# ช่องโหว่ Windows SignDrop: นักวิจัยปล่อยโค้ดเจาะ CLFS ให้ได้สิทธิ์ SYSTEM ยังไม่มีแพตช์

> ช่องโหว่ Windows SignDrop ใน CLFS ให้ผู้ใช้ทั่วไปยกสิทธิ์เป็น SYSTEM นักวิจัยเผยแพร่โค้ดบน GitHub เมื่อ 10 พ.ย. 2026 และยังไม่มีแพตช์ในแหล่งที่ตรวจ

- ประเภท: ข่าว · หมวด: Cybersecurity
- เผยแพร่: 2026-11-15T00:16:00.000Z · อัปเดต: 2026-11-15T00:16:00.000Z
- โดย: กองบรรณาธิการ THAI DATA, THAI DATA IT BUSINESS ENTERPRISE
- ที่มา: https://thaidata.co.th/security/windows-signdrop-clfs-zero-day/

## สรุปประเด็นสำคัญ

- นักวิจัยที่ใช้ชื่อ **MSNightmare** เผยแพร่โค้ดและคำอธิบายช่องโหว่ **SignDrop** บน GitHub เมื่อ **10 พฤศจิกายน 2026** (GitHub บันทึกการสร้างเวลา 19:20 UTC) เป็นช่องโหว่ยกสิทธิ์ในเครื่องของไดรเวอร์ **clfs.sys**
- ผู้เขียนอ้างว่าทดสอบบน **Windows 11 26H2**, Windows 11 26H2 Experimental และ **Windows Server 2025 Experimental** และประเมินเองว่าราว **80%** ของเครื่อง Windows ทั่วโลกได้รับผลกระทบ ซึ่งเป็นคำกล่าวของนักวิจัย ยังไม่มีการยืนยันจาก Microsoft
- ช่องโหว่นี้ใช้ประโยชน์จากกลไกป้องกัน **CLFS authentication mitigation** ที่ Microsoft เปิดให้ใช้ตั้งแต่ **28 ตุลาคม 2025** (KB5056852) ซึ่งตั้งช่วงเรียนรู้ไว้ **90 วัน** ก่อนบังคับใช้
- ผู้เขียนระบุว่ายังไม่มีวิธีแก้อื่นนอกจากรอแพตช์ของ Microsoft และเตือนว่าการปิดกลไกป้องกันจะเปิดทางให้ช่องโหว่ memory corruption ของ CLFS กลับมา ณ 15 พ.ย. 2026 ผู้เขียนข่าวยังไม่พบ CVE หรือรายการ KEV ของ CISA ที่ตรงกับเรื่องนี้

ช่องโหว่ Windows SignDrop คือช่องโหว่ยกระดับสิทธิ์ในเครื่องของไดรเวอร์ Common Log File System (clfs.sys) ที่นักวิจัยใช้ชื่อ MSNightmare เผยแพร่พร้อมโค้ดบน GitHub เมื่อวันที่ 10 พฤศจิกายน 2026 ผู้เขียนอ้างว่าผู้ใช้ธรรมดาที่เข้าเครื่องได้แล้วจะได้สิทธิ์ SYSTEM และระบุว่ายังไม่มีวิธีแก้นอกจากรอแพตช์ของ Microsoft ณ วันที่ 15 พฤศจิกายน 2026 ผู้เขียนข่าวยังไม่พบ CVE หรือแพตช์ที่ตรงกับเรื่องนี้

ข้อมูลทั้งหมดในข่าวนี้ มาจากคำอธิบายของนักวิจัยเอง และเอกสารของ Microsoft เรื่องกลไกป้องกันที่ถูกกล่าวถึง Microsoft ยังไม่ได้ยืนยันรายละเอียดในแหล่งที่ตรวจได้ ข่าวนี้จึงไม่ลงขั้นตอนการโจมตี และถือว่าคำกล่าวอ้างของนักวิจัยยังรอการยืนยัน

![หน้า README ของ SignDrop บน GitHub](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/windows-signdrop-clfs-zero-day/github-signdrop-readme.webp?v=6ee81e37) _(ภาพ: MSNightmare บน GitHub (ภาพหน้าจอ))_

## ช่องโหว่ Windows SignDrop ต่างจากช่องโหว่ CLFS ทั่วไปอย่างไร

CLFS เป็นไดรเวอร์ในเคอร์เนลที่อ่านไฟล์บันทึกซึ่งมีโครงสร้างซับซ้อน จึงเคยเป็นเป้าของช่องโหว่ memory corruption หลายรอบ Microsoft เพิ่ม CLFS authentication mitigation ในรุ่นอัปเดตตั้งแต่ 28 ตุลาคม 2025 โดยเพิ่มรหัส HMAC ให้ไฟล์ของล็อก เพื่อให้ไดรเวอร์ตรวจความสมบูรณ์ของไฟล์ก่อนอ่าน ตามเอกสาร KB5056852

ตารางนี้สรุปสิ่งที่เอกสารของ Microsoft และ README ของนักวิจัยกล่าวไว้

| เรื่อง | ที่มาของข้อมูล | สิ่งที่ระบุ |
| --- | --- | --- |
| กลไกป้องกัน CLFS | Microsoft KB5056852 | เพิ่มรหัสยืนยันความถูกต้องให้ไฟล์ล็อก และมีไฟล์ใหม่นามสกุล .cnpf |
| ช่วงเรียนรู้ | Microsoft KB5056852 | ราว 90 วันนับจากบูตเครื่องด้วย CLFS รุ่นนั้น แล้วเข้าโหมดบังคับ ตัวเลข 90 วันอาจเปลี่ยนในอนาคต |
| ตัวช่องโหว่ | README ของนักวิจัย | ตรรกะการสร้างไฟล์ยืนยันความถูกต้องถูกชักนำให้ทำงานภายใต้สิทธิ์ที่สูงกว่า |
| ผลกระทบ | README ของนักวิจัย | ผู้ใช้ธรรมดาได้สิทธิ์ SYSTEM และอาจใช้ข้ามการป้องกันตัวเองของโปรแกรมแอนตี้มัลแวร์ |
| รุ่นที่ทดสอบ | README ของนักวิจัย | Windows 11 26H2, 26H2 Experimental, Windows Server 2025 Experimental |

นักวิจัยเรียกว่านี่คือกรณีที่กลไกป้องกันถูกใช้ย้อนกลับเอง เพราะ Microsoft ทำตามกลไกถูกต้อง แต่ตรรกะนั้นเปิดช่องให้ถูกใช้ผิดวัตถุประสงค์ ข้ออ้างว่าใช้ข้ามโปรแกรมแอนตี้ไวรัสหรือ EDR ได้เป็นคำกล่าวของนักวิจัย ยังไม่มีผู้ผลิตรายใดยืนยันในแหล่งที่ตรวจ

## ขอบเขตผลกระทบของช่องโหว่ Windows SignDrop และสิ่งที่ยังไม่ยืนยัน

สำหรับช่องโหว่ Windows SignDrop นักวิจัยประเมินว่าราว 80% ของ Windows ทั่วโลกได้รับผลกระทบ และบอกว่าเครื่องที่ติดตั้งมานานกว่า 90 วันมีโอกาสถูกกระทบ เพราะอยู่นอกช่วงเรียนรู้ของกลไก CLFS แล้ว ตัวเลข 80% เป็นการประเมินของผู้เขียนเอง ไม่ใช่การวัดจากผู้ผลิตหรือหน่วยงานกลาง

ช่องโหว่ Windows SignDrop เป็นแบบ local privilege escalation คือผู้โจมตีต้องมีบัญชีผู้ใช้ธรรมดาบนเครื่องอยู่ก่อน จึงไม่ใช่ช่องที่ใช้เจาะเข้าเครื่องจากอินเทอร์เน็ตโดยตรง แต่ในเหตุแรนซัมแวร์ ผู้โจมตีมักได้บัญชีธรรมดาจากฟิชชิงหรือรหัสผ่านที่รั่ว แล้วหาช่องยกสิทธิ์ต่อ ช่องโหว่ Windows SignDrop และช่องโหว่ยกสิทธิ์ชนิดเดียวกันจึงมีค่าต่อผู้โจมตี

ไฟล์ KEV ของ CISA ที่ปล่อยเมื่อ 13 พฤศจิกายน 2026 มีรายการเพิ่มล่าสุดคือ UnrealIRCd และ Check Point ไม่มีรายการ SignDrop ผู้เขียนข่าวไม่พบรายงานของ Microsoft หรือ CISA ว่ามีการโจมตีจริง

![เอกสาร Microsoft เรื่อง CLFS authentication mitigation KB5056852](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/windows-signdrop-clfs-zero-day/microsoft-kb5056852-clfs-mitigation.webp?v=21a62717) _(ภาพ: Microsoft Support (ภาพหน้าจอ))_

## ผลต่อองค์กรไทย: ทำอะไรได้ระหว่างรอแพตช์ช่องโหว่ Windows SignDrop

เนื่องจากช่องโหว่ Windows SignDrop ยังไม่มีแพตช์ ข้อควรทำจึงเน้นลดโอกาสที่ผู้โจมตีจะเข้าเครื่องได้ และให้รู้ตัวเร็วเมื่อมีสิ่งผิดปกติ

1. **ตรวจ Microsoft Security Update Guide** ทุกวันทำการ และเตรียมรอบทดสอบแพตช์เมื่อมี CVE
2. **ลดสิทธิ์ผู้ใช้** บนเซิร์ฟเวอร์ที่ใช้ร่วมกัน เช่น Remote Desktop Server และเครื่องกลางที่หลายคนล็อกอินได้ ให้เหลือเท่าที่จำเป็น
3. **ดูสถานะ EDR และแอนตี้มัลแวร์** ให้ส่งเตือนเมื่อบริการหยุดหรือถูกปิดผิดปกติ
4. **อย่าปรับค่า CLFS เอง** เพราะนักวิจัยเตือนว่าการปิดกลไกป้องกันทำให้ช่องโหว่ memory corruption ของ CLFS กลับมา ให้ทำตามคำแนะนำของ Microsoft เมื่อมี
5. **เก็บบันทึกเหตุการณ์ไว้นานพอ** เพื่อย้อนตรวจเมื่อมีประกาศภายหลังว่าช่องโหว่ถูกใช้โจมตี

## ประวัติเรื่องช่องโหว่ที่นักวิจัยรายนี้เปิดเผย

หน้า GitHub ของบัญชี MSNightmare ยังมีที่เก็บโค้ดอื่นที่นักวิจัยตั้งคำอธิบายว่าเป็นช่องโหว่ของ Windows Defender, Kaspersky Endpoint, Nvidia และ BitLocker ซึ่งมีการอัปเดตล่าสุดระหว่างเดือนมิถุนายนถึงกันยายน 2026 และ SignDrop เป็นรายการล่าสุดที่ถูกอัปเดตเมื่อ 10 พฤศจิกายน 2026 ข่าวนี้ไม่ได้ตรวจสอบช่องโหว่อื่นในบัญชีดังกล่าว ผู้ดูแลระบบควรถือว่าทั้งหมดเป็นคำกล่าวของนักวิจัยจนกว่าผู้ผลิตจะยืนยัน และติดตามประกาศของ Microsoft เรื่องช่องโหว่ Windows SignDrop ผ่านช่องทางทางการเท่านั้น

## บริการของ THAI DATA CLOUD ที่เกี่ยวข้อง

ช่องโหว่ที่ยังไม่มีแพตช์ทำให้องค์กรต้องเฝ้าประกาศ ดูสถานะเครื่องและเซิร์ฟเวอร์ และทดสอบแพตช์ทันทีที่ออก ซึ่งเป็นงานที่ฝ่ายไอทีขนาดเล็กทำต่อเนื่องได้ยาก [IT Support](https://thaidata.cloud/it-support/) ของ THAI DATA CLOUD ดูแลผู้ใช้ เครื่องพนักงาน เซิร์ฟเวอร์ และเครือข่าย แจ้งผ่าน Ticket ที่ตรวจสอบได้ ตอบภายใน 6 ชั่วโมง โดยทีมไทย 24x7 (THAI DATA CLOUD เป็นผู้ดำเนินงานเว็บไซต์นี้)

อ่านข่าวช่องโหว่และภัยคุกคามอื่น ๆ ได้ในหมวด [ความปลอดภัยไซเบอร์](/security/)

## คำถามที่พบบ่อย

### ช่องโหว่ Windows SignDrop คืออะไร?

ช่องโหว่ Windows SignDrop คือช่องโหว่ยกระดับสิทธิ์ในเครื่องของไดรเวอร์ Common Log File System (clfs.sys) ที่นักวิจัยเผยแพร่บน GitHub เมื่อ 10 พฤศจิกายน 2026 ผู้ใช้ธรรมดาที่เข้าเครื่องได้แล้วอาจได้สิทธิ์ SYSTEM โดยใช้กลไกป้องกันของ CLFS เองเป็นช่องทาง

### ช่องโหว่ Windows SignDrop มีแพตช์หรือ CVE แล้วหรือยัง?

ณ 15 พฤศจิกายน 2026 ผู้เขียนข่าวยังไม่พบ CVE แพตช์ หรือรายการ KEV ของ CISA ที่ตรงกับ SignDrop ในแหล่งที่ตรวจได้ README ของนักวิจัยระบุว่ายังไม่มีวิธีแก้นอกจากรอแพตช์ ผู้ดูแลระบบควรตรวจ Microsoft Security Update Guide เป็นระยะ

### ช่องโหว่ Windows SignDrop กระทบ Windows รุ่นไหน?

นักวิจัยระบุว่าทดสอบบน Windows 11 26H2, Windows 11 26H2 Experimental และ Windows Server 2025 Experimental และกล่าวว่าเครื่องที่ติดตั้งมานานกว่า 90 วันมีโอกาสได้รับผลกระทบ ส่วนตัวเลข 80% เป็นคำประเมินของนักวิจัยเอง ไม่ใช่ข้อมูลจาก Microsoft

### องค์กรควรทำอย่างไรระหว่างรอแพตช์ช่องโหว่ Windows SignDrop?

ช่องโหว่นี้ต้องมีผู้ใช้เข้าเครื่องได้ก่อน จึงควรลดสิทธิ์ผู้ใช้ทั่วไป จำกัดการล็อกอินและการติดตั้งโปรแกรมบนเซิร์ฟเวอร์ เฝ้าดูการสร้างไฟล์ผิดปกติและสถานะ EDR และอย่าเปลี่ยนค่า CLFS เองโดยไม่มีคำแนะนำของ Microsoft


## แหล่งอ้างอิง

- [SignDrop: Windows Common Log FileSystem Authentication 0day Local Privilege Escalation Vulnerability (README)](https://github.com/MSNightmare/SignDrop) — MSNightmare (GitHub)
- [Common Log File System (CLFS) Authentication Mitigation (KB5056852)](https://support.microsoft.com/en-us/servicing/os/windows/2025/03/common-log-file-system-clfs-authentication-mitigation) — Microsoft Support
- [Known Exploited Vulnerabilities Catalog (feed released 13 Nov 2026)](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA