CISA ยืนยันว่า แก๊ง Ransomware กำลังใช้ประโยชน์จากช่องโหว่ความรุนแรงสูงใน Windows Task Host ที่เปิดโอกาสให้ผู้โจมตีที่มีสิทธิ์ผู้ใช้ทั่วไปบนเครื่อง สามารถยกระดับสิทธิ์ขึ้นเป็น SYSTEM และเข้าควบคุมเครื่อง Windows ที่ยังไม่ได้ติดตั้งแพตช์ได้ ซึ่งเคยถูกตรวจพบว่ามีการโจมตีจริงมาตั้งแต่เดือนเมษายน 2026
รายละเอียดช่องโหว่
ช่องโหว่ที่พบ ได้ถูกระบุในรหัส CVE-2025-60710 โดยเป็นช่องโหว่ประเภท Elevation of Privilege (EoP) ที่เกิดขึ้นใน Windows Task Host ซึ่งเป็นส่วนประกอบหลักของ Windows ที่ช่วยให้โปรเซสที่ทำงานผ่าน DLL สามารถทำงานอยู่เบื้องหลัง รวมถึงช่วยปิดโปรเซสอย่างเหมาะสมระหว่างการ Shutdown เพื่อป้องกันความเสียหายของข้อมูล
จุดที่ทำให้ช่องโหว่นี้อันตรายคือ ผู้โจมตีที่สามารถเข้าถึงระบบด้วยสิทธิ์ผู้ใช้ระดับพื้นฐานอยู่แล้ว สามารถใช้ช่องโหว่นี้เพื่อยกระดับสิทธิ์เป็น SYSTEM ซึ่งเป็นหนึ่งในระดับสิทธิ์สูงสุดของ Windows ทำให้สามารถควบคุมเครื่องที่ยังไม่ได้รับการอัปเดตได้อย่างเต็มรูปแบบ
CISA ตรวจพบว่าแก๊ง Ransomware เริ่มนำช่องโหว่ไปใช้แล้ว
ก่อนหน้านี้เมื่อวันที่ 13 เมษายน 2026 CISA ได้เพิ่ม CVE-2025-60710 เข้าไปใน Known Exploited Vulnerabilities (KEV) Catalog หลังพบหลักฐานว่าช่องโหว่นี้กำลังถูกนำไปใช้โจมตีจริง และล่าสุดได้มีการอัปเดตข้อมูลใน KEV Catalog อีกครั้ง โดยระบุว่าช่องโหว่นี้มีความเกี่ยวข้องกับ Ransomware Campaigns หรือถูกนำไปใช้ในการโจมตีด้วย Ransomware แล้ว
อย่างไรก็ตาม CISA ยังไม่ได้เปิดเผยรายละเอียดว่า แก๊ง Ransomware กลุ่มใด กำลังใช้ช่องโหว่นี้ รวมถึงยังไม่มีรายละเอียดเกี่ยวกับรูปแบบหรือเหตุการณ์โจมตีที่พบ
คำแนะนำสำหรับผู้ใช้งาน
สำหรับองค์กรหรือผู้ดูแลระบบที่ใช้งาน Windows 11 และ Windows Server 2025 ควรตรวจสอบว่าอุปกรณ์ได้รับ Security Update ที่แก้ไขช่องโหว่ CVE-2025-60710 แล้วหรือไม่ โดยเฉพาะระบบที่มีความสำคัญหรือสามารถเข้าถึงจากเครือข่ายภายนอก
เนื่องจากช่องโหว่นี้ต้องอาศัยการเข้าถึงเครื่องด้วยสิทธิ์ระดับหนึ่งก่อน จึงอาจถูกนำมาใช้เป็นส่วนหนึ่งของกระบวนการโจมตีหลังจากผู้ไม่หวังดีสามารถเจาะเข้าสู่ระบบได้แล้ว เพื่อยกระดับสิทธิ์เป็น SYSTEM ก่อนดำเนินการขั้นต่อไป เช่น การติดตั้งหรือแพร่กระจาย Ransomware
นอกจากนี้ CISA ยังแนะนำให้องค์กรดำเนินการตามแนวทางแก้ไขของผู้ผลิต และหากไม่มีมาตรการป้องกันที่เหมาะสม ควรพิจารณาหยุดใช้งานผลิตภัณฑ์ที่ได้รับผลกระทบ
กรณีนี้สะท้อนให้เห็นว่า การมีแพตช์ออกมาแล้ว ไม่ได้หมายความว่าความเสี่ยงจากช่องโหว่จะหมดไปทันที เพราะตราบใดที่ยังมีอุปกรณ์ที่ไม่ได้รับการอัปเดต ผู้โจมตีก็ยังสามารถนำช่องโหว่ที่ทราบกันมานานแล้วกลับมาใช้เป็นเครื่องมือในการโจมตีได้
หากธุรกิจของคุณต้องการเซิร์ฟเวอร์ส่วนตัวที่รองรับการติดตั้งและปรับแต่งระบบได้อย่างอิสระ Dedicated Server จาก hostatom พร้อมระบบ Monitoring และทีมงานดูแลตลอด 24 ชั่วโมง ก็เป็นอีกหนึ่งทางเลือกที่ช่วยให้บริหารจัดการระบบได้อย่างมั่นใจยิ่งขึ้น
ที่มา: BleepingComputer
