Windows zero-day 4 ตัวถูกโจมตี ส.ค.-ก.ย. 2026 รวม IKE CVE-2026-33824

พอดีไล่ดูรายการ KEV ของ CISA แล้วเห็น Windows โผล่เข้ามาถี่ในช่วง ส.ค. ถึง ก.ย. 2026 ผมเลยดึง CVRF ของ MSRC เดือน เม.ย., ส.ค. และ ก.ย. มาเทียบกับ KEV ทีละตัว เพราะข่าวส่วนใหญ่เล่าแยกกัน แต่คนดูแลเครื่องต้องรู้ว่าแต่ละตัวต้องลงแพตช์ตัวไหน และรุ่นไหนโดน

มี 4 ตัวที่ถูกลงบัญชีว่าถูกโจมตีจริง

CISA ระบุ ransomware use เป็น Unknown ทั้ง 4 ตัว ค่า CVSS พื้นฐานตรงกับที่ NVD ลงไว้ ส่วนรายละเอียดว่าใครโจมตีและโจมตีใครไม่มีในแหล่งที่ผมเปิดอ่าน

IKE ตัวที่น่ากังวลที่สุด CVE-2026-33824

ตัวนี้ผู้โจมตีไม่ต้องมีบัญชี ไม่ต้องมีคนกดอะไร MSRC อธิบายว่าผู้โจมตีส่งแพ็กเก็ตที่สร้างมาเป็นพิเศษไปยังเครื่อง Windows ที่เปิด IKE เวอร์ชัน 2 ไว้ ก็รันโค้ดบนเครื่องได้ (AV:N/AC:L/PR:N/UI:N) ระดับของ Microsoft คือ Critical

เรื่องที่ผมว่าสำคัญคือไทม์ไลน์ แพตช์ออกตั้งแต่ Patch Tuesday เดือน เม.ย. แต่ CISA เพิ่งใส่ลง KEV เมื่อ 18 ส.ค. ผมตีความว่าเป็นการโจมตีเครื่องที่ค้างแพตช์เมษา ราว 4 เดือนหลังแพตช์ออก (CISA ไม่ได้ระบุว่าเหยื่อเป็นเครื่องแบบไหน ข้อนี้เป็นข้อสรุปของผมเอง)

มีจุดที่สองแหล่งไม่ตรงกัน ข้อมูล CVRF ของ MSRC ที่ผมดึงมาเมื่อ 5 พ.ย. ยังเขียนช่อง exploitability ของ CVE นี้เป็น Exploited:No และ Exploitation Less Likely ทั้งที่ KEV ลงเป็นถูกโจมตีแล้ว ผมถือตาม KEV เพราะเป็นบัญชีที่อิงหลักฐานการโจมตี ส่วน Microsoft แก้หน้า CVE นี้วันที่ 20 ส.ค. เป็นการเพิ่มคำอธิบายของมาตรการชั่วคราว (เวอร์ชัน 1.1) ตัวเลขนี้เตือนว่าป้ายประเมินตอนวันประกาศไม่ใช่คำสัญญา

ใครใช้ IKE บ้าง และมาตรการชั่วคราว IKE คือโปรโตคอลที่ใช้เจรจาคีย์ของ IPsec ตัวอย่างที่เจอบ่อยบน Server คือ VPN แบบ IKEv2 และ L2TP/IPsec, site-to-site VPN และเครื่องที่ตั้ง connection security rule (ข้อนี้เป็นการสรุปของผมเอง Microsoft ระบุแค่ว่าเครื่องต้องเปิด IKEv2) เช็กได้ว่าเครื่องกำลังฟังพอร์ตนี้หรือไม่

Get-Service -Name IKEEXT | Format-List Name, Status, StartType
Get-NetUDPEndpoint -LocalPort 500, 4500 -ErrorAction SilentlyContinue | Format-Table LocalAddress, LocalPort, OwningProcess

Microsoft เผยแพร่มาตรการชั่วคราวไว้ 2 ข้อ คือ ถ้าเครื่องไม่ใช้ IKE ให้บล็อกขาเข้า UDP 500 และ 4500 ถ้าต้องใช้ ให้เปิดเฉพาะ peer ที่รู้จักเท่านั้น และเขียนไว้ชัดว่า ลดพื้นผิวโจมตีแต่ไม่ได้แทนการลงแพตช์

# เครื่องที่ไม่ใช้ IKE: บล็อกขาเข้า (ชั่วคราว ถอดออกหลังลงแพตช์)
New-NetFirewallRule -DisplayName 'Temp block IKE inbound' -Direction Inbound -Protocol UDP -LocalPort 500,4500 -Action Block

# เครื่องที่ต้องใช้ IKE: เปิดเฉพาะ peer ที่รู้จัก (203.0.113.10 เป็นค่าตัวอย่าง)
New-NetFirewallRule -DisplayName 'IKE from known peer' -Direction Inbound -Protocol UDP -LocalPort 500,4500 -RemoteAddress 203.0.113.10 -Action Allow

อีก 3 ตัวเป็นการยกสิทธิ์ในเครื่อง

ทั้งสามตัวต้องมีสิทธิ์รันโปรแกรมบนเครื่องอยู่ก่อน ผลที่ได้คือสิทธิ์ SYSTEM คนที่เสียหายมากสุดคือเครื่องที่มีหลายคนล็อกอินได้ (RDS, jump host, เครื่อง build) หรือเครื่องที่เว็บแอปมีช่องโหว่รันคำสั่งได้ เพราะตัวยกสิทธิ์พวกนี้ทำให้การบุกเข้ามาแค่ระดับผู้ใช้ธรรมดากลายเป็นยึดทั้งเครื่อง

