CVE-2026-50661 — Zero-Day ใน BitLocker ถูกเปิดเผยก่อน Patch ผู้เข้าถึงเครื่องทางกายภาพสามารถ Bypass การเข้ารหัสดิสก์ได้

BitLocker คือระบบเข้ารหัสดิสก์มาตรฐานของ Windows ที่หลายองค์กรพึ่งพาเป็นแนวป้องกันสุดท้ายสำหรับข้อมูลบนอุปกรณ์ที่สูญหายหรือถูกขโมย ด้วยตรรกะที่ว่า "แม้เครื่องจะหายไป ข้อมูลก็ยังปลอดภัย" แต่ Patch Tuesday เดือนกรกฎาคม 2026 ได้ทดสอบความเชื่อนั้นอย่างจริงจัง เมื่อ Microsoft แก้ไขช่องโหว่ CVE-2026-50661 ซึ่งเป็น Zero-day ใน BitLocker ที่ ถูกเปิดเผยต่อสาธารณะก่อน Patch จะออก

ช่องโหว่นี้เกี่ยวข้องกับตระกูล YellowKey ที่นักวิจัยค้นพบและเปิดเผยก่อนหน้านี้ และสาระสำคัญคือ ผู้ที่มีสิทธิ์เข้าถึงเครื่องได้ทางกายภาพสามารถ Bypass BitLocker และเข้าถึงข้อมูลบนดิสก์ได้โดยไม่ต้องรู้ Encryption Key หรือ PIN ใด ๆ เลย

BitLocker ทำงานอย่างไร และทำไมจึงสำคัญ

BitLocker เป็น Full Disk Encryption ที่ Microsoft ฝังไว้ใน Windows ตั้งแต่รุ่น Vista เป็นต้นมา เมื่อเปิดใช้งาน BitLocker จะเข้ารหัสข้อมูลทั้งหมดบน Drive ด้วย AES ทำให้ไม่สามารถอ่านข้อมูลได้หากไม่มี Key ที่ถูกต้อง

BitLocker รองรับหลาย Mode การทำงาน ที่พบบ่อยที่สุดในองค์กรคือ TPM-only Mode ซึ่ง Key จะถูก Seal ไว้ใน Trusted Platform Module (TPM) Chip บนเครื่อง Windows จะปลดล็อค Drive อัตโนมัติเมื่อ Boot บนเครื่องนั้น ๆ โดยไม่ต้องกรอก PIN ซึ่งสะดวกมากแต่ก็มีข้อด้อยด้าน Security ที่สำคัญ

อีก Mode คือ TPM+PIN Mode ซึ่งนอกจาก TPM แล้ว ยังต้องกรอก PIN ทุกครั้งที่ Boot ทำให้แม้ผู้โจมตีมีเครื่องอยู่ในมือก็ยังไม่สามารถ Boot และเข้าถึงข้อมูลได้หากไม่รู้ PIN

CVE-2026-50661 และ YellowKey — รายละเอียดช่องโหว่

CVE-2026-50661 เป็นช่องโหว่ประเภท "Security Feature Bypass" ที่เกิดจาก Protection Mechanism Failure ในกระบวนการ Device Encryption ของ BitLocker กล่าวคือกลไกที่ควรป้องกันการ Bypass ทำงานไม่สมบูรณ์ภายใต้เงื่อนไขบางประการ

ช่องโหว่นี้เชื่อมโยงกับ YellowKey ซึ่งเป็นชื่อที่ SOCPrime และนักวิจัยด้านความปลอดภัยใช้เรียก Exploit Chain ที่ค้นพบโดยนักวิจัยชื่อ Nightmare-Eclipse โดย YellowKey โจมตีผ่าน Windows Recovery Environment (WinRE) ซึ่งเป็น Pre-boot Environment ที่ Windows ใช้สำหรับการซ่อมแซมระบบ

วิธีการโจมตี — YellowKey Exploit Chain

การโจมตีแบบ YellowKey ทำงานดังนี้

ขั้นที่ 1 — เตรียม Payload บน USB Drive หรือ EFI Partition

ผู้โจมตีสร้างไฟล์พิเศษที่มีนามสกุล "FsTx" และวางไว้บน USB Drive หรือใน EFI System Partition ของเครื่องเป้าหมาย ซึ่งในบางกรณีสามารถทำได้ผ่าน EFI Shell หรือ Live OS จาก USB

ขั้นที่ 2 — Reboot เข้า Windows Recovery Environment

ผู้โจมตีทำให้เครื่อง Reboot เข้าสู่ WinRE ซึ่งอาจทำได้หลายวิธี เช่น การกด F8 ระหว่าง Boot, การทำให้ Windows Fail Boot สองครั้งติดกัน หรือเลือก Recovery Mode จาก Boot Menu

ขั้นที่ 3 — เปิด Shell ที่มีสิทธิ์เต็ม

เมื่ออยู่ใน WinRE แล้ว การกด CTRL บน Keyboard จะ Trigger กลไกที่ Exploit ไว้ เปิด Shell ที่มีสิทธิ์เข้าถึง BitLocker-protected Volume ได้โดยตรง โดยไม่จำเป็นต้องใช้ Encryption Key หรือ PIN

ผลลัพธ์ — ข้อมูลทั้งหมดบน BitLocker Drive สามารถอ่าน Copy หรือแก้ไขได้ทันที

ช่องโหว่ BitLocker รายการอื่นในปี 2026

CVE-2026-50661 ไม่ใช่ช่องโหว่ BitLocker รายการเดียวที่พบในปีนี้ ปี 2026 ดูเหมือนจะเป็นปีที่มีการค้นพบและเปิดเผยช่องโหว่ด้าน BitLocker มากผิดปกติ

CVE-2026-45585 (YellowKey ต้นฉบับ) — ถูกค้นพบก่อนหน้านี้ ทำงานในลักษณะเดียวกัน ต้องการ Physical Access และใช้ WinRE เป็นช่องทาง

CVE-2026-50507 — อีกหนึ่ง BitLocker Security Feature Bypass ที่ถูกแก้ไขใน Patch Tuesday เดือนมิถุนายน 2026 CVSS Score 6.8 ต้องการ Physical Access เช่นกัน

GreatXML — Exploit Code ที่ Nightmare-Eclipse เผยแพร่แยกต่างหาก อ้างว่าสามารถ Spawn Command Prompt ที่เข้าถึง BitLocker Volume ได้

รูปแบบที่เห็นชัดคือ WinRE กำลังกลายเป็น Attack Surface สำคัญสำหรับการโจมตี BitLocker เนื่องจากเป็น Environment ที่ทำงานก่อน Full OS จะโหลด ทำให้บางมาตรการป้องกันของ Windows ยังไม่ Active อยู่

ใครมีความเสี่ยงสูงที่สุด

ช่องโหว่นี้ต้องการ Physical Access ซึ่งดูเหมือนจำกัดความเสี่ยง แต่ในความเป็นจริง มีสถานการณ์หลายอย่างที่ Physical Access เกิดขึ้นได้

องค์กรที่มีความเสี่ยงสูงเป็นพิเศษได้แก่ ธุรกิจที่มีพนักงานทำงาน Remote ซึ่ง Laptop อาจอยู่นอกการควบคุมของ IT Team, อุตสาหกรรมที่มีอัตราการสูญหายของอุปกรณ์สูง เช่น โลจิสติกส์, การขาย, สาธารณสุข, สถานที่ที่มีบุคคลภายนอกเข้าถึงพื้นที่ได้ เช่น Co-working Space, การประชุม, สนามบิน และ สถานการณ์ที่มีความเสี่ยงจาก Insider Threat เช่น พนักงานที่กำลังจะออกจากงานที่มีแรงจูงใจในการขโมยข้อมูล

ที่น่ากังวลเป็นพิเศษคือ ช่องโหว่ถูกเปิดเผยต่อสาธารณะก่อน Patch ซึ่งเพิ่มความเสี่ยงว่าผู้ไม่ประสงค์ดีอาจเริ่มพัฒนา Exploit และนำไปใช้ในช่วงเวลาที่ผ่านมา

ผลกระทบที่อาจเกิดขึ้น

1. ข้อมูลสำคัญบน Laptop ที่สูญหายหรือถูกขโมย สามารถถูกอ่านได้แม้เปิด BitLocker ไว้ หากใช้ TPM-only Mode
2. ความเชื่อมั่นใน BitLocker เป็นแนวป้องกันข้อมูลสุดท้าย ถูกสั่นคลอน นโยบาย "BitLocker ปกป้องข้อมูลเมื่ออุปกรณ์หาย" อาจไม่เป็นความจริงอีกต่อไป
3. องค์กรที่ได้รับผลกระทบจาก Data Breach อาจไม่สามารถอ้างว่า "ข้อมูลถูกเข้ารหัสและปลอดภัย" ในกรณีที่แจ้งหน่วยงานกำกับดูแล ซึ่งอาจมีผลต่อการปฏิบัติตาม PDPA
4. Insider Threat ที่มีสิทธิ์เข้าถึง WinRE อาจขโมยข้อมูลได้โดยไม่ทิ้งร่องรอยชัดเจน

