Microsoft Patch Tuesday ต.ค. 2026 มี CVE-2026-96951 ถูกโจมตีแล้ว

พอดีเห็นประกาศรอบแพตช์ของ Microsoft ที่ออกเมื่อ 13 ต.ค. 2026 ตัวเลขใหญ่ผิดปกติ ผมเลยดึงไฟล์ CVRF จาก MSRC API มานั่งไล่เอง แทนที่จะอ่านจากข่าวต่อกันมา แล้วสรุปเฉพาะส่วนที่คนดูแล Windows Server ต้องตัดสินใจ

MSRC ระบุในหัว release note ว่ารอบนี้มี 1,474 CVE ของ Microsoft เอง และประกาศซ้ำ (republish) CVE ของผู้อื่นอีก 753 ตัว ตัวเลขนี้ไม่ตรงกับที่ผมนับเองสองจุด ตารางกลุ่มผลิตภัณฑ์ในหน้าเดียวกันบวกกันได้ 1,454 (รวมแถว Defender 4 และ Other 35 ที่ผมไม่ได้ลงในตารางข้างล่าง ส่วน Edge เป็น 0) และไฟล์ CVRF ที่ดึงเมื่อ 5 พ.ย. (แก้ไขล่าสุด 4 พ.ย.) มี 1,475 รายการที่ผู้ออกเลข (CNA) เป็น Microsoft ผมเลยยึด 1,474 ตามที่ MSRC เขียนไว้เป็นตัวเลขหลัก และใช้ตารางเป็นภาพรวมเท่านั้น

ตัวที่ถูกโจมตีจริง CVE-2026-96951

เป็นช่องโหว่ใน Windows Shell ประเภท command injection (CWE-77) ผลที่ได้คือ ข้ามการป้องกัน Mark of the Web (MOTW) MOTW คือเครื่องหมายที่ Windows ติดไว้กับไฟล์ที่มาจากอินเทอร์เน็ตหรืออีเมล เพื่อให้ SmartScreen และ Protected View เตือนก่อนเปิด พอข้ามได้ ไฟล์ที่ผู้โจมตีส่งมาก็เปิดโดยไม่มีคำเตือน

MSRC ให้ CVSS 3.1 ที่ 8.8 (AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H) ซึ่ง NVD ก็ให้คะแนนฐานเท่ากัน ระดับของ Microsoft คือ Important และช่อง exploitability เขียนว่า Exploitation Detected CISA ใส่ใน KEV เมื่อ 13 ต.ค. กำหนด due 16 ต.ค. ช่อง ransomware ระบุว่า Unknown และ CISA ตั้งค่า forensic triage เป็น Yes

ความหมายในทางปฏิบัติคือ ช่องโหว่นี้ต้องมีคนเปิดไฟล์ (UI:R) มันไม่ใช่หนอนที่ยิงเข้าเครื่องเองได้ แต่ถ้าเครื่องที่ถูกใช้เปิดไฟล์หรือเมลคือ Windows Server ที่คนต่อ RDP เข้าไปทำงาน ก็เข้าเงื่อนไขเต็มๆ รุ่น Server ที่อยู่ในรายการแก้คือ 2012 R2, 2016, 2019, 2022 และ 2025 (Server 2012 ไม่อยู่ในรายการของ CVE นี้) MSRC เพิ่ม Edge (รุ่น 154.0.4258.62) เข้ามาในรายการอัปเดตของ CVE นี้ในการแก้ไขข้อมูลวันที่ 26 ต.ค.

อยากเช็กว่าไฟล์ไหนมีเครื่องหมาย MOTW ติดอยู่ ดูได้จาก alternate data stream

# ไฟล์ที่ดาวน์โหลดมาจะมี stream ชื่อ Zone.Identifier (ZoneId=3 คือ Internet)
Get-Content -Path .\setup.zip -Stream Zone.Identifier

Critical ที่ไม่ต้องล็อกอิน ที่ผมไล่ตามบทบาทของเครื่อง

ผมนับจาก CVRF (ฉบับแก้ไข 4 พ.ย.) เฉพาะผลิตภัณฑ์ที่เป็นตัว Windows Server เองได้รายการ Critical ของ Server 2025 อยู่ 36 รายการ, Server 2022 อยู่ 34, Server 2019 อยู่ 31, Server 2016 อยู่ 27, Server 2012 R2 อยู่ 24 และ Server 2012 อยู่ 22 (ถ้านับรวมส่วนเสริมอย่าง HEVC Video Extensions จะได้มากกว่านี้หนึ่งถึงสองรายการ เลยใช้เป็นตัวเลขคร่าวๆ) ไม่มีตัวไหนถูกโจมตีตอนประกาศ และทุกตัวด้านล่างนี้ Microsoft ประเมินว่า Exploitation Less Likely แต่ที่ CVSS 9.8 ซึ่งยิงผ่านเครือข่ายโดยไม่ต้องล็อกอินและไม่ต้องมีคนกด มีดังนี้

MSMQ, DHCP Server และบริการพิมพ์ ไม่ได้เปิดมาในทุกเครื่อง ให้เช็กก่อนว่าเครื่องไหนมีบทบาทนั้นจริง เครื่องที่มีและเปิดให้เครือข่ายที่ไม่ไว้ใจเข้าถึงได้ คือกลุ่มที่ต้องลงก่อน

Get-WindowsFeature -Name DHCP, MSMQ-Server, Print-Services | Format-Table Name, InstallState
Get-Service -Name DHCPServer, MSMQ, Spooler -ErrorAction SilentlyContinue | Format-Table Name, Status

MSRC เขียนไว้ในบล็อกวันที่ 13 ต.ค. เรื่อง risk cohorts ว่าการจัดกลุ่ม CVE ไม่ได้แทนที่การดูตัวที่รุนแรงสูงหรือถูกโจมตีอยู่ ซึ่งตรงกับลำดับที่ผมวางด้านบนพอดี

รุ่นที่กระทบและ KB ที่ต้องลง

รอบนี้เป็น cumulative update รวมแพตช์เก่าไว้ในตัว ลงตัวล่าสุดตัวเดียวก็ครอบคลุม ตัวเลข build ด้านล่างคือ "รุ่นที่แก้แล้ว" ตามที่ CVRF ระบุ

ช่องโหว่ .NET Framework CVE-2026-108398 (ข้าม WDAC, Publicly disclosed, ยังไม่ถูกโจมตี) ใช้แพ็กเกจ .NET แยกต่างหาก เช่น Server 2022 ที่ใช้ .NET 4.8 คือ KB5127687 (4.8.1 คือ KB5127693) และ Server 2019 ที่ใช้ .NET 4.6.2 ถึง 4.7.2 คือ KB5127666 ส่วนของ .NET 4.8 บน 1809/Server 2019 ใน CVRF ลงเป็น KB5127685 ใต้ชื่อ Windows 10 version 1809 ให้เช็กกับ Microsoft Update Catalog ว่าแพ็กเกจนี้ใช้กับ Server 2019 ได้ ใน CVRF ของ CVE นี้ผมไม่พบรายการของ Server 2016 ให้ดูหน้า CVE เองว่าต้องลงอะไรเพิ่มหรือไม่

Server 2022 มีเรื่องวงจรชีวิตด้วย หน้า KB บอกว่าอัปเดตเดือน ต.ค. เป็นตัวสุดท้ายของช่วง mainstream support หลังจากนั้นเป็น extended support ที่ได้ security update ถึง 14 ต.ค. 2031 ส่วน Server 2019 หน้า KB เขียนว่าซัพพอร์ตสิ้นสุด ม.ค. 2029

วิธีลงและวิธีเช็ก

1. สำรองก่อน snapshot หรือ backup เครื่องที่เป็นบทบาทสำคัญ (DC, DHCP, Exchange, SharePoint) แล้วเลือกเครื่องทดสอบ 1-2 เครื่องไปก่อน
2. เช็ก servicing stack หน้า KB5126655 ระบุว่า SSU ของ 2022 คือ KB5126654 ต้องลงก่อน ส่วนหน้า KB5126646 ระบุ SSU ของ 2025 คือ KB5126645 ให้เปิดหน้า KB ของรุ่นที่ใช้ดูว่าต้องลงแยกหรือไม่
3. ลง cumulative update ผ่าน Windows Update, WSUS หรือไฟล์ .msu จาก Microsoft Update Catalog
4. รีสตาร์ต แล้วตรวจ build ด้วยสคริปต์ด้านล่าง อย่าเชื่อแค่คำว่าติดตั้งสำเร็จ

ถ้าลงด้วยไฟล์ .msu จาก Catalog:

# เปลี่ยนชื่อไฟล์ให้ตรงกับที่โหลดมา
wusa.exe C:\updates\windows-kb5126655-x64.msu /quiet /norestart

ตรวจ build ให้ตรงกับตารางด้านบน (ใช้กับ Windows Server เท่านั้น เพราะเลข build ของ Windows 11 เป็นคนละชุด)

$cv  = Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion'
$min = @{ '9200' = 26434; '9600' = 23470; '14393' = 9612; '17763' = 9376; '20348' = 5761; '26100' = 33650 }
$b = [string]$cv.CurrentBuildNumber
if ($min.ContainsKey($b) -and $cv.UBR -ge $min[$b]) { "OK  $b.$($cv.UBR)" } else { "WARN  $b.$($cv.UBR) ยังต่ำกว่า October 2026" }

ฝั่ง WSUS ให้อนุมัติเข้ากลุ่มทดสอบก่อน แล้วค่อยขยาย (ชื่อกลุ่ม Pilot เป็นตัวอย่าง)

Get-WsusUpdate -Classification Security -Approval Unapproved |
  Where-Object { $_.Update.Title -like '*KB5126655*' } |
  Approve-WsusUpdate -Action Install -TargetGroupName 'Pilot'

หน้า KB หลายหน้ามีหมายเหตุตรงกันว่า หลังลง KB5070884 ขึ้นไป WSUS จะไม่แสดงรายละเอียด error ตอน sync แล้ว Microsoft ถอดออกชั่วคราวเพื่อแก้ CVE-2025-59287 ถ้า sync ไม่ผ่านให้ดูไฟล์ log ของ WSUS บนเครื่อง WSUS เอง

เช็กว่าโดนหรือยัง

Microsoft ไม่ได้ประกาศ IOC สำหรับ CVE-2026-96951 และรายละเอียดการโจมตีจริงก็ไม่ได้ถูกเปิดเผยในแหล่งที่ผมเปิดอ่าน ผมเลยไม่มีรายการให้ไล่ค้น สิ่งที่ CISA ทำคือติดธง forensic triage เป็น Yes ในรายการ KEV ของ CVE นี้ แปลว่าควรตรวจย้อนหลังด้วย ไม่ใช่แค่ลงแพตช์ แนวที่ผมใช้เองเป็นวิธีเดาของผม ไม่ใช่ IOC ทางการ คือดูใน EDR หรือ Sysmon ว่าเครื่องที่คนเปิดไฟล์บ่อยมี cmd.exe หรือ powershell.exe ที่ถูกเปิดต่อจาก Explorer หรือโปรแกรมแตกไฟล์ ในช่วงก่อนลงแพตช์หรือไม่

ส่วนตัวผม เครื่องที่คนใช้ RDP เปิดไฟล์หรือเช็กเมลบน Server จะลงภายใน 7 วันเลย และเครื่องที่เป็น DHCP, MSMQ หรือ print server ที่เครือข่ายไม่ไว้ใจเข้าถึงได้ก็ลงชุดแรกพร้อมกัน เครื่องที่ไม่มีใครนั่งเปิดไฟล์และไม่มี role พวกนั้น รอรอบ maintenance ได้ ตามความพร้อมของแต่ละที่ แต่ไม่ควรเลื่อนข้ามเดือน

ปล. อย่าลืมว่า Server 2022 ผ่านจุดเปลี่ยนเข้า extended support แล้วในรอบนี้ ใครวางแผนย้ายรุ่นไว้ก็ได้เวลาเริ่มวางตารางจริงจัง

ที่มา: Microsoft MSRC CVRF เดือน ต.ค. 2026 (https://api.msrc.microsoft.com/cvrf/v3.0/cvrf/2026-Oct), Microsoft Security Update Guide (https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-96951), บล็อก MSRC "Using risk cohorts to prioritize security updates" (https://www.microsoft.com/en-us/msrc/blog/2026/10/using-risk-cohorts-to-prioritize-security-updates), Microsoft Support KB5126655 (https://support.microsoft.com/help/5126655), KB5126646 (https://support.microsoft.com/help/5126646), KB5126651 (https://support.microsoft.com/help/5126651), CISA KEV (https://www.cisa.gov/known-exploited-vulnerabilities-catalog), NVD (https://nvd.nist.gov/vuln/detail/CVE-2026-96951) ข้อมูลถึง 5 พ.ย. 2026 เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