Blog, Insight Hub

Zero-day คืออะไร ทำไมแค่ได้ยินชื่อ คนไอทีก็ต้องรีบอัปเดตระบบ

Zero-day คืออะไร? ทำไมแค่ได้ยินชื่อ คนไอทีก็ต้องรีบอัปเดตระบบ?

ช่วงนี้เราน่าจะได้ยินคำว่า Zero-day บ่อยขึ้น
โดยเฉพาะเวลาอ่านข่าวเทคโนโลยีหรือข่าวด้าน Cybersecurity
ชื่ออาจฟังดูเหมือนหนังวันสิ้นโลก แต่จริง ๆ แล้ว Zero-day คืออะไร ทำไมถึงอันตราย
และเกี่ยวข้องกับคนทั่วไปหรือองค์กรอย่างไร?

วันนี้จะมาเล่าให้ฟังแบบง่าย ๆ ครับ

ลองนึกภาพว่า บ้านของเรามีประตูลับอยู่บานหนึ่ง ทั้งเจ้าของบ้านและคนสร้างบ้านยังไม่รู้ว่ามีอยู่
แต่โจรกลับค้นพบก่อน และรู้วิธีเปิดประตูบานนั้นเสียด้วย

นี่คือภาพง่าย ๆ ของ ช่องโหว่ Zero-day

NIST อธิบาย Zero-day Attack ว่าเป็นการโจมตีที่ใช้ประโยชน์จากช่องโหว่ของ Hardware,
Firmware หรือ Software ที่ไม่เคยเป็นที่รู้จักมาก่อน ขณะที่ Microsoft อธิบาย Zero-day
Vulnerability ว่าเป็นช่องโหว่ที่ยังไม่มี Official Patch หรือ Security Update
ออกมาแก้ไข

คำว่า “Zero-day”
จึงสื่อถึงสถานการณ์ที่ฝ่ายพัฒนาหรือฝ่ายป้องกันแทบไม่มีเวลาเตรียมตัวก่อนที่ช่องโหว่จะถูกนำไปใช้ประโยชน์

Zero-day Vulnerability, Exploit และ Attack ต่างกันอย่างไร?

สามคำนี้มักถูกใช้ปะปนกัน แต่จริง ๆ แล้วมีความหมายต่างกัน

Zero-day Vulnerability — ช่องโหว่

Zero-day Vulnerability คือ “ช่องโหว่” หรือจุดอ่อนของ Software,
Hardware หรือ Firmware ที่ยังไม่มี Patch อย่างเป็นทางการ
หรือในบางนิยามคือผู้ผลิตยังไม่ทราบถึงช่องโหว่นั้น Microsoft
ระบุว่าผู้ผลิตอาจรู้หรือยังไม่รู้เกี่ยวกับช่องโหว่ก็ได้ แต่หัวใจสำคัญคือยังไม่มี Official Patch
พร้อมใช้งาน

Zero-day Exploit — วิธีหรือโค้ดที่ใช้เจาะช่องโหว่

Zero-day Exploit คือ “วิธีหรือโค้ดที่ใช้เจาะช่องโหว่” กล่าวง่าย ๆ คือ
Vulnerability เปรียบเสมือนประตูที่มีจุดอ่อน ส่วน Exploit
คือวิธีที่โจรรู้ว่าจะเปิดประตูนั้นอย่างไร Microsoft ให้นิยาม Exploit Code
ว่าเป็นโปรแกรมหรือโค้ดที่ใช้ช่องโหว่เพื่อก่อผลกระทบ เช่น เปิดเผยข้อมูล เปลี่ยนแปลงข้อมูล
หรือยกระดับสิทธิ์ของผู้โจมตี

Zero-day Attack — การนำไปโจมตีจริง

ส่วน Zero-day Attack คือเมื่อผู้โจมตีนำช่องโหว่และวิธี Exploit นั้นมา
ใช้โจมตีเป้าหมายจริง

จำง่าย ๆ

Vulnerability = ช่องโหว่ → Exploit = วิธีเจาะ → Attack = ลงมือโจมตี

ทำไม Zero-day ถึงอันตราย?

ปกติเมื่อพบช่องโหว่ ผู้ผลิตจะวิเคราะห์ปัญหา พัฒนา Patch ทดสอบ และปล่อย Security
Update ให้ผู้ใช้นำไปติดตั้ง

แต่ปัญหาของ Zero-day คือ ในช่วงแรกอาจยังไม่มี Patch

นั่นหมายความว่าเกิดช่วงเวลาที่ผู้โจมตีอาจมีวิธีเจาะระบบแล้ว
แต่ฝ่ายป้องกันยังไม่มีวิธีแก้ไขช่องโหว่โดยตรง

