ช่องโหว่รันโค้ดจากระยะไกลในแอป Windows Notepad CVE-2026-20841

 (cve.org)
4 คะแนน โดย GN⁺ 2026-02-12 | 7 ความคิดเห็น | แชร์ทาง WhatsApp
  • มีการค้นพบช่องโหว่ การฉีดคำสั่ง (command injection) ในแอป Windows Notepad ซึ่งมีรายงานว่าสามารถนำไปสู่การรันโค้ดจากระยะไกลได้
  • ผู้โจมตีที่ไม่ได้รับการยืนยันตัวตน สามารถรันคำสั่งอันตรายผ่านเครือข่ายได้ โดยต้องอาศัยการมีส่วนร่วมของผู้ใช้
  • ช่องโหว่นี้ส่งผลกระทบต่อ Windows Notepad เวอร์ชัน 11.0.0 ถึงก่อน 11.2510
  • ได้รับการประเมินที่ คะแนน 8.8 (สูง) ตาม CVSS 3.1 และส่งผลกระทบในระดับสูงต่อความลับ ความถูกต้องสมบูรณ์ และความพร้อมใช้งาน
  • Microsoft ได้ลงทะเบียนช่องโหว่นี้เป็น CVE-2026-20841 และเผยแพร่แพตช์ความปลอดภัยกับคำแนะนำผ่าน MSRC(Microsoft Security Response Center)

ภาพรวม CVE-2026-20841

  • ช่องโหว่นี้ถูกจัดประเภทเป็น ช่องโหว่การฉีดคำสั่ง (CWE-77) ที่เกิดขึ้นใน Windows Notepad App
    • คำสั่งอาจถูกบิดเบือนเนื่องจากมีการทำให้เป็นกลางของอักขระพิเศษอย่างไม่เหมาะสม
    • ผู้โจมตีสามารถดำเนินการรันโค้ดจากระยะไกลผ่านเครือข่ายได้
  • CNA (หน่วยงานผู้ออกทะเบียนอย่างเป็นทางการ) คือ Microsoft Corporation โดย CVE ถูกเปิดเผยเมื่อวันที่ 10 กุมภาพันธ์ 2026 และอัปเดตเมื่อวันที่ 11 กุมภาพันธ์

รายละเอียดทางเทคนิค

  • ประเภทช่องโหว่: Improper Neutralization of Special Elements used in a Command (‘Command Injection’)
  • ขอบเขตผลกระทบ: Windows Notepad เวอร์ชัน 11.0.0 ขึ้นไปแต่ต่ำกว่า 11.2510
  • การประเมิน CVSS 3.1:
    • คะแนน: 8.8 (High)
    • เวกเตอร์: AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C
    • เข้าถึงผ่านเครือข่ายได้ ความซับซ้อนต่ำ และต้องมีการโต้ตอบจากผู้ใช้

ผลกระทบและระดับความเสี่ยง

  • ผู้โจมตีสามารถ รันโค้ดจากระยะไกลได้โดยไม่ต้องยืนยันตัวตน
  • ความลับ (C), ความถูกต้องสมบูรณ์ (I), ความพร้อมใช้งาน (A) ของระบบล้วนได้รับผลกระทบในระดับสูง
  • สถานะพื้นฐานของช่องโหว่ถูกระบุว่า “affected” และมีการระบุเวอร์ชันที่ได้รับผลกระทบไว้อย่างชัดเจน

เอกสารอ้างอิงและการรับมือ

  • คำแนะนำด้านความปลอดภัยอย่างเป็นทางการของ Microsoft เผยแพร่ที่ MSRC Update Guide
  • โปรแกรม CVE มีข้อมูลเพิ่มเติมเกี่ยวกับช่องโหว่นี้ และระบุว่า CISA-ADP เป็นผู้เผยแพร่ข้อมูลที่ได้รับการอนุมัติ
  • เอกสารอ้างอิงภายนอกที่เกี่ยวข้องรวมถึง โพสต์บน Hacker News (https://news.ycombinator.com/item?id=46971516)

สรุป

  • CVE-2026-20841 เป็น ช่องโหว่รันโค้ดจากระยะไกลในแอป Windows Notepad ที่เป็นปัญหาด้านความปลอดภัยระดับรุนแรงสูง (8.8 คะแนน)
  • Microsoft ได้ลงทะเบียนอย่างเป็นทางการและกำลังดำเนินการแพตช์ โดยผู้ใช้ควรอัปเดตเป็นเวอร์ชันล่าสุด
  • ช่องโหว่นี้เปิดโอกาสให้เกิดการโจมตีผ่าน การฉีดคำสั่ง และอาจถูกโจมตีผ่านเครือข่ายได้

บทความที่เกี่ยวข้อง

7 ความคิดเห็น

 
jwh926 2026-02-12

ไมโครซลอป.
 
mammal 2026-02-12

ได้โปรดให้ส่วนพื้นฐานจริง ๆ อย่าง OS กับเบราว์เซอร์มีแค่ฟังก์ชันพื้นฐานก็พอ โดยไม่ต้องยัดพวกขยะอย่างคลาวด์ / AI / การเชื่อมต่ออะไรพวกนี้เข้ามา

ฟีเจอร์ของผู้ขายจะทำเป็นเลเยอร์อยู่ข้างบนก็เพียงพอแล้ว...
 
GN⁺ 2026-02-12
ความเห็นจาก Hacker News

  • ดูจากรายงานผู้ถือหุ้น ปี 2025 แล้ว Windows อยู่อันดับ 5 ของแหล่งรายได้ และ ต่ำกว่า LinkedIn ด้วยซ้ำ
    ตอนนี้ดูเหมือน Microsoft จะไม่ใส่ใจ Windows หรือ Notepad แล้ว

    • Windows เป็นเหมือน ม้าโทรจัน ของพวกเขา
    • ในรายงานแบ่งรายได้ออกเป็นสามหมวด — “Productivity and Business Processes”, “Intelligent Cloud”, “More Personal Computing” — Windows เป็นแค่ส่วนหนึ่งของกลุ่มที่สามเท่านั้น เลยสงสัยว่าตัดสินว่าอยู่อันดับ 5 ได้อย่างไร
    • Microsoft ก็คือ Windows ในไม่ช้านี้เอง Office มีตัวแทนมากมาย, ไม่มี AI model, Github ก็ไม่นิ่ง, Azure ก็แย่, Xbox ก็พังแล้ว ถ้า Windows ตาย ทุกอย่างที่วางอยู่ข้างบนก็คงหายไปด้วย

  • แก่นของปัญหาคือ การจัดการลิงก์
    ตาม CVE-2026-20841 ถ้าผู้โจมตีหลอกให้คลิกลิงก์อันตรายในไฟล์ Markdown ได้ Notepad ก็อาจรันโปรโตคอลที่ไม่ได้รับการตรวจสอบและโหลดไฟล์จากระยะไกลได้

    • Notepad จัดการลิงก์เนี่ยนะ ให้ความรู้สึกเหมือนดินสอมีช่องโหว่เรื่องโหลดหมึกเลย มุกเก่า “ถ้า Microsoft ผลิตรถยนต์” กลายเป็นเรื่องจริงแล้ว (ลิงก์ที่เกี่ยวข้อง)
    • ไม่แน่ใจว่านี่เป็นปัญหาใหญ่จริงไหม มันไม่ใช่ปัญหาที่เกิดได้กับทุกแอปที่เรนเดอร์ลิงก์คลิกได้—อย่างเบราว์เซอร์หรืออีเมลไคลเอนต์—หรือ?
    • สงสัยว่า “unverified protocols” คืออะไร บน Windows มี URL scheme แบบ exe:// ที่เรียกไฟล์ปฏิบัติการได้ตรง ๆ หรือเปล่า?

  • เมื่อก่อนเคยหา Windows 98 Notepad มาแล้วลองรันบน Windows 11 มันทำงานได้สมบูรณ์แบบ พิมพ์ข้อความ, บันทึก, เปิดไฟล์ ได้หมด เลยรู้สึกว่าแล้วจะต้องการอะไรมากกว่านั้นอีก แถมฟอนต์ยังชวนให้นึกถึงวันเก่า ๆ ด้วย

    • Notepad ของ Win9x เปิดได้แค่ 64KB และรองรับแค่ ANSI encoding หลังจากนั้นรุ่นใหม่ก็มีการปรับปรุงที่มีประโยชน์อย่างรองรับ LF แต่ฟีเจอร์ที่เพิ่มมาใน Windows 11 เป็น ภาระที่ไม่จำเป็น ทั้งหมด
    • ฉันดึง notepad.exe, calc.exe, mspaint.exe จาก Windows 7 มาใช้บน Windows 11 อยู่ ใช้งานได้สมบูรณ์แบบ
    • ที่หน้าต่าง “About Notepad” แสดงเวอร์ชัน Windows 11 ก็เพราะโปรแกรมเรียก Windows API เพื่อแสดงเวอร์ชันของระบบ
    • จริง ๆ แล้วใน Windows 11 ก็ยังมี notepad.exe ตัวเก่าอยู่ เพียงแต่ตอนรันจะถูกรีไดเรกต์ไปแอปใหม่ ถ้าปิด “App execution aliases” ใน Settings ก็จะใช้ Notepad แบบเก่าได้ตามเดิม
    • อยากรู้เหมือนกันว่าจะใช้ Notepad Copilot สำหรับ Copilot 365 กับเวอร์ชันนั้นยังไง

  • ไม่กี่วันก่อน Notepad++ ก็โดนเจาะโดย ผู้โจมตีระดับรัฐชาติ วันนี้ Notepad ที่มากับ Windows ก็มี CVE ออกมาแล้ว ชักคิดว่าคงต้องลบ Windows ทิ้งให้หมด ไม่มี sandboxing แถมยังเป็น ภูเขาโค้ดเก่า

    • ถ้ามองในเชิงเทคนิค Unix ตระกูลต่าง ๆ ก็เต็มไปด้วย legacy เหมือนกัน แต่ Windows นี่มัน กองขยะ ชัด ๆ
    • กรณี Notepad++ คือกลุ่มผู้โจมตีจากจีนเจาะผู้ให้บริการโฮสต์ ตอนนี้การตรวจสอบอัปเดตก็ดีขึ้นแล้ว และยังมีทางเลือกอย่าง scoop ด้วย การโจมตี จำกัดวงมาก และ IOC ก็เผยแพร่ออกมาแล้ว
    • การเจาะจริงไม่ได้เกิดขึ้นเมื่อไม่กี่วันก่อน แต่เกิดเมื่อ หลายเดือนก่อน และดำเนินต่อเนื่องอยู่หลายสัปดาห์
    • ฉันใช้ gvim บน Windows แทน Notepad ปลั๊กอินไม่มีก็พอแล้ว
    • ตอนนี้เหลือแค่ RCE จากไอคอนเมาส์ เท่านั้น ถึงตอนนั้นคงเป็นจุดพีคจริง ๆ

  • ตอนนี้เรามาถึงบทสรุปเชิงตรรกะของท่อส่งแบบ ฟีเจอร์ล้น → ช่องโหว่ แล้ว
    ตลอด 30 ปีที่ผ่านมา Notepad เป็นมาตรฐานของ text viewer แบบเรียบง่าย แต่ตอนนี้กลับได้คะแนน CVSS 8.8 ซึ่งเป็น การล่มสลายของหลัก least privilege คำถามที่ควรถามไม่ใช่ “เพิ่มฟีเจอร์นี้ได้ไหม?” แต่เป็น “text editor นี้จำเป็นต้องมี network rendering stack ไหม?”

    • แล้วก็ไม่หยุดแค่นั้น ยังถามต่อว่า “ต้องมี AI ไหม?” และก็ได้ คำตอบที่ผิด
    • แน่นอนว่าเมื่อก่อน Notepad ก็เคยมี บั๊กประหลาด อย่าง “Bush hid the facts” อยู่แล้ว ตอนนั้นปัญหายากคือ Unicode กับ encoding ส่วนตอนนี้เราแค่กำลังรบในสงครามอีกแบบ
    • เห็นด้วยเต็มที่ text editor ที่มี network stack เป็นแหล่งเพาะช่องโหว่ชัด ๆ เลยฉันลงมือทำ text editor แบบ local-only ด้วย Rust เอง ไม่มีสิทธิ์เครือข่าย, มี encrypted storage, ใช้ OpenSSL ที่เข้ากันได้กับ FIPS ดูได้ที่ FIPSPad
    • แต่บั๊กครั้งนี้ดูเหมือนจะไม่เกี่ยวกับ network rendering stack หรือ AI ตาม MSRC ปัญหาคือผู้โจมตีหลอกให้ผู้ใช้คลิกลิงก์ในไฟล์ Markdown เพื่อรันไฟล์ระยะไกล เช่นถ้าคลิกลิงก์อย่าง \\evil.example\virus.exe ก็อาจถูกรันได้
    • ปัญหาคือยังสงสัยเลยว่า Microsoft รู้ตัวหรือเปล่าว่าตัวเองเพิ่ม network rendering stack เข้าไปแล้ว

  • เรื่องตลกคือ เบราว์เซอร์ทั้งหลายใส่ คำเตือนผู้ใช้ก่อนรันโปรโตคอล มานานแล้ว แต่ Microsoft เพิ่มลิงก์คลิกได้ลงใน Notepad แล้วกลับข้ามเรื่องนั้นไปทั้งหมด นี่ไม่ใช่แค่ปัญหาฟีเจอร์ล้น แต่เป็นการ ประดิษฐ์ปัญหาที่แก้ไปแล้วขึ้นมาใหม่พร้อมลืมใส่กลไกป้องกัน

  • เห็นประโยคว่า “ถ้าคลิกลิงก์อันตรายในไฟล์ Markdown แล้วไฟล์ระยะไกลจะถูกรัน” แล้วตกใจมาก ไม่รู้มาก่อนว่า Notepad เรนเดอร์ Markdown ด้วย

    • ถ้า Notepad เริ่มเรนเดอร์ฟอร์แมตอื่นด้วย เหตุผลที่ฉันใช้ Notepad—คือความบริสุทธิ์ของมันในฐานะ เครื่องมือล้างฟอร์แมต—ก็จะหายไป มนตร์ของ Notepad อยู่ที่ความเรียบง่ายซึ่งไม่สนการจัดรูปแบบของทีมการตลาด
    • น่าจะเป็น ฟีเจอร์ที่เพิ่งเพิ่มมาไม่นาน ฉันใช้ทุกวัน เพิ่งเห็นการเรนเดอร์ Markdown ครั้งแรกเมื่อสัปดาห์ที่แล้ว
    • ทำให้นึกถึงคำว่า “ความทุกข์จะดำเนินต่อไปจนกว่าขวัญกำลังใจจะดีขึ้น”

  • คิดถึงสมัยที่ Notepad เป็นแค่เครื่องมือแสดงข้อความธรรมดา

    • เพราะงั้นฉันเลยใช้ Notepad2 Notepad รุ่นเก่าแสดงบรรทัดขึ้นต้นแบบ LF ได้ไม่ดี แต่ Notepad2 มีฟีเจอร์มากขึ้นอีกนิดและยัง เบาและสะอาดตา อยู่
    • สมัย XP ก็มีทางเลือกที่ดีกว่าอย่าง Metapad

  • ถึงเวลาแล้วที่จะ ทิ้ง Windows ไปทั้งระบบ

    • ไม่ได้พูดเล่นนะ ปีนี้มี คนย้ายไป Linux เพิ่มขึ้นอย่างมากเพราะ “Windows แย่มากเกินไปแล้ว” ฉันเองก็ย้ายเมื่อปีที่แล้ว หลังจากทนแบบ “ก็พอถูไถ” มาหลายสิบปี ตอนนี้กลายเป็น “ไม่ไหวจริง ๆ” แล้ว

  • บทบาทของ Notepad มีแค่แสดงข้อความ แต่ Microsoft กลับเพิ่ม พื้นผิวการโจมตี เข้าไป
    ไม่ต้องรอ “ปีแห่ง Linux desktop” หรอก — ถ้า Windows ยังเป็นแบบนี้ต่อไป แค่นั้นก็พอแล้ว

    • แต่เอาเข้าจริงน่าจะเป็น ยุคของ Mac OS มากกว่า ถ้าชิปตระกูล M ลงมาถึงรุ่นราคาถูก ทุกคนก็คงย้ายไปทางนั้น
 
savvykang 2026-02-12

พอถูกบังคับให้อัปเกรดเป็น Windows 11 แล้ว เนื้อหาใน Notepad ก็พังเป็นบางครั้ง ดูท่า MS คงยังไม่สำนึกจริง ๆ
 
sudosudo 2026-02-12

เลิกปรับเปลี่ยน Notepad สักที..
 
kayws426 2026-02-12

บั๊กชวนงงอย่าง “Bush hid the facts”
ทำให้นึกถึงวันเก่า ๆ เลยนะครับ
 
ssolarsystem 2026-02-12

ดูเหมือนว่าพอ WordPad ถูกลบออกไป เลยเอาข้อความที่มีการจัดรูปแบบแบบก้ำกึ่งว่าจะใส่ในโปรแกรมประมวลผลคำดีไหมมาใส่เป็น Markdown แล้วสุดท้ายก็เกิดเรื่องขึ้นนะครับ ผมว่าถ้าเข้าไปที่การตั้งค่าแล้วปิดฟีเจอร์ AI กับฟังก์ชันการจัดรูปแบบทั้งหมด น่าจะดีกว่าในแง่ความปลอดภัย