Patch Tuesday ตุลาคม 2026: ช่องโหว่หลักพันรายการ และ 3 zero-day

Microsoft ปล่อยแพตช์รอบตุลาคม 2026 ที่ CSO Online นับได้ 1,407 รายการ CVE และเรียกว่าทำลายสถิติเก่าปี 2020 ที่ 1,261 รายการ (CSO Online) ในชุดนี้มี zero-day สามรายการ และรายการที่ถูกใช้แล้วคือ CVE-2026-96951 ซึ่งเลี่ยง Mark of the Web (CSO Online) ศูนย์ไซเบอร์แคนาดาออกประกาศ AV26-1038 สรุปรอบเดียวกันให้องค์กรนำไปจัดคิว (CCCS)

สรุป 30 วินาที: เกิดอะไรขึ้น

รายการที่ถูกใช้แล้วคือช่อง Windows Shell CVE-2026-96951 ที่เลี่ยงป้ายไฟล์จากเน็ต (HOL Guard) อีกสอง zero-day ที่ CSO ระบุคือ SharePoint CVE-2026-102866 ซึ่งเกี่ยวกับการตรวจโทเคนเข้ารหัสจนอาจยึดบัญชีผู้ใช้เป้าหมาย และ .NET CVE-2026-108398 ที่เกี่ยวกับเส้นทางค้นหาที่ไม่น่าเชื่อถือจนอาจเลี่ยง Windows Defender Application Control (CSO Online)

ลิสต์ทั้งรอบยาวจนการปล่อยข่าวช้ากว่าเวลาเดิมตามที่ CSO รายงาน (CSO Online) CCCS ย้ำให้นำอัปเดตไปใช้ตามความเสี่ยงของสินทรัพย์ (CCCS) ZeroHunt เน้นว่า MotW ต้องไม่รอหน้าต่างซ่อมบำรุงปกติ (ZeroHunt)

ทำไมเรื่องนี้เกี่ยวกับคุณ

ถ้าคุณเป็นพนักงานออฟฟิศที่ใช้ Outlook, Teams และแชร์ไฟล์บน SharePoint รอบนี้ไม่ได้เป็นแค่เรื่องของแอดมินครับ เพราะ SharePoint zero-day ถูกอธิบายว่าผู้โจมตีที่ไม่ล็อกอินอาจใช้ช่องโทเคนเพื่อทำงานในฐานะผู้ใช้เป้าหมายได้เมื่อมีเงื่อนไขครบ (CSO Online) ส่วน MotW กระทบทุกคนที่เปิดไฟล์แนบบน Windows (HOL Guard)

เจ้าของร้านที่ใช้คอมเครื่องเดียวก็อยู่ในกลุ่ม Windows Update บ้าน ถ้าเปิดอัตโนมัติมักได้แพตช์เร็ว แต่ถ้าปิดอัปเดตไว้เพราะกลัวโปรแกรมบัญชีพัง จะพลาดทั้ง MotW และของอื่นในรอบเดียวกัน (CCCS)

ทำงานยังไง

Patch Tuesday คือวันที่ Microsoft รวมแพตช์ความปลอดภัยประจำเดือน เหมือนวันขนของเข้าคลังใหญ่ของร้านสะดวกซื้อ ครั้งนี้กล่องเยอะผิดปกติจนพนักงานคลัง (แอดมิน) จัดไม่ทันในรอบเดียว (CSO Online)

วิธีจัดคิวที่สื่อแนะนำในทางปฏิบัติคือยกของที่มีการใช้จริงและของที่หันหน้าสู่เน็ตขึ้นก่อน MotW ถูกใช้แล้ว SharePoint ที่ไม่ต้องมีปฏิสัมพันธ์ผู้ใช้ตามคำอธิบายของ CSO ควรอยู่แถวหน้า (CSO Online) .NET / WDAC เป็นอีกชุดที่ต้องดูบริบทเครื่องที่มีนโยบายควบคุมแอป (CSO Online)

ผมไม่ไล่ CVE ทั้งพันรายการ สิ่งที่บทความนี้ทำคือให้แผนจัดชั้น: KEV/ถูกใช้จริง → เซิร์ฟเวอร์หันเน็ต → เวิร์กสเตชันผู้ใช้ → ของที่เหลือ

ตัวอย่างการจัดชั้นที่ทำได้ทันทีในองค์กรเล็ก: คืนแรกแพตช์ MotW ให้เครื่องบัญชีและเครื่องผู้บริหารที่เปิดอีเมลเยอะ คืนที่สองแพตช์ SharePoint หรือ Microsoft 365 ฝั่งเซิร์ฟเวอร์ที่หันออก คืนที่สามไล่เวิร์กสเตชันทั่วไป (CSO Online) CCCS กรอบให้คิดเป็นความเสี่ยงของสินทรัพย์ ไม่ใช่การติ๊กทุกกล่องในวันเดียว (CCCS)

สำหรับเครื่องบ้าน ทางสั้นคือ Windows Update → ติดตั้งทั้งหมด → รีสตาร์ท แล้วเช็กว่าเลขบิลด์ขยับตามที่ HOL สรุปสำหรับรุ่นของคุณ (HOL Guard) ถ้าอัปเดตแล้วแต่บิลด์ไม่ขยับ ให้เปิดประวัติอัปเดตและค้นหา KB ที่ตรงรุ่น

จุดหักมุม: ตัวเลขพันสี่ร้อยไม่ใช่ตัวเลขที่ต้องจำ

ในรายงานเดียวกันมีการอภิปรายว่าตัวเลขรวมอาจไม่ได้บอกความเสี่ยงเท่าจำนวนที่เข้า KEV (CSO Online) จุดหักมุมคือทีมที่จมกับลิสต์ยาวอาจพลาดรายการเดียวที่ถูกใช้แล้ว การจำชื่อ CVE-2026-96951, CVE-2026-102866 และ CVE-2026-108398 จึงมีประโยชน์กว่าการจำยอดรวม

เรื่องเงิน / ผลกระทบ

ยังไม่มีราคาค่าเสียหายไทยในแหล่งชุดนี้ การเลื่อนแพตช์ทั้งก้อนเพื่อประหยัดเวลาทดสอบ อาจแลกกับความเสี่ยง MotW บนเครื่องบัญชีและ SharePoint ที่เก็บเอกสารสัญญา (HOL Guard) ค่าจ้างคนมาทดสอบแพตช์หนึ่งคืนมักถูกกว่ากู้ระบบหลังโดนแนบหรือโดนยึดบัญชี

ข้อมูลที่ยังไม่ชัด และจุดที่แหล่งข่าวพูดไม่ตรงกัน

ยอดรวม CVE มีการพูดถึงราว 1,407 ในพาดหัว CSO และบริบทใกล้ 1,413 ในข้อความวิเคราะห์ภายในรายงานเดียวกัน (CSO Online) ผมจึงใช้ช่วง “ราวหนึ่งพันสี่ร้อย” และโฟกัสรายการ zero-day

รายละเอียด KB ของทุก SKU ไม่อยู่ครบในทุกบทความสรุป ต้องเปิด advisory ราย CVE (HOL Guard) ยังไม่มีแหล่งชุดนี้ยืนยันจำนวนองค์กรไทยที่ถูกแคมเปญ MotW หรือ SharePoint ในรอบนี้

แล้วเราควรทำอะไร

คนทั่วไป

รัน Windows Update ให้ครบรอบตุลาคม แล้วรีสตาร์ท
ช่วงนี้เปิดไฟล์แนบช้าลง โดยเฉพาะจากอีเมลไม่คุ้น

ทีม IT

ยก CVE-2026-96951 เป็นคิวแรกของเวิร์กสเตชัน (ZeroHunt)
แพตช์ SharePoint ตาม CVE-2026-102866 และตรวจสิทธิ์บัญชีบริการ (CSO Online)
ประเมิน CVE-2026-108398 บนเครื่องที่พึ่ง WDAC
ใช้สรุป CCCS เป็น checklist องค์กร (CCCS)
แบ่งคลื่นแพตช์: pilot → broad ไม่กองทดสอบทั้งพันรายการก่อนปล่อยของวิกฤต

ผมมองว่า…

ผมมองว่า Patch Tuesday รอบนี้ไม่ใช่แบบทดสอบความอดทนของแอดมิน แต่คือแบบทดสอบการจัดลำดับ ถ้าทำลิสต์ยาวเป็นเป้าหมาย คุณจะแพ้ตั้งแต่รายการแรกที่ถูกใช้จริง

ปิดท้าย: สิ่งที่ต้องจับตา

จับตาว่าเครื่องคุณได้แพตช์ MotW และเซิร์ฟเวอร์ SharePoint ถูกอัปเดตภายในสัปดาห์นี้หรือไม่ ทีมคุณมีบอร์ดคิวที่แยก “ถูกใช้แล้ว” ออกจาก “รอคิว” หรือยัง?

เครื่อง Windows Server ในห้องเซิร์ฟเวอร์ของบริษัทไทยหลายแห่งอัปเดตช้ากว่าเครื่องพนักงาน เพราะต้องจอง downtime คืนเสาร์ CSO ระบุว่าลิสต์รอบนี้ยาวจนการปล่อยข่าวช้ากว่าเวลาเดิม (CSO Online) แปลว่าแผนกที่รอโน้ตสรุปจากผู้ขายอาจเริ่มงานช้ากว่าแผนกที่อ่าน advisory ตรง

ถ้าคุณดูแลแล็บนักเรียนหรือร้านอินเทอร์เน็ต การปล่อยเครื่องให้ผู้ใช้เปิดไฟล์จากยูเอสบีและอีเมลโดยไม่อัปเดต คือการเปิดช่อง MotW ทิ้งไว้ทั้งร้าน (HOL Guard) การสื่อสารสั้นๆ กับผู้ใช้ว่า “สัปดาห์นี้เปิดแนบช้าลง” ช่วยได้ระหว่างรอแพตช์ครบ

ซอฟต์แวร์สำรองและประกันไซเบอร์บางใบถามว่ารอบแพตช์วิกฤตถูกติดตั้งภายในกี่วัน แม้แหล่งชุดนี้ไม่พูดถึงกรมธรรม์ไทยโดยตรง แต่การมีหลักฐานว่าติดตั้ง MotW ทันเส้นตาย KEV ของสหรัฐฯ (16 ต.ค. 2026) ช่วยตอบคำถามผู้ตรวจสอบได้ (HOL Guard) ค่าแรงคนไอทีหนึ่งคืนยังถูกกว่าค่าเจรจาลูกค้าเมื่ออีเมล internally ถูกใช้ส่งไฟล์หลอกต่อ

บางสื่อเน้น Outlook Reading Pane หรือช่องอื่นในรอบเดียวกันเป็นพิเศษ แต่ในชุดแหล่งที่ผมใช้ คำอธิบายละเอียดของ Outlook ไม่ครบเท่า MotW กับ SharePoint (CSO Online) ถ้าองค์กรคุณพึ่ง Outlook หนัก ให้เปิดบันทึก MSRC ราย CVE เอง ไม่สรุปจากบทความสรุปเดียว

สถานะ “exploitation less likely” ของบางรายการในรอบเดียวกันถูกพูดถึงในสื่ออื่นนอกชุดนี้ ผมจึงไม่นำตัวเลขนั้นมาปักถ้าไม่มีในแหล่งที่อ้าง (ZeroHunt) สิ่งที่ยืนยันได้คือ MotW มี Exploitation Detected

Recap

รอบตุลาคม 2026 มี CVE ราวหนึ่งพันสี่ร้อยรายการ
จำสาม zero-day: MotW 96951, SharePoint 102866, .NET 108398
แหล่งอาจพูดยอดรวมไม่ตรงกันเล็กน้อย แต่เห็นพ้องว่า MotW ถูกใช้แล้ว
ยังไม่ชัด: ตัวเลขเหยื่อไทยและ KB ครบทุก SKU ในบทสรุปเดียว
จัดคิว KEV/ถูกใช้จริงก่อน
แหล่ง: CSO, HOL, CCCS, ZeroHunt