แผงจัดลำดับช่องโหว่ KEV บนโต๊ะทำงานมืดพร้อมไอคอนแพตช์
cisakevpatch-managementwindowsadoben-able

CISA ใส่ 4 ช่องโหว่ใหม่ใน KEV แล้ว จัดลำดับแพตช์ยังไงไม่ให้จมใน Patch Tuesday

น้องกายEngineering

ทุกเดือนทีมแพตช์มักเจอคำถามเดิมครับ

อันไหนต้องทำก่อน

วันที่ 8 กันยายน 2026 CISA ตอบบางส่วนของคำถามนี้ด้วยการเพิ่มช่องโหว่ 4 รายการเข้า Known Exploited Vulnerabilities Catalog หรือ KEV (รายการช่องโหว่ที่มีหลักฐานว่าถูกใช้โจมตีจริงแล้ว)

ทำไม KEV ถึงสำคัญกว่าลิสต์แพตช์ยาว ๆ

Patch Tuesday มักมีรายการเยอะมาก

แต่ KEV คือตัวกรองสั้น ๆ ที่บอกว่าตัวนี้มีคนใช้โจมตีอยู่แล้ว

ถ้าเวลาและแรงคนมีจำกัด การเริ่มจาก KEV จะช่วยลดโอกาสโดนก่อนที่คุณจะไล่แพตช์ครบทุกตัว

สี่รายการที่ถูกเพิ่ม

ตามประกาศของ CISA มีดังนี้

  • CVE-2026-75650 — Adobe Commerce และ Magento เรื่อง improper neutralization ใน template engine
  • CVE-2026-81963 — Microsoft Windows link following
  • CVE-2026-85880 — Microsoft Windows heap-based buffer overflow
  • CVE-2026-86218 — N-able N-central static code injection

CISA ย้ำว่าช่องโหว่ประเภทนี้เป็นเส้นทางโจมตีที่แฮกเกอร์ชอบใช้ และเสี่ยงต่อระบบของหน่วยงานรัฐ

BOD 26-04 พูดอะไร

ประกาศนี้โยงกับ Binding Operational Directive (BOD) 26-04 ซึ่งกำหนดให้หน่วยงานพลเรือนระดับรัฐบาลกลางสหรัฐจัดลำดับการแก้ช่องโหว่ตามความเสี่ยง

ใจความที่ทีมเอกชนก็เอามาใช้ได้คือ

  1. ให้ความสำคัญกับ CVE ใน KEV บนสินทรัพย์ที่เปิดสาธารณะ โดยเฉพาะตัวที่ถ้าถูกโจมตีสำเร็จจะควบคุมระบบได้ทั้งหมด
  2. เลื่อนงานที่เสี่ยงต่ำลงไปก่อนได้
  3. ตรวจด้วยว่าถูกโจมตีก่อนแพตช์หรือไม่ ไม่ใช่แค่ติดตั้งอัปเดตแล้วจบ

แม้ BOD จะบังคับเฉพาะหน่วยงาน FCEB แต่ CISA ชวนทุกองค์กรใช้แนวคิดเดียวกัน

วิธีที่ผมใช้จัดคิวแพตช์หลังประกาศนี้

ผมไม่เริ่มจากรายการทั้งเดือน

แต่เริ่มจากคำถามสามข้อ

  1. เรามี Adobe Commerce / Magento, Windows ที่เข้าข่าย หรือ N-able N-central ไหม
  2. ระบบนั้นเปิดออกอินเทอร์เน็ตหรือโดน remote ได้ง่ายไหม
  3. ถ้าถูกยึด จะกระทบลูกค้าหรือข้อมูลสำคัญแค่ไหน

จากนั้นค่อยดึงแพตช์ที่เกี่ยวข้องขึ้นคิวแรก

ส่วนรายการอื่นใน Patch Tuesday ค่อยไล่ตามความเสี่ยงและผลกระทบธุรกิจ

สิ่งที่มักพลาด

หลายทีมแพตช์เร็ว แต่ไม่เช็กว่าถูกใช้ประโยชน์ไปก่อนหน้าแล้วหรือยัง

อีกกลุ่มหนึ่งจมอยู่กับจำนวนแพตช์มหาศาล จนลืมว่า KEV คือทางลัดของสิ่งที่ต้องทำวันนี้

Recap

  • เปิดรายการ KEV วันที่ 8 ก.ย. 2026 แล้วแมปกับ inventory ของทีม
  • ให้คิวสูงสุดกับ CVE-2026-75650, CVE-2026-81963, CVE-2026-85880, CVE-2026-86218 ถ้ามีสินทรัพย์ที่เกี่ยวข้อง
  • ตรวจระบบที่เปิดสาธารณะก่อนระบบภายใน
  • เช็กสัญญาณ compromise ก่อนหรือหลังแพตช์ ไม่ใช่แค่ติดตั้งอัปเดต
  • ทบทวนนโยบายแพตช์ให้สอดคล้องแนวคิด BOD 26-04 แม้ไม่ได้อยู่ภายใต้ข้อบังคับ