สิ่งที่องค์กรควรดำเนินการทันที

1. ติดตั้ง July 2026 Patch Tuesday สำหรับทุกเครื่องที่ใช้ BitLocker โดยเร็วที่สุด
2. เปลี่ยน BitLocker Mode จาก TPM-only เป็น TPM+PIN ซึ่งเป็นวิธีป้องกันที่มีประสิทธิภาพมากที่สุดต่อการโจมตีประเภทนี้ เพราะแม้ผู้โจมตีจะเข้าถึง WinRE ได้ ก็ยังไม่สามารถ Unlock Drive ได้หากไม่รู้ PIN
3. ตรวจสอบว่า Secure Boot เปิดอยู่ เพื่อป้องกันการ Boot จาก USB หรือ Media ภายนอกโดยไม่ได้รับอนุญาต
4. ตั้งค่า BIOS/UEFI Password เพื่อป้องกันการเปลี่ยน Boot Order
5. ทบทวน Recovery Key Management ตรวจสอบว่า BitLocker Recovery Key ถูกเก็บใน Azure AD / Active Directory อย่างปลอดภัย ไม่ใช่เก็บไว้ในเครื่องเดียวกับที่ Protect อยู่

แนวทางลดความเสี่ยงระยะยาว

1. บังคับใช้ TPM+PIN สำหรับทุก Laptop ขององค์กร

แม้จะสร้างความไม่สะดวกในการ Boot เล็กน้อย แต่เป็นการป้องกันที่ปิดช่องโหว่ประเภทนี้ได้อย่างมีประสิทธิภาพ และควรเป็น Policy มาตรฐานสำหรับอุปกรณ์ที่มีข้อมูลสำคัญ

2. ติดตั้ง Windows Update อย่างสม่ำเสมอ

ช่องโหว่ BitLocker หลายรายการที่พบในปีนี้ได้รับการแก้ไขผ่าน Patch Tuesday การ Apply Patch ทันทีหลังออกเป็นสิ่งที่ลด Exposure Window ได้มากที่สุด

3. ใช้ Remote Wipe Capability

สำหรับองค์กรที่มีการจัดการ Device ผ่าน MDM เช่น Microsoft Intune ให้เตรียม Policy สำหรับ Remote Wipe ในกรณีที่อุปกรณ์สูญหาย โดยเฉพาะในช่วงที่ช่องโหว่ BitLocker ยังอาจถูกนำมาใช้

4. ใช้ Network-based Encryption Control

พิจารณาเพิ่ม Network Unlock Feature ที่กำหนดให้อุปกรณ์ต้องเชื่อมต่อกับ Corporate Network เพื่อ Unlock Disk ซึ่งทำให้ Laptop ที่อยู่นอก Network ไม่สามารถ Unlock ได้แม้รู้ PIN

5. Monitor BitLocker Event Log

ตั้ง Alert สำหรับ Event ID ที่เกี่ยวกับ BitLocker Unlock ผิดปกติ หรือการเข้าสู่ WinRE บนเครื่องที่ไม่ควรมีการ Recovery

วิเคราะห์ในมุมมองจาก TXEC

ช่องโหว่ BitLocker ที่พบหลายรายการในปี 2026 สะท้อนให้เห็นถึงสิ่งที่ผู้เชี่ยวชาญด้านความปลอดภัยพยายามสื่อสารมาโดยตลอดว่า ไม่มีกลไกการป้องกันใดที่สมบูรณ์แบบ BitLocker เป็นเครื่องมือที่ดีและมีประสิทธิภาพ แต่ต้องใช้ร่วมกับการ Patch ที่ทันเวลาและการตั้งค่าที่เหมาะสม (TPM+PIN แทน TPM-only)

สำหรับองค์กรในไทยที่ต้องปฏิบัติตาม พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (PDPA) ประเด็นสำคัญคือในกรณีที่อุปกรณ์สูญหายและเกิด Data Breach การอ้างว่า "ข้อมูลถูกเข้ารหัสด้วย BitLocker แล้ว" จะไม่ถือเป็น Sufficient Safeguard อีกต่อไปหากช่องโหว่เหล่านี้ยังไม่ได้รับการแก้ไขและตั้งค่า Mode ที่เหมาะสม

การลงทุนเพิ่มเติมในการ Enforce TPM+PIN ซึ่งอาจสร้างความไม่สะดวกเล็กน้อย ย่อมคุ้มค่ากว่าความเสียหายจากการที่ข้อมูลลูกค้าและข้อมูลทางธุรกิจรั่วไหลออกไปอย่างมาก

รู้ก่อน ตรวจพบเร็ว ลดความเสียหายได้มากกว่า

[ แหล่งอ้างอิง: BleepingComputer, CyberSecurityNews, SOCPrime, TechRepublic, The Hacker News, Tenable ]