สำนักงานความมั่นคงปลอดภัยและโครงสร้างพื้นฐานไซเบอร์ของสหรัฐอเมริกา (CISA) ได้สั่งหน่วยงานสหพันธรัฐให้รักษาความปลอดภัยระบบ Windows ของพวกเขาต่อช่องโหว่ที่ถูกใช้ในการโจมตี Zero-day
ถูกติดตามเป็น CVE-2026-32202 ช่องโหว่ด้านความปลอดภัยนี้ถูกรายงานโดยบริษัทไซเบอร์เซキュริティ Akamai ซึ่งอธิบายว่าเป็นช่องโหว่การรั่วไหล NTLM hash แบบ Zero-click ที่ถูกทิ้งไว้หลังจาก Microsoft แพทช์ช่องโหว่การรันโค้ดระยะไกล (CVE-2026-21510) ไม่สมบูรณ์ในเดือนกุมภาพันธ์
ตามที่ CERT-UA เปิดเผย กลุ่มสปายไซเบอร์ของรัสเซีย APT28 (รู้จักในชื่อ UAC-0001 และ Fancy Bear) ใช้ประโยชน์จาก CVE-2026-21510 ในการโจมตียูเครนและประเทศใน EU ในเดือนธันวาคม 2025 โดยเป็นส่วนหนึ่งของ Exploit chain ที่ยังมุ่งเป้าช่องโหว่ไฟล์ LNK (CVE-2026-21513) อีกด้วย
Microsoft ระบุว่าผู้โจมตีระยะไกลที่ใช้ประโยชน์จากช่องโหว่ CVE-2026-32202 ในการโจมตีที่ซับซ้อนต่ำ โดย "ส่งไฟล์อันตรายให้เหยื่อ ซึ่งเหยื่อจะต้องรันมัน" สามารถ "ดูข้อมูลละเอียดอ่อนบางส่วน" บนระบบที่ยังไม่ได้แพทช์
Akamai อธิบายเพิ่มเติมในรายงานวันพฤหัสบดีว่าช่องโหว่ด้านความปลอดภัยนี้สามารถใช้ประโยชน์ได้ในการโจมตี Pass-the-hash เพื่อขโมย NTLM hashes (รหัสผ่านที่แฮช) ซึ่งต่อมาใช้ในการยืนยันตัวตนในฐานะผู้ใช้ที่ถูกคุกคาม ทำให้ผู้โจมตีสามารถแพร่กระจายข้ามเครือข่ายแบบข้างเคียง (Laterally) หรือขโมยข้อมูลละเอียดอ่อน
Microsoft ยังติดป้ายช่องโหว่ CVE-2026-3220 ว่าถูกใช้ในการโจมตีในวันอาทิตย์ หลังจาก BleepingComputer ติดต่อเมื่อสัปดาห์ที่แล้ว เพื่อถามว่าทำไม Advisory ที่เผยแพร่ในวัน Patch Tuesday เดือนเมษายน 2026 มีการประเมินความเป็นไปได้ในการใช้ประโยชน์ (Exploitability assessment) เป็น 'Exploitation Detected' ในขณะที่ช่องโหว่ถูกตั้งป้ายว่าไม่ถูกใช้ประโยชน์
เมื่อถูกถามข้อมูลเพิ่มเติมเกี่ยวกับการโจมตี CVE-2026-32202 (รวมถึงว่าแฮกเกอร์ APT28 ใช้ช่องโหว่ Zero-click นี้ด้วยหรือไม่) Microsoft บอก BleepingComputer ว่าพวกเขาไม่ได้ระบุหลักฐ据ที่เชื่อมโยง CVE นี้กับกิจกรรมของ APT28 จากสิ่งที่พวกเขาสังเกตจนถึงตอนนี้
หน่วยงานสหพันธรัฐได้รับคำสั่งให้แพทช์ภายใน 12 พฤษภาคม
ในวันอังคาร CISA เพิ่ม CVE-2026-32202 เข้าไปใน Known Exploited Vulnerabilities (KEV) Catalog สั่งให้หน่วยงาน Federal Civilian Executive Branch (FCEB) แพทช์ Windows endpoints และ servers ภายในสองสัปดาห์ ภายในวันที่ 12 พฤษภาคม ตามที่บังคับโดย Binding Operational Directive (BOD) 22-01
"ประเภทของช่องโหว่นี้เป็นเวกเตอร์การโจมตีที่พบบ่อยสำหรับผู้กระทำความผิดทางไซเบอร์ และเป็นความเสี่ยงที่มีนัยสำคัญต่อองค์กรสหพันธรัฐ" สำนักงานไซเบอร์เซキュริティเตือน
"นำมาตรการลดทอนตามคำแนะนำของผู้ขาย ปฏิบัติตามคำแนะนำ BOD 22-01 ที่เกี่ยวข้องสำหรับบริการคลาวด์ หรือหยุดใช้ผลิตภัณฑ์หากไม่มีมาตรการลดทอน"
แม้ BOD 22-01 จะใช้ได้กับหน่วยงานสหพันธรัฐของสหรัฐอเมริกาเท่านั้น CISA ก็ได้เรียกร้องให้ทีมความปลอดภัยทุกทีม ให้ความสำคัญกับการปรับใช้แพทช์สำหรับ CVE-2026-32202 และรักษาความปลอดภัยเครือข่ายองค์กรของพวกเขาโดยเร็วที่สุด
ผู้กระทำความผิดทางไซเบอร์ (Threat actors) กำลังใช้ประโยชน์จากช่องโหว่ด้านความปลอดภัยของ Windows อีกสามช่องโหว่ที่เปิดเผยเมื่อเร็วๆ นี้ (ที่ได้รับชื่อว่า BlueHammer, RedSun และ UnDefend) ในการโจมตีที่มุ่งเป้าเพื่อได้รับสิทธิ์ SYSTEM หรือ Administrator สูงขึ้น โดยสองช่องโหว่ในสามช่องโหว่ยังคงรอแพทช์
อัปเดต 30 เมษายน, 06:04 EDT: เพิ่มคำตอบจาก Microsoft
99% ของสิ่งที่ Mythos พบ ยังไม่ได้รับการแพทช์
AI เชื่อมโยง Zero-day 4 ช่องโหว่ เป็น Exploit เดียวที่ข้ามทั้ง Renderer และ OS sandboxes ได้ กระแส Exploit ใหม่กำลังจะมาถึง
ที่ Autonomous Validation Summit (12 และ 14 พฤษภาคม) มาดูว่าการตรวจสอบแบบอัตโนมัติและมีบริบท (context-rich) พบสิ่งที่ถูกใช้ประโยชน์ได้ พิสูจน์ว่า Controls ทำงาน และปิด Loop การแก้ไข (remediation loop)
จองที่นั่งของคุณ
