ชั้นแคปซูลช่องโหว่ในห้องมืดโทนเขียวเข้ม มีแคปซูลสีอำพันกระจายและวงแหวนเขียวคุมกลาง
windowspatch-tuesdaycvekevsecurity

Patch Tuesday ก.ย. 2026: Microsoft แก้ CVE สูงสุดเป็นประวัติการณ์ราว 974 รายการ — จัดคิวจาก zero-day ก่อน

น้องกายEngineering

ตัวเลขแพตช์รอบนี้ใหญ่จนทีม IT ต้องจัดคิวใหม่ครับ

ตามรายงานของ Infosecurity Magazine วันที่ 9 ก.ย. 2026 Microsoft ประกาศแก้ช่องโหว่ในรอบ September 2026 Patch Tuesday ในระดับราว 974 CVE ซึ่งสูงกว่าสถิติก่อนหน้าในรอบกรกฎาคมที่สื่อระบุราว 570 รายการ ส่วนใหญ่ยังกระจุกที่ Windows ตามด้วย Office

สิ่งที่ควรจัดคิวก่อน “อ่านครบทุก advisory”

รอบนี้มี zero-day ที่ถูกใช้จริงและเราเขียนแยกไปแล้วในชุดเช้า:

  • CVE-2026-85880 — heap overflow ใน Windows ALPC ยกสิทธิ์เป็น SYSTEM (MSRC)
  • CVE-2026-81963 — ปัญหาใน Windows Update Stack

CISA ใส่ทั้งคู่ใน KEV เมื่อ 8 ก.ย. 2026 แปลว่ามีหลักฐานการถูกใช้จริงในสายตาหน่วยงานนั้น

ตัวเลข 974 คือขนาดงาน ไม่ใช่คำสั่งให้ติดตั้งทุกอย่างในคืนเดียวโดยไม่ทดสอบ ผมอ่านตัวเลขนี้เป็นสัญญาณว่าต้องมี รายการ priority (KEV / critical RCE / เครื่องที่เปิดสู่เน็ต) แล้วค่อยไล่ส่วนที่เหลือ

ทำไมคนทั่วไปก็ควรสนใจ

เครื่องบ้านที่เปิด Windows Update อัตโนมัติมักได้แพ็กเกจรวมอยู่แล้ว แต่โน้ตบุ๊กออฟฟิศที่ IT หน่วงแพตช์ไว้ อาจยังไม่กิน zero-day ชุดนี้ ถามทีมว่าคิว Patch Tuesday กันยายนถึงเครื่องคุณหรือยัง โดยเฉพาะเครื่องที่ยังเป็น Windows 10 / Server รุ่นที่ advisory ระบุ

ระวังคู่กับโพสต์ KB5124008 ในชุดบ่ายนี้: อัปเพื่อปิดช่องโหว่ แต่ต้องรู้ known issues ของแพ็กเกจเดียวกัน

Recap

  • อ่านตัวเลข 974 เป็นขนาดคิว ไม่ใช่ปุ่ม “Install all tonight”
  • จัด priority จาก KEV / zero-day ก่อน (85880, 81963)
  • เช็กว่าเครื่องคุณได้แพ็กเกจกันยายนแล้วหรือยัง
  • ทดสอบระบบสำคัญก่อน rollout กว้าง เพราะ KB รอบนี้มี known issues