ยิ่งถ้าช่องโหว่นั้นสามารถโจมตีจากระยะไกลได้ กระทบผลิตภัณฑ์ที่ใช้งานแพร่หลาย
หรือมีการเผยแพร่ Exploit Code ออกสู่สาธารณะ
ความเสี่ยงก็ยิ่งต้องได้รับการประเมินอย่างเร่งด่วน Microsoft
ระบุด้วยว่าการเผยแพร่โค้ดหรือรายละเอียดที่ทำให้ Exploit ใช้งานง่ายขึ้น
สามารถเพิ่มจำนวนผู้โจมตีที่นำช่องโหว่ไปใช้ได้

ผลกระทบอาจตั้งแต่ ขโมยข้อมูล ติดตั้ง Malware เข้าถึงระบบโดยไม่ได้รับอนุญาต ยกระดับสิทธิ์
ไปจนถึงควบคุมหรือรบกวนระบบ ทั้งนี้ขึ้นอยู่กับลักษณะของช่องโหว่แต่ละตัว

แต่ Zero-day ไม่ได้แปลว่า “โดนเจาะแน่นอน”

ประเด็นนี้สำคัญมาก

เมื่อมีข่าวว่า Software ที่เราใช้งานพบ Zero-day
ไม่ได้หมายความว่าระบบทุกเครื่องจะถูกโจมตีทันที

Microsoft ระบุว่าไม่ใช่ Zero-day Vulnerability ทุกตัวจะนำไปสู่การโจมตีจริง
ปัจจัยอย่างความซับซ้อนในการ Exploit จำนวนระบบที่ได้รับผลกระทบ และความน่าเชื่อถือของ
Exploit ล้วนมีผลต่อโอกาสที่ผู้โจมตีจะนำช่องโหว่ไปใช้งาน

ดังนั้นทีม IT และ Cybersecurity ไม่ควรตื่นตระหนก แต่ต้อง
ตรวจสอบและประเมินความเสี่ยงอย่างรวดเร็ว

คำถามแรกที่องค์กรควรถาม

“องค์กรของเราใช้ Product และ Version ที่ได้รับผลกระทบหรือไม่?”

ถ้าไม่ใช้ ก็อาจไม่ได้รับผลกระทบโดยตรง แต่ถ้าใช้อยู่ ขั้นต่อไปคือดูว่าระบบนั้นเปิดให้เข้าถึงจาก
Internet หรือไม่ มีหลักฐาน Active Exploitation หรือไม่ และ Vendor มี Patch,
Workaround หรือ Mitigation อะไรออกมาแล้ว

ทำไมคน IT ถึงต้องรีบอัปเดตเมื่อ Patch ออก?

นี่คือจุดที่คำว่า “รีบอัปเดต” มีความสำคัญ

ตอนที่ช่องโหว่ยังไม่มี Patch ผู้ดูแลระบบอาจต้องใช้มาตรการชั่วคราว เช่น ปิด Feature
ที่มีปัญหา จำกัดการเข้าถึง เพิ่ม Firewall Rule หรือทำตาม Workaround ของผู้ผลิต

แต่เมื่อ Vendor ออก Security Update แล้ว สถานการณ์เปลี่ยนทันที

เพราะนอกจากฝ่ายป้องกันจะรู้วิธีแก้แล้ว ผู้โจมตีจำนวนมากก็อาจเริ่มศึกษา Vulnerability
และพัฒนา Exploit เพิ่มขึ้นเช่นกัน

Microsoft
ชี้ว่าระบบที่ไม่ได้อัปเดตสามารถกลายเป็นเป้าหมายของช่องโหว่ที่ได้รับการแก้ไขไปแล้ว
และผู้โจมตีไม่ได้ใช้เฉพาะ Zero-day เท่านั้น แต่ยังโจมตีผ่านช่องโหว่เก่าที่องค์กรยังไม่ได้
Patch ด้วย

ความเสี่ยงไม่ได้มีเฉพาะ Unknown Zero-day

ดังนั้นสิ่งที่น่ากังวลไม่ได้มีแค่ “Unknown Zero-day” แต่รวมถึง “Known
Vulnerability ที่มี Patch แล้ว แต่เรายังไม่ได้ติดตั้ง” ด้วย

คนทั่วไปป้องกัน Zero-day ได้อย่างไร?

เราไม่สามารถ Patch ช่องโหว่ที่ยังไม่มีใครรู้จักได้โดยตรง
แต่สามารถทำให้เครื่องและบัญชีของเราเป็นเป้าหมายที่โจมตียากขึ้น
รวมถึงลดความเสียหายหากเกิดเหตุขึ้นได้

มาตรการพื้นฐานสำหรับผู้ใช้งาน

สิ่งสำคัญคือ เปิด Automatic Update สำหรับระบบปฏิบัติการ Browser และ
Application, ใช้ Multi-Factor Authentication (MFA), สำรองข้อมูลสำคัญ,
ลบ Software และ Browser Extension ที่ไม่ได้ใช้งาน
และระมัดระวังไฟล์แนบหรือลิงก์ที่ไม่รู้จัก

และเมื่อ Apple, Microsoft, Google หรือผู้ผลิตอุปกรณ์ที่เราใช้งานประกาศ Emergency
Security Update หรือแจ้งว่ามีช่องโหว่ที่กำลังถูก Exploit อยู่จริง
ควรตรวจสอบคำแนะนำของผู้ผลิตและอัปเดตตามความเหมาะสมโดยเร็ว

แล้วองค์กรควรรับมืออย่างไร?

สำหรับองค์กร โดยเฉพาะโรงพยาบาล ธนาคาร หน่วยงานรัฐ หรือธุรกิจที่มี Critical
Infrastructure การมีเพียงระบบ Automatic Update อาจไม่เพียงพอ

องค์กรควรมี Asset Inventory ที่ตอบได้ว่า Software และ Version
ใดติดตั้งอยู่ที่เครื่องหรือ Server ใด มีระบบ Vulnerability Management และ Patch
Management รวมถึง EDR/XDR, SIEM และ Threat Intelligence
สำหรับตรวจหาพฤติกรรมผิดปกติ

กระบวนการรับมือ Zero-day สำหรับองค์กร

เมื่อมี Zero-day ใหม่ ทีม Security ควรสามารถทำกระบวนการประมาณนี้ได้อย่างรวดเร็ว:

Incident & Patch Response Workflow

Alert → Identify affected assets → Assess exposure → Apply mitigation
→ Patch/Test → Deploy → Monitor → Verify

สำหรับระบบสำคัญ การ “รีบ Patch” ไม่ได้หมายถึงการกด Update
ทุกเครื่องทันทีโดยไม่ตรวจสอบ เพราะ Patch เองอาจกระทบ Application หรือ Business
Service ได้

การ Deploy Patch สำหรับระบบสำคัญ

แนวทางที่เหมาะสมคือ เร่งประเมินความเสี่ยง เร่งทดสอบ และเร่ง Deploy
ตามระดับความสำคัญของระบบ พร้อมใช้ Compensating Controls ในช่วงที่ยังไม่สามารถ
Patch ได้

หมายเหตุด้าน Operational Risk

สำหรับระบบสำคัญ ควรพิจารณาผลกระทบต่อ Application และ Business Service
ควบคู่กับความเร่งด่วนด้าน Security

Zero-day กับ Known Exploited Vulnerability ไม่เหมือนกัน

อีกเรื่องที่ควรรู้คือ Zero-day ไม่ได้เท่ากับช่องโหว่ที่อันตรายที่สุดเสมอไป

ในทางปฏิบัติ ทีม Security ต้องพิจารณาด้วยว่า Vulnerability นั้น
กำลังถูกใช้โจมตีจริงหรือไม่

ช่องโหว่บางตัวอาจเพิ่งค้นพบและไม่มีหลักฐานการโจมตี ขณะที่ช่องโหว่อีกตัวอาจมี Patch
มาหลายเดือนแล้ว แต่ผู้โจมตียังคงใช้โจมตีองค์กรที่ไม่ได้อัปเดตอยู่

ปัจจัยสำหรับจัดลำดับความสำคัญของ Patch

ดังนั้นการจัดลำดับ Patch ไม่ควรดูเพียงคำว่า Zero-day หรือคะแนน Severity
อย่างเดียว แต่ควรดูทั้ง Exploitability, Active Exploitation, Internet
Exposure, Asset Criticality และ Business Impact

สรุป: Zero-day ไม่ใช่วันสิ้นโลก แต่ไม่ควรนิ่งนอนใจ

Zero-day คือสถานการณ์ที่มีช่องโหว่ซึ่งฝ่ายป้องกันอาจยังไม่รู้จักหรือยังไม่มี Patch
อย่างเป็นทางการ และอาจถูกผู้โจมตีนำไปใช้ประโยชน์ได้

จำง่าย ๆ

Zero-day Vulnerability = ช่องโหว่

Zero-day Exploit = วิธีเจาะช่องโหว่

Zero-day Attack = การนำไปโจมตีจริง

สิ่งที่องค์กรและผู้ใช้งานควรทำจึงไม่ใช่การกลัวคำว่า Zero-day แต่คือการสร้าง Cyber
Resilience ให้พร้อมอยู่เสมอ

เพราะเราอาจไม่สามารถรู้ล่วงหน้าว่า “ประตูลับ” บานต่อไปอยู่ตรงไหน

แต่เราสามารถทำให้ระบบของเรา อัปเดตเร็ว ตรวจจับเร็ว จำกัดความเสียหายได้เร็ว
และฟื้นตัวได้เร็วกว่าเดิม

และนั่นคือเหตุผลว่า ทำไมเมื่อมีประกาศช่องโหว่สำคัญและ Patch ออกมา คน IT
ถึงต้องรีบถามทันทีว่า

“ระบบเราได้รับผลกระทบไหม และ Patