ช่องโหว่ 0-Days ของ Windows Remote Desktop Services ถูกใช้โจมตีจริงเพื่อยกระดับสิทธิ์
Microsoft ออกแพตช์ช่องโหว่ 0-Day ใน Windows RDS หลังถูกใช้โจมตีจริงเพื่อยกระดับสิทธิ์เป็น SYSTEM
Microsoft ได้ออกแพตช์แก้ไขช่องโหว่ CVE-2026-21533 ซึ่งเป็นช่องโหว่แบบ Zero-Day ประเภทยกระดับสิทธิ์ (Elevation of Privilege) ใน Windows Remote Desktop Services (RDS) หลังพบว่าถูกผู้โจมตีใช้ประโยชน์จริงในโลกไซเบอร์เพื่อเข้าถึงสิทธิ์ระดับ SYSTEM
ช่องโหว่นี้เกิดจากการจัดการสิทธิ์ที่ไม่เหมาะสม (Improper Privilege Management) และได้รับการแก้ไขในชุดอัปเดต Patch Tuesday ประจำเดือนกุมภาพันธ์ 2026 ที่เผยแพร่เมื่อวันที่ 10 กุมภาพันธ์
คะแนนความรุนแรง
- รหัส: CVE-2026-21533
- คะแนน CVSS v3.1: 7.8 (ระดับ High)
- เวกเตอร์การโจมตี: แบบ Local
- ความซับซ้อนต่ำ (Low Complexity)
- ต้องการสิทธิ์เริ่มต้นต่ำ (Low Privileges Required)
- ไม่ต้องอาศัยการโต้ตอบจากผู้ใช้
- กระทบต่อ Confidentiality, Integrity และ Availability ในระดับสูง
แม้ Microsoft จะจัดระดับเป็น “Important” แต่ยืนยันว่ามีการใช้โจมตีได้จริง และมีแพตช์แก้ไขอย่างเป็นทางการแล้ว
ระบบที่ได้รับผลกระทบ
ช่องโหว่นี้กระทบ Windows หลายเวอร์ชัน โดยเฉพาะระบบเซิร์ฟเวอร์ที่เปิดใช้งาน RDS ได้แก่:
- Windows Server 2025
- Windows Server 2022
- Windows Server 2019
- Windows Server 2016
- Windows Server 2012 / 2012 R2
- Windows 11 (หลายเวอร์ชัน เช่น 23H2, 24H2)
- Windows 10 (เช่น 22H2 และเวอร์ชันก่อนหน้า)
Microsoft แนะนำให้องค์กรติดตั้ง Monthly Rollup หรือ Security Updates ทันทีผ่าน Windows Update หรือ Microsoft Update Catalog และตรวจสอบหมายเลข Build หลังติดตั้ง เช่น Windows Server 2025 ควรเป็นเวอร์ชัน 10.0.26100.32370
เทคนิคการโจมตี
จากรายงานของ CrowdStrike พบว่า exploit ที่ใช้โจมตีจะทำการ:
- แก้ไขค่า Registry ที่เกี่ยวข้องกับการตั้งค่าบริการ (Service Configuration)
- แทนที่ค่าดังกล่าวด้วยค่าที่ผู้โจมตีควบคุมเอง
- ส่งผลให้สามารถยกระดับสิทธิ์ เช่น เพิ่มผู้ใช้ใหม่เข้าในกลุ่ม Administrators
- ได้สิทธิ์ระดับ SYSTEM อย่างสมบูรณ์
ผู้โจมตีต้องมีสิทธิ์ในระดับต่ำภายในเครื่องก่อน จึงเหมาะกับการใช้ในขั้นตอน Post-Exploitation ภายในสภาพแวดล้อมที่เปิดใช้งาน RDP
Adam Meyers หัวหน้าฝ่าย Counter Adversary Operations ของ CrowdStrike ระบุว่า:
“ผู้ไม่หวังดีที่ครอบครอง exploit นี้ มีแนวโน้มเร่งนำไปใช้หรือขายต่อในเร็ว ๆ นี้”
แม้ยังไม่มีการระบุชัดว่าเป็นฝีมือของกลุ่มใด แต่ระบบ RDS ถือเป็นเป้าหมายสำคัญสำหรับการเคลื่อนย้ายภายในเครือข่าย (Lateral Movement)
แนวทางลดความเสี่ยง
องค์กรควรดำเนินการดังนี้โดยเร่งด่วน:
- ปิดการใช้งาน RDS หากไม่จำเป็น
- จำกัดการเข้าถึงเฉพาะเครือข่ายที่เชื่อถือได้
- ใช้นโยบาย Least Privilege อย่างเคร่งครัด
- เฝ้าระวังการเปลี่ยนแปลง Registry ที่เกี่ยวข้องกับ RDS
- ใช้ EDR เพื่อตรวจจับพฤติกรรมการยกระดับสิทธิ์ที่ผิดปกติ
- ทดสอบแพตช์ในระบบ Staging ก่อนใช้งานจริง เนื่องจาก RDS เป็นบริการที่มีความอ่อนไหวสูง
บริบทเพิ่มเติม
ช่องโหว่นี้เป็นหนึ่งใน 55 ช่องโหว่ ที่ได้รับการแก้ไขใน Patch Tuesday เดือนกุมภาพันธ์ 2026 โดยมีอีก 5 ช่องโหว่ที่ถูกใช้โจมตีจริงเช่นกัน
เหตุการณ์นี้สะท้อนให้เห็นถึงความเสี่ยงอย่างต่อเนื่องในระบบ Windows รุ่นเก่า และตอกย้ำความจำเป็นในการทำ RDS Hardening เพื่อป้องกันการยกระดับสิทธิ์หลังการเจาะระบบ
