดหรือเข้าถึงบัญชีผู้ใช้ระดับต่ำบนเครื่องเป้าหมายอยู่ก่อน เช่น หลอกให้เจ้าของเครื่องเปิดไฟล์ที่เป็นอันตราย จากนั้นจึงอาศัย RoguePlanet เพื่อยกระดับสิทธิ์เพิ่มเติม

ทำไมบางเครื่องโจมตีสำเร็จ แต่บางเครื่องไม่สำเร็จ?

ความสำเร็จของการใช้ช่องโหว่ขึ้นอยู่กับสภาวะที่เรียกว่า Race Condition หรือการแข่งขันกันของกระบวนการภายในระบบ ซึ่งต้องอาศัยจังหวะการทำงานที่เหมาะสม

ผู้ทดสอบช่องโหว่ระบุว่า สามารถทำงานสำเร็จได้ถึง 100% บนเครื่องบางเครื่อง แต่กลับทำได้ยากหรือไม่สำเร็จบนอีกเครื่องหนึ่ง เนื่องจากสภาพแวดล้อมและจังหวะการประมวลผลของแต่ละระบบอาจแตกต่างกัน

แม้ผลลัพธ์จะไม่แน่นอนในทุกเครื่อง แต่การมีโค้ดสาธิตการโจมตีเผยแพร่ต่อสาธารณะทำให้ผู้ใช้งานไม่ควรปล่อยระบบไว้โดยไม่อัปเดต

Microsoft ออกตัวแก้ไขแล้ว

เดิม Microsoft ระบุว่ากำลังพัฒนาอัปเดตคุณภาพสูงเพื่อแก้ไขช่องโหว่ดังกล่าว ล่าสุดบริษัทได้ออก Microsoft Malware Protection Engine เวอร์ชัน 1.1.26060.3008 เพื่อปิดช่องโหว่แล้ว

Microsoft ระบุว่าเวอร์ชันก่อนหน้า 1.1.26060.3008 อยู่ในกลุ่มที่ได้รับผลกระทบ ดังนั้นผู้ใช้ควรตรวจสอบให้แน่ใจว่า Engine Version ของเครื่องเป็นเวอร์ชันดังกล่าวหรือสูงกว่า

สำหรับผู้ใช้ทั่วไป Microsoft Defender มักอัปเดตฐานข้อมูลภัยคุกคามและตัว Malware Protection Engine ให้อัตโนมัติอยู่แล้ว หากไม่ได้ปิดระบบอัปเดต เครื่องส่วนใหญ่จึงอาจได้รับตัวแก้ไขโดยไม่ต้องดำเนินการเพิ่มเติม

วิธีตรวจสอบเวอร์ชัน Microsoft Defender

ผู้ใช้สามารถตรวจสอบและสั่งค้นหาอัปเดตได้ตามขั้นตอนต่อไปนี้

1. เปิดเมนู Start แล้วค้นหา Windows Security
2. เลือก Virus & threat protection
3. เข้าไปที่ Protection updates แล้วกด Check for updates
4. เปิด Settings และเลือก About
5. มองหารายการ Engine Version

หาก Engine Version เป็น 1.1.26060.3008 หรือสูงกว่า แสดงว่าเครื่องได้รับตัวแก้ไข RoguePlanet แล้ว แต่หากเป็นเวอร์ชันก่อนหน้านี้ ควรสั่งตรวจสอบอัปเดตอีกครั้ง รวมถึงเปิด Windows Update เพื่อรับอัปเดตล่าสุด

ปิด Real-time protection อย่างเดียวไม่ใช่ทางแก้

การปิดเฉพาะฟังก์ชัน Real-time protection ไม่ควรถูกใช้แทนการติดตั้งอัปเดต เพราะรายงานก่อนออกแพตช์ระบุว่าโค้ดสาธิต RoguePlanet ยังอาจทำงานได้แม้ปิดการป้องกันแบบเรียลไทม์

ทางป้องกันที่เหมาะสมกว่าคืออัปเดต Microsoft Malware Protection Engine ให้เป็นเวอร์ชันที่แก้ไขแล้ว พร้อมหลีกเลี่ยงการดาวน์โหลดและเปิดไฟล์จากแหล่งที่ไม่น่าเชื่อถือ

นอกจากนี้ ควรเปิดระบบอัปเดตอัตโนมัติ ใช้บัญชีผู้ใช้ทั่วไปแทนบัญชีผู้ดูแลระบบในชีวิตประจำวัน และสำรองไฟล์สำคัญอย่างสม่ำเสมอ เพื่อลดผลกระทบหากพบภัยคุกคามรูปแบบอื่นในอนาคต

สิ่งสำคัญที่ผู้ใช้ Windows ควรทำในตอนนี้จึงไม่ใช่การปิด Defender แต่เป็นการตรวจสอบว่า Engine Version ได้รับการอัปเดตเป็น 1.1.26060.3008 หรือใหม่กว่า พร้อมระมัดระวังไฟล์แนบ โปรแกรมเถื่อน และลิงก์ดาวน์โหลดที่ไม่ทราบที่มา

แหล่งที่มา: Malwarebytes และ Microsoft Security Response Center

อ้างอิง:
Microsoft Security Response Center — CVE-2026-50656
Malwarebytes — Microsoft fixes RoguePlanet zero-day in Defender
NIST National Vulnerability Database — CVE-2026-50656