• CVE-2026-68820 (AFD for WinSock) ต้องชนะ race condition (AC:H) ผู้โจมตีรันแอปที่สร้างมาเพื่อเรื่องนี้ กระทบ Server 2012 ถึง 2025 และ Windows 10/11
• CVE-2026-85880 (ALPC) FAQ ของ Microsoft ระบุว่าผู้โจมตีที่รันโค้ดใน AppContainer ที่สิทธิ์ต่ำ ใช้ช่องโหว่นี้หลุด sandbox และยกสิทธิ์ได้ อยู่ในรายการของ Server 2012 ถึง 2022 ไม่อยู่ในรายการของ Server 2025
• CVE-2026-81963 (Windows Update Stack) ช่องโหว่ link following ในส่วนประกอบของการอัปเดต ในรายการ CVRF มีแค่ Server 2025 กับ Windows 11 เท่านั้น

KB ที่ต้องลง และเช็ก build

ถ้าเครื่องอยู่ที่ build ตามตารางข้างล่างหรือใหม่กว่า ทั้งสี่ตัวที่เกี่ยวกับรุ่นนั้นถูกแก้แล้ว (cumulative รวมของเก่าไว้ในตัว) ตัว "build ขั้นต่ำ" ผมเอาค่าที่สูงสุดของแพตช์ที่เกี่ยวข้องกับรุ่นนั้น

1. ไล่เครื่องที่เปิด IKE ด้วยสองคำสั่งด้านบน เครื่อง VPN และ gateway มาก่อน
2. ใส่มาตรการชั่วคราว บนเครื่องที่ยังลงแพตช์ไม่ได้ (บล็อก หรือจำกัด peer)
3. ลง cumulative update ล่าสุดตามตาราง ทีละเครื่อง เริ่มจากเครื่องที่หลายคนล็อกอินได้
4. รีสตาร์ตและตรวจ build ด้วยสคริปต์ด้านล่าง
5. ถอดกฎชั่วคราวออก หลังยืนยันว่า build ผ่านแล้ว เพื่อไม่ให้ VPN พังตอนมีคนเปลี่ยนค่าทีหลัง

ใครใช้ Server 2022 Datacenter: Azure Edition แบบ hotpatch ตัวแก้ของ ส.ค. คือ KB5120229 (build 20348.5440) ตาม CVRF ให้ดูของ hotpatch แยก

# ใช้กับ Windows Server เท่านั้น ค่าคือ build ขั้นต่ำที่ครอบคลุมทั้ง 4 CVE ตามตารางด้านบน
$cv  = Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion'
$min = @{ '9200' = 26349; '9600' = 23398; '14393' = 9512; '17763' = 9245; '20348' = 5622; '26100' = 33438 }
$b = [string]$cv.CurrentBuildNumber
if ($min.ContainsKey($b) -and $cv.UBR -ge $min[$b]) { "OK  $b.$($cv.UBR)" } else { "WARN  $b.$($cv.UBR) ต่ำกว่า Sep 2026" }
Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 5 HotFixID, InstalledOn

เช็กว่าโดนหรือยัง

ใน CVRF ของ Microsoft ไม่มี IOC ของ 4 ตัวนี้ ผมเลยไม่มีรายการไล่ค้นให้ สำหรับ IKE ทำได้แค่ดูว่าเครื่องเคยเปิดรับ UDP 500/4500 จากอินเทอร์เน็ตโดยตรงในช่วง เม.ย. ถึง ส.ค. หรือไม่ และสำหรับสามตัวที่เหลือให้ดูว่ามีบัญชีหรือโปรเซสสิทธิ์ต่ำที่ไปรันงานระดับ SYSTEM แปลกๆ หรือเปล่า เป็นวิธีเดาของผม ไม่ใช่ IOC ทางการ

ส่วนตัวผม ถ้ามีเครื่อง VPN IKEv2 ที่เปิดหาอินเทอร์เน็ตตรงๆ และ build ยังต่ำกว่าตาราง ควรลงในรอบ maintenance ถัดไปที่ทำได้เร็วที่สุด ไม่ควรเลื่อนข้ามรอบ maintenance นั้นไป ระหว่างนั้นใช้มาตรการชั่วคราวกับเครื่องที่ไม่ได้ทำ VPN ส่วนตัวยกสิทธิ์อีกสามตัวลงตามรอบปกติได้ แต่เครื่องที่หลายคนล็อกอินได้ผมจะดันขึ้นมาก่อน ตามความเสี่ยงของแต่ละที่

ปล. ผมจะไม่ใช้ป้าย "Exploitation Less Likely" เป็นเหตุผลเลื่อนแพตช์ Critical ที่ไม่ต้องล็อกอินอีก เพราะ IKE ตัวนี้เป็นตัวอย่างว่าป้ายนั้นไม่ได้ยืนยาว

ที่มา: Microsoft MSRC CVRF เดือน เม.ย., ส.ค., ก.ย. 2026 (https://api.msrc.microsoft.com/cvrf/v3.0/cvrf/2026-Apr, https://api.msrc.microsoft.com/cvrf/v3.0/cvrf/2026-Aug, https://api.msrc.microsoft.com/cvrf/v3.0/cvrf/2026-Sep), CISA KEV (https://www.cisa.gov/known-exploited-vulnerabilities-catalog), NVD (https://nvd.nist.gov/vuln/detail/CVE-2026-33824), Microsoft Support KB5120242 (https://support.microsoft.com/help/5120242), KB5122882 (https://support.microsoft.com/help/5122882), KB5122871 (https://support.microsoft.com/help/5122871), KB5120229 (https://support.microsoft.com/help/5120229) ข้อมูลถึง 5 พ.ย. 2026 เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