Microsoft ประกาศอัปเดตความปลอดภัยเพื่อแก้ไขช่องโหว่ร้ายแรงใน Windows Notepad ที่อาจเปิดทางให้ผู้โจมตีสั่งรันโค้ดอันตรายบนเครื่องเหยื่อจากระยะไกลได้ ช่องโหว่นี้ถูกระบุรหัสเป็น CVE-2026-20841 และจัดอยู่ในกลุ่ม Remote Code Execution (RCE) ซึ่งเป็นประเภทความเสี่ยงที่มีผลกระทบสูงต่อความปลอดภัยของระบบ

หมายเหตุ: ช่องโหว่นี้ไม่เกี่ยวข้องกับประเด็นด้านความปลอดภัยที่พบใน Notepad++ ก่อนหน้านี้

ช่องโหว่เกิดจากอะไร?

ปัญหาเกิดจากการที่แอป Notepad เวอร์ชันใหม่จาก Microsoft Store ไม่สามารถจัดการหรือกรองอักขระพิเศษบางประเภทในคำสั่งได้อย่างเหมาะสม โดยเฉพาะขณะเปิดไฟล์ Markdown (.md)

ตามข้อมูลจาก Microsoft Security Update Guide ผู้โจมตีสามารถสร้างไฟล์ Markdown ที่ฝังลิงก์อันตรายไว้ เมื่อผู้ใช้:

เปิดไฟล์ดังกล่าวใน Notepad

คลิกลิงก์ที่ถูกออกแบบมาเป็นพิเศษ

สคริปต์อันตรายอาจถูกเรียกใช้งาน ดาวน์โหลดมัลแวร์ และรันโค้ดบนเครื่องได้ทันที หากการโจมตีสำเร็จ ผู้ไม่หวังดีอาจสามารถควบคุมระบบของเหยื่อได้ทั้งหมด รวมถึงสิทธิ์การใช้งานที่เกี่ยวข้อง

ระดับความรุนแรงแค่ไหน?

คะแนนความรุนแรงตามมาตรฐาน CVSS v3.1 อยู่ที่ 8.8 (ระดับสูง)
ระดับความรุนแรงสูงสุดตามการจัดอันดับของ Microsoft อยู่ที่ “Important”
ขณะปล่อยแพตช์ ยังไม่มีรายงานการถูกใช้โจมตีในวงกว้าง

แม้ยังไม่พบการโจมตีจริง แต่ลักษณะของช่องโหว่ RCE ถือเป็นความเสี่ยงที่ไม่ควรมองข้าม

อัปเดตเมื่อใด และควรทำอย่างไร?

Microsoft ได้แก้ไขช่องโหว่นี้ในชุดอัปเดตความปลอดภัยประจำเดือน February 2026 Patch Tuesday ซึ่งเผยแพร่เมื่อวันที่ 10 กุมภาพันธ์ 2026

คำแนะนำสำหรับผู้ใช้:

ติดตั้ง Windows Update เวอร์ชันล่าสุด

อัปเดตแอป Notepad จาก Microsoft Store ให้เป็นเวอร์ชันปัจจุบัน

หลีกเลี่ยงการเปิดไฟล์ Markdown จากแหล่งที่ไม่น่าเชื่อถือ

ประเด็นถกเถียง: ทำไม Notepad ต้องเชื่อมต่ออินเทอร์เน็ต?

การค้นพบช่องโหว่นี้ทำให้เกิดคำถามในหมู่ผู้ใช้บางส่วนเกี่ยวกับการเพิ่มความสามารถเชื่อมต่อเครือข่ายใน Notepad หลายฝ่ายมองว่าโปรแกรมแก้ไขข้อความพื้นฐานไม่จำเป็นต้องออนไลน์ตลอดเวลา

อย่างไรก็ตาม Microsoft ระบุว่าการเชื่อมต่ออินเทอร์เน็ตมีความจำเป็นต่อการทำงานของฟีเจอร์ Copilot ที่ผสานรวมอยู่ในแอป แม้ประเด็นความเหมาะสมของ Copilot ใน Notepad จะยังคงเป็นที่ถกเถียงในวงการก็ตาม

สามารถตรวจสอบรายละเอียดการแก้ไขทั้งหมดได้ที่หน้าความปลอดภัยของ Microsoft

สรุป

ช่องโหว่ CVE-2026-20841 ใน Windows Notepad เป็นความเสี่ยงระดับสูงที่อาจเปิดทางให้รันโค้ดจากระยะไกลผ่านไฟล์ Markdown ที่ถูกออกแบบมาเพื่อโจมตี แม้ยังไม่มีรายงานการถูกใช้โจมตีจริง แต่ผู้ใช้ควรรีบอัปเดตระบบเพื่อป้องกันความเสี่ยงที่อาจเกิดขึ้น

การอัปเดตสม่ำเสมอยังคงเป็นแนวปฏิบัติสำคัญที่สุดในการรักษาความปลอดภัยของระบบ Windows ในระยะยาว

ที่มา neowin