พบช่องโหว่ Windows WalletService เปิดทางมัลแวร์ยกระดับสิทธิ์เป็น SYSTEM

นักวิจัยด้านความปลอดภัยเปิดเผยรายละเอียดช่องโหว่ในบริการ Windows WalletService ซึ่งอาจเปิดทางให้ผู้โจมตีที่มีสิทธิ์ใช้งานเครื่องอยู่แล้ว ยกระดับสิทธิ์ของตนเองขึ้นเป็น NT AUTHORITY\SYSTEM ซึ่งเป็นสิทธิ์ระดับสูงสุดของระบบปฏิบัติการ Windows

ช่องโหว่นี้ได้รับหมายเลข CVE-2026-49176 และมีคะแนนความรุนแรง CVSS อยู่ที่ 7.8 จาก 10 คะแนน Microsoft จัดระดับความรุนแรงไว้ที่ “สำคัญ” หรือ Important พร้อมออกอัปเดตแก้ไขแล้วตั้งแต่เดือนกรกฎาคม 2569

CVE-2026-49176 คืออะไร?

CVE-2026-49176 เป็นช่องโหว่ประเภท Local Privilege Escalation หรือการยกระดับสิทธิ์ภายในเครื่อง เกิดจากการจัดการสิทธิ์และตำแหน่งไฟล์ของ Windows WalletService ที่ไม่ปลอดภัยเพียงพอ

WalletService เป็นส่วนประกอบของ Windows ที่ทำงานด้วยสิทธิ์ LocalSystem และรองรับการทำงานของ Windows Wallet API แม้ผู้ใช้ทั่วไปจำนวนมากอาจไม่เคยเปิดใช้งานหรือรู้จักบริการนี้โดยตรง แต่บริการอาจทำงานอยู่เบื้องหลังระบบ

ข้อบกพร่องทำให้ผู้ใช้ระดับมาตรฐานสามารถควบคุมตำแหน่งที่บริการใช้ค้นหาฐานข้อมูลบางส่วนได้ เมื่อ WalletService เปิดฐานข้อมูลดังกล่าวด้วยสิทธิ์ LocalSystem โค้ดที่ผู้โจมตีเตรียมไว้อาจทำงานด้วยสิทธิ์ SYSTEM ตามไปด้วย

ผู้โจมตีอาจควบคุม Windows ได้เต็มรูปแบบ

หากใช้ประโยชน์จากช่องโหว่สำเร็จ ผู้โจมตีหรือมัลแวร์อาจได้รับสิทธิ์ SYSTEM ซึ่งสูงกว่าสิทธิ์ผู้ดูแลระบบทั่วไปในหลายส่วน

สิทธิ์ระดับนี้อาจถูกนำไปใช้เพื่อดำเนินการที่เป็นอันตราย เช่น

• ติดตั้งหรือเรียกใช้มัลแวร์ในระดับระบบ

• แก้ไขและลบไฟล์สำคัญ

• ปิดระบบรักษาความปลอดภัยบางส่วน

• เข้าถึงข้อมูลของบัญชีผู้ใช้รายอื่น

• สร้างบัญชีที่มีสิทธิ์ระดับสูง

• ฝังกลไกให้มัลแวร์กลับมาทำงานหลังเปิดเครื่อง

• ใช้คอมพิวเตอร์เป็นจุดเริ่มต้นโจมตีระบบอื่น

ความเสี่ยงจึงไม่ได้จำกัดอยู่ที่บัญชีผู้ใช้ที่ถูกเจาะ หากมัลแวร์ยกระดับสิทธิ์สำเร็จ อาจส่งผลกระทบต่อระบบ Windows ทั้งเครื่องได้

ไม่ใช่ช่องโหว่ที่โจมตีจากอินเทอร์เน็ตได้ทันที

ผู้ใช้ไม่ควรเข้าใจผิดว่าช่องโหว่นี้ทำให้แฮกเกอร์บนอินเทอร์เน็ตสามารถเข้าควบคุมคอมพิวเตอร์ได้ทันที เพราะผู้โจมตีต้องมีสิทธิ์ระดับผู้ใช้มาตรฐานหรือสามารถเรียกใช้โค้ดภายในเครื่องเป้าหมายได้ก่อน

ช่องโหว่นี้จึงมีแนวโน้มถูกใช้เป็นขั้นตอนต่อเนื่องหลังจากผู้โจมตีเข้าถึงเครื่องด้วยวิธีอื่นแล้ว เช่น

• หลอกให้ผู้ใช้เปิดไฟล์แนบที่มีมัลแวร์

• ติดตั้งโปรแกรมเถื่อนหรือโปรแกรมที่ถูกดัดแปลง

• ขโมยรหัสผ่านของบัญชีผู้ใช้

• ใช้ช่องโหว่อื่นเพื่อเรียกใช้โค้ดภายในเครื่อง

• เข้าถึงบัญชีผู้ใช้ที่ตั้งรหัสผ่านไม่ปลอดภัย

เมื่อเข้าถึงระบบได้ในระดับจำกัด ผู้โจมตีอาจใช้ CVE-2026-49176 เพื่อเพิ่มสิทธิ์และควบคุมเครื่องในระดับที่สูงขึ้น

ช่องโหว่เกิดขึ้นได้อย่างไร?

ต้นเหตุเกี่ยวข้องกับวิธีที่ WalletService ค้นหาและเปิดไฟล์ฐานข้อมูล wallet.db ภายในโฟลเดอร์ Documents ของผู้ใช้

ระบบจะตรวจสอบตำแหน่งโฟลเดอร์ในบริบทของผู้ใช้ แต่หลังจากนั้นกลับไปเปิดฐานข้อมูลด้วยสิทธิ์ LocalSystem หากผู้โจมตีเปลี่ยนเส้นทางโฟลเดอร์ Documents และเตรียมฐานข้อมูลที่สร้างขึ้นเป็นพิเศษไว้ บริการอาจโหลดส่วนประกอบที่ไม่ปลอดภัยเข้าสู่กระบวนการซึ่งกำลังทำงานด้วยสิทธิ์ SYSTEM

นักวิจัยได้เผยแพร่โค้ดสาธิตหรือ Proof of Concept เพื่อยืนยันว่าช่องโหว่สามารถถูกใช้ยกระดับสิทธิ์บนระบบที่ยังไม่ได้รับการแก้ไขได้จริง

การที่รายละเอียดทางเทคนิคและโค้ดสาธิตถูกเผยแพร่สู่สาธารณะ อาจทำให้ผู้ไม่หวังดีนำข้อมูลไปดัดแปลงเป็นเครื่องมือโจมตีได้ง่ายขึ้น

Microsoft ออกแพตช์แก้ไขแล้ว

Microsoft แก้ไข CVE-2026-49176 ผ่านอัปเดตความปลอดภัยประจำเดือนกรกฎาคม 2569 โดยเพิ่มมาตรการที่เรียกว่า WalletServiceRedirectionGuard เพื่อปิดเส้นทางฐานข้อมูลรุ่นเก่าที่เกี่ยวข้องกับช่องโหว่

ผู้ใช้ที่ติดตั้งอัปเดตสะสมของ Windows หลังเดือนกรกฎาคม 2569 แล้ว มีแนวโน้มว่าจะได้รับการแก้ไขช่องโหว่นี้เรียบร้อย แต่ควรตรวจสอบ Windows Update อีกครั้ง เพื่อให้แน่ใจว่าไม่มีอัปเดตสำคัญรอการติดตั้ง

ขณะนี้ยังไม่มีข้อมูลยืนยันจาก Microsoft ว่า CVE-2026-49176 ถูกนำไปใช้โจมตีผู้ใช้เป็นวงกว้าง อย่างไรก็ตาม การมีโค้ดสาธิตเผยแพร่แล้วทำให้ผู้ใช้ไม่ควรเลื่อนการอัปเดตออกไป

วิธีอัปเดต Windows เพื่อปิดช่องโหว่

ผู้ใช้ Windows สามารถตรวจสอบอัปเดตได้ตามขั้นตอนต่อไปนี้

สำหรับ Windows 11

1. คลิกปุ่ม Start

2. เปิด Settings

3. เลือก Windows Update

4. คลิก Check for updates

5. ดาวน์โหลดและติดตั้งอัปเดตทั้งหมด

6. รีสตาร์ตคอมพิวเตอร์เมื่อระบบแจ้งเตือน

สำหรับ Windows 10

1. เปิด Settings

2. เลือก Update & Security

3. เข้าเมนู Windows Update

4. คลิก Check for updates

5. ติดตั้งอัปเดตความปลอดภัยล่าสุด

6. รีสตาร์ตเครื่องเพื่อให้การแก้ไขมีผลสมบูรณ์

ผู้ดูแลระบบในองค์กรควรตรวจสอบว่า คอมพิวเตอร์ทุกเครื่องได้รับอัปเดตสะสมตั้งแต่เดือนกรกฎาคม 2569 หรือใหม่กว่าแล้ว

ผู้ใช้ควรป้องกันเพิ่มเติมอย่างไร?

นอกเหนือจากการอัปเดต Windows ผู้ใช้ควรลดความเสี่ยงด้วยวิธีต่อไปนี้

• หลีกเลี่ยงการดาวน์โหลดโปรแกรมจากเว็บไซต์ที่ไม่น่าเชื่อถือ

• ไม่ใช้ซอฟต์แวร์เถื่อนหรือไฟล์ Crack

• ตรวจสอบไฟล์แนบก่อนเปิดใช้งาน

• เปิดระบบป้องกันแบบเรียลไทม์ของ Microsoft Defender

• ใช้บัญชีมาตรฐานสำหรับการทำงานประจำวัน

• จำกัดสิทธิ์ติดตั้งโปรแกรมบนเครื่องขององค์กร

• สำรองข้อมูลสำคัญอย่างสม่ำเสมอ

• เปิดการยืนยันตัวตนหลายขั้นตอนสำหรับบัญชีสำคัญ

เนื่องจากผู้โจมตีต้องเข้าถึงเครื่องในระดับหนึ่งก่อน การป้องกันมัลแวร์และการควบคุมบัญชีผู้ใช้จึงช่วยลดโอกาสใช้ช่องโหว่นี้ได้อย่างมาก

WalletService เกี่ยวข้องกับกระเป๋าคริปโทหรือไม่?

ชื่อ Windows WalletService อาจทำให้หลายคนเข้าใจว่าเป็นช่องโหว่ที่ใช้ขโมย Bitcoin หรือสินทรัพย์ดิจิทัลโดยตรง แต่บริการนี้ไม่ได้หมายถึงกระเป๋าคริปโทโดยเฉพาะ

ผลกระทบที่เปิดเผยคือการยกระดับสิทธิ์ในระบบ Windows ไม่ใช่การเจาะบัญชี Microsoft Wallet การขโมยข้อมูลชำระเงิน หรือการเจาะกระเป๋าคริปโทจากระยะไกล

อย่างไรก็ตาม หากผู้โจมตีได้สิทธิ์ SYSTEM แล้ว ก็อาจพยายามค้นหาข้อมูลสำคัญหรือโจมตีโปรแกรมอื่นภายในเครื่องต่อไปได้

สรุป

CVE-2026-49176 เป็นช่องโหว่ใน Windows WalletService ที่อาจทำให้ผู้โจมตีซึ่งเข้าถึงเครื่องในระดับผู้ใช้ทั่วไปอยู่แล้ว ยกระดับสิทธิ์ขึ้นเป็น SYSTEM และควบคุมระบบได้มากขึ้น

ช่องโหว่นี้ไม่ใช่การโจมตีจากระยะไกลโดยตรง และยังไม่มีรายงานยืนยันว่าถูกใช้โจมตีเป็นวงกว้าง แต่มีการเผยแพร่โค้ดสาธิตแล้ว ผู้ใช้จึงควรติดตั้งอัปเดต Windows ล่าสุดโดยเร็วที่สุด ติดตามข่าวช่องโหว่และความปลอดภัยไซเบอร์ได้ที่ COMSIAM NEWS