Patch Tuesday ก.ย. 2026: เกือบพันช่องโหว่ + zero-day 2 ตัวที่ถูกใช้จริง

ถ้าเครื่อง Windows ของคุณยังไม่อัปเดตสัปดาห์นี้ ข่าว Patch Tuesday กันยายน 2026 คืออันที่ควรดึง Windows Update ก่อนนอนครับ

ตัวเลขใหญ่แค่ไหน

BleepingComputer นับช่องโหว่ในวัน Patch Tuesday ประมาณ 966 รายการ รวม Critical ประมาณ 105 และมี zero-day 2 ตัวที่ถูกใช้จริง

Cisco Talos นับรวมประมาณ 973 ช่องโหว่ โดย Microsoft ทำเครื่องหมาย Critical ประมาณ 113 และยืนยันว่ามี 2 ตัวถูก exploit ในป่า — ทั้งคู่ได้คะแนน CVSS 7.8

The Record ระบุว่า CISA ยืนยันการถูกใช้จริง และหน่วยงานรัฐบาลสหรัฐฯ มีกำหนดแพตช์ภายใน 22 ก.ย. 2026

ตัวเลขแต่ละสำนักนับขอบเขตไม่เหมือนกันทุกตัว (เช่น รวม/ไม่รวมของนอก Microsoft) แต่ทิศทางเดียวกัน: รอบนี้ใหญ่ และมี 2 ตัวที่ “ใช้จริงแล้ว”

Zero-day ที่ต้องรู้ชื่อ

CVE-2026-81963 — Windows Update Stack (EoP)

ประเภท: elevation of privilege ผ่าน link following (improper link resolution) ใน Windows Update Stack
ผล: ผู้โจมตีที่มีสิทธิ์ท้องถิ่นยกระดับเป็น SYSTEM ได้
เครดิตตาม BleepingComputer: Romain Deperne และ MSTIC
Microsoft ยังไม่เปิดรายละเอียดวิธีที่ถูกใช้ในงานจริง

CVE-2026-85880 — Windows ALPC (EoP)

ประเภท: heap-based buffer overflow ใน Windows Advanced Local Procedure Call (ALPC)
ผล: ยกระดับเป็น SYSTEM ได้เช่นกัน
เครดิตตามรายงานสื่อ: นักวิจัยจาก Volexity และ Proofpoint
Microsoft ไม่แชร์รายละเอียด exploit

ผมไม่ใส่ขั้นตอนโจมตี มีแต่ชื่อ CVE และสิ่งที่แอดมินต้องทำครับ

หมายเหตุ Server 2025 / Windows 11 กับ ALPC

รายงานจาก Rapid7 (ผ่านสื่อ) ระบุว่า Windows Server 2025 และ Windows 11 อาจ ไม่ได้รับแพตช์ สำหรับ CVE-2026-85880 ในรอบนี้ — อย่าสมมติว่า “เครื่องใหม่ = แพตช์ครบ” ให้เปิด Windows Update แล้วดูสถานะอัปเดตจริงของเครื่องคุณ

Recap

รัน Windows Update ตอนนี้ แล้วรีบูตให้แพตช์ครบ
แอดมินติดตามอย่างน้อยสองตัว: CVE-2026-81963 และ CVE-2026-85880
อย่ารอ “สัปดาห์หน้าค่อยอัป” โดยเฉพาะเครื่องที่เปิด RDP / ใช้ร่วมกันหลายคน
เช็กว่าเวอร์ชัน OS ของคุณได้แพตช์ ALPC จริงหรือไม่ อย่าเดาจากชื่อรุ่นอย่างเดียว