อัปเดต Microsoft Defender ล่าสุด! อาจถูกโจมตีจนพื้นที่ดิสก์ Windows 11 เต็ม

แม้ Microsoft จะเพิ่งออกแพตช์อุดช่องโหว่ Zero-day สำคัญใน Microsoft Defender แต่ล่าสุดนักวิจัยด้านความปลอดภัยได้ค้นพบว่า การอัปเดตดังกล่าวอาจก่อให้เกิดปัญหาใหม่ที่ร้ายแรงไม่แพ้กัน โดยผู้ไม่หวังดีอาจใช้เทคนิคเฉพาะเพื่อบังคับให้ Microsoft Defender เขียนข้อมูลลงดิสก์อย่างต่อเนื่อง จนพื้นที่จัดเก็บของเครื่อง Windows 11 เต็มทั้งไดรฟ์ ส่งผลให้ระบบทำงานผิดปกติหรือไม่สามารถใช้งานได้ตามปกติ

ในช่วงที่ผ่านมา Microsoft ยังคงเดินหน้าปรับปรุง Windows 11 อย่างต่อเนื่อง โดยกำลังพัฒนาประสบการณ์การใช้งาน (UX) ของ Phone Link ให้มีประสิทธิภาพมากขึ้น ซึ่งคาดว่าจะช่วยลดการใช้ทรัพยากรของระบบผ่านการแก้ไขปัญหา Memory Leak ที่เป็นสาเหตุให้หน่วยความจำถูกใช้งานมากเกินความจำเป็น

ก่อนหน้านี้ Microsoft ยังเพิ่งแก้ไขบั๊กอีกตัวหนึ่งที่ทำให้บริการภายในระบบใช้พื้นที่ดิสก์สูงผิดปกติอีกด้วย

อย่างไรก็ตาม แม้จะมีการปรับปรุงด้านประสิทธิภาพอย่างต่อเนื่อง แต่การอัปเดตล่าสุดของ Microsoft Defender กลับถูกพบว่ามีประเด็นด้านความปลอดภัยเพิ่มเติม

ช่องโหว่ RoguePlanet คืออะไร

ย้อนกลับไปเมื่อเดือนที่ผ่านมา Microsoft ยอมรับการมีอยู่ของช่องโหว่ Zero-day ตัวใหม่ ซึ่งชุมชนด้านความปลอดภัยตั้งชื่อว่า RoguePlanet

ช่องโหว่นี้เป็นช่องโหว่ประเภท Elevation of Privilege (EoP) หรือการยกระดับสิทธิ์ โดยอาศัยข้อบกพร่องใน Microsoft Defender Malware Protection Engine ทำให้ผู้โจมตีสามารถยกระดับสิทธิ์การทำงานบนเครื่องเป้าหมายได้

Microsoft ได้ออกแพตช์เพื่ออุดช่องโหว่ดังกล่าวเมื่อสัปดาห์ที่ผ่านมา โดยอัปเดตเอนจินของ Microsoft Defender เป็นเวอร์ชัน 1.1.26060.3008

บริษัทระบุว่า

• เวอร์ชันก่อนหน้า 1.1.26060.3008 ได้รับผลกระทบทั้งหมด

• เวอร์ชันสุดท้ายที่ยังมีช่องโหว่คือ 1.1.26050.11

• ผู้ใช้งานจะได้รับการอัปเดตโดยอัตโนมัติผ่านระบบ Microsoft Defender Security Intelligence Updates

หลังจากวิเคราะห์เอนจินเวอร์ชันใหม่ด้วยเทคนิค Reverse Engineering นักวิจัยด้านความปลอดภัยที่ใช้ชื่อ Nightmare-Eclipse พบสิ่งที่คาดว่าเป็น Information Leak ขนาด 8 ไบต์

นักวิจัยระบุว่า Information Leak นี้น่าจะเกิดจากกลไก Defense-in-Depth ที่ Microsoft เพิ่มเข้ามาในแพตช์ล่าสุด

อย่างไรก็ตาม ปัจจุบันข้อมูลรั่วไหลดังกล่าวสามารถตรวจพบได้เฉพาะจาก Kernel Driver เท่านั้น และยังไม่สามารถเข้าถึงได้จาก User Mode ทำให้ยังไม่มีหลักฐานว่าสามารถนำไปใช้โจมตีได้จริงในขณะนี้ แม้ว่าการศึกษาวิจัยจะยังดำเนินต่อไป

สิ่งที่นักวิจัยให้ความสำคัญมากกว่าคือ การค้นพบช่องทางที่อาจทำให้ Microsoft Defender ใช้พื้นที่จัดเก็บของเครื่องจนเต็มได้

โดยปกติ Microsoft Defender จะกำหนดขนาดสูงสุดของไฟล์ที่สามารถสแกนหรือกักกัน (Quarantine) เพื่อป้องกันไม่ให้พื้นที่จัดเก็บถูกใช้งานมากเกินไป

แต่จากการวิเคราะห์พบว่า ข้อจำกัดดังกล่าว ไม่ได้ถูกนำมาใช้กับไฟล์แคชของ Zone.Identifier Alternate Data Streams (ADS)

ด้วยเหตุนี้ ผู้โจมตีจึงสามารถสร้างไฟล์ ADS ที่มีขนาดใหญ่มาก และบังคับให้ Microsoft Defender เขียนข้อมูลแคชลงดิสก์อย่างต่อเนื่อง ส่งผลให้พื้นที่จัดเก็บค่อย ๆ ลดลงจนเต็มทั้งไดรฟ์

นักวิจัยได้สร้าง Proof of Concept (PoC) เพื่อพิสูจน์ว่าสามารถเกิดเหตุการณ์ดังกล่าวได้จริง โดยใช้

• เซิร์ฟเวอร์ SMB ที่สร้างขึ้นเพื่อการโจมตี

• ไฟล์ที่แนบ Zone.Identifier ADS ซึ่งถูกสร้างให้มีขนาดใหญ่ผิดปกติ

• การจงใจชะลอการอ่านข้อมูลบางส่วน พร้อมรักษาการเชื่อมต่อ SMB เอาไว้

ผลลัพธ์คือ Microsoft Defender จะยังคงเก็บไฟล์แคชไว้และล็อกไฟล์เหล่านั้น แทนที่จะลบออกตามปกติ ทำให้พื้นที่ดิสก์เพิ่มขึ้นเรื่อย ๆ จนเต็มทั้งไดรฟ์

Nightmare-Eclipse ระบุว่า สามารถทดสอบเทคนิคนี้ได้สำเร็จบน

• Windows 11 เวอร์ชัน 25H2

• Windows Server 2025

นอกจากนี้ นักวิจัยยังอยู่ระหว่างการตรวจสอบว่าเทคนิคเดียวกันสามารถใช้ผ่าน WebDAV ได้หรือไม่

หากสามารถทำได้จริง ผู้โจมตีอาจไม่จำเป็นต้องใช้ SMB อีกต่อไป และอาจส่งมัลแวร์ผ่านอินเทอร์เน็ตได้โดยตรง ทำให้รูปแบบการโจมตีมีความยืดหยุ่นมากขึ้น

จนถึงขณะนี้ Microsoft ยังไม่ได้ออกแถลงการณ์หรือแสดงความคิดเห็นเกี่ยวกับปัญหาการใช้พื้นที่ดิสก์จนเต็ม ซึ่งเป็นประเด็นที่นักวิจัยค้นพบภายหลังการอัปเดตเพื่อแก้ไขช่องโหว่ RoguePlanet (CVE-2026-50656)

แม้ว่าช่องโหว่ RoguePlanet จะได้รับการอุดแล้ว แต่การค้นพบครั้งนี้สะท้อนให้เห็นว่า การเพิ่มมาตรการป้องกันด้านความปลอดภัยอาจก่อให้เกิดผลข้างเคียงที่ไม่คาดคิด และจำเป็นต้องมีการตรวจสอบเพิ่มเติมเพื่อให้มั่นใจว่า Microsoft Defender จะสามารถป้องกันภัยคุกคามได้อย่างมีประสิทธิภาพ โดยไม่สร้างช่องทางให้ผู้ไม่หวังดีนำไปใช้โจมตีในรูปแบบใหม่

ที่มา neowin