Microsoft ได้สร้างสถิติใหม่ด้วยการปล่อยอัปเดตความปลอดภัยประจำเดือน หรือ Patch Tuesday ครั้งใหญ่ที่สุดเท่าที่เคยมีมา โดยรอบนี้มีการแก้ไขช่องโหว่ (CVE) ของตนเองสูงถึง 622 รายการ ซึ่งมากกว่าสถิติสูงสุดเดิมในอดีตถึง 3 เท่า ที่สำคัญคือมีช่องโหว่ระดับ Zero-day 2 รายการที่ผู้ไม่หวังดีกำลังเริ่มโจมตีใช้งานจริงในเวลานี้ ซึ่งจำเป็นต้องได้รับการแก้ไขอย่างเร่งด่วน โดยทั้งสองเป็นช่องโหว่ประเภทการยกระดับสิทธิ์ (Elevation-of-Privilege) ในระบบยืนยันตัวตนและระบบเอกสารขององค์กร
ช่องโหว่แรกคือ CVE-2026-56164 ในระบบ SharePoint Server ซึ่งเปิดโอกาสให้ผู้โจมตีจากระยะไกลที่ไม่มีสิทธิ์ สามารถยกระดับสิทธิ์ของตนเองผ่านเครือข่ายได้โดยตรง โดยไม่ต้องอาศัยการโต้ตอบจากผู้ใช้เลยแม้แต่น้อย ช่องโหว่นี้ถูกค้นพบโดยทีม Mandiant และทีม FLARE ของ Google ซึ่งชี้ให้เห็นว่าเกิดการโจมตีขึ้นจริงแล้วในระบบ นอกจากนี้ SharePoint Server เวอร์ชัน 2016 และ 2019 ก็เพิ่งสิ้นสุดระยะเวลาการสนับสนุนในวันเดียวกันนี้ ทำให้ไม่มีการออกแพตช์เสริมความปลอดภัยในอนาคตอีกต่อไป
ช่องโหว่ถัดมาคือ CVE-2026-56155 ในระบบ Active Directory Federation Services (AD FS) ซึ่งช่วยให้ผู้โจมตีที่ผ่านการยืนยันตัวตนในระดับต่ำ สามารถยกระดับสิทธิ์ภายในเครื่องให้สูงขึ้นได้ผ่านระบบควบคุมการเข้าถึงที่หละหลวม แม้ข้อบกพร่องนี้จะถูกจัดอยู่ในกลุ่มการโจมตีจากภายในเครื่อง (Local) แต่เนื่องจาก AD FS เป็นหัวใจหลักในการลงนามอนุมัติสิทธิ์เข้าใช้งานระบบทั้งหมดขององค์กร ช่องโหว่นี้จึงมีความอันตรายและสร้างความเสียหายได้มากกว่าที่ตัวเลขประเมินระบุไว้
แม้ว่าช่องโหว่ Zero-day ทั้งสองรายการนี้ จะยังไม่ได้ถูกบรรจุลงในบัญชีรายชื่อช่องโหว่ที่ถูกโจมตีจริง (KEV) ของหน่วยงาน CISA ณ ตอนนี้ แต่ทาง Microsoft เองได้ยืนยันและทำเครื่องหมายเตือนแล้วว่าถูกใช้โจมตีจริง ดังนั้น ผู้ดูแลระบบจึงไม่ควรรอให้มีชื่อประกาศอย่างเป็นทางการจากหน่วยงานภายนอก และเนื่องจาก Microsoft จัดระดับความรุนแรงของช่องโหว่ SharePoint ไว้ค่อนข้างต่ำในตอนแรก มันจึงเป็นสิ่งเตือนใจที่ดีว่าเราไม่สามารถใช้เพียงตัวเลขความรุนแรงมาจัดลำดับความสำคัญได้
ย่อหน้าสุดท้ายกล่าวถึงช่องโหว่เด่นอีกตัวคือ CVE-2026-55040 ใน SharePoint ซึ่งถูกพัฒนาโดย Rapid7 Labs เพื่อใช้ข้ามผ่านการยืนยันตัวตน ความน่ากลัวคือผู้โจมตีสามารถนำช่องโหว่นี้ไปเชื่อมต่อกับช่องโหว่การรันรหัสระยะไกล (RCE) อีกตัวหนึ่งเพื่อยึดระบบได้ ซึ่งตัว RCE นั้นยังไม่มีแพตช์และมีกำหนดแก้ไขในเดือนสิงหาคม ดังนั้น การลงแพตช์ของเดือนนี้จึงเปรียบเสมือนการตัดวงจรห่วงโซ่การโจมตี (Attack Chain) เพื่อป้องกันไม่ให้แฮกเกอร์ทำภารกิจเจาะระบบได้สำเร็จ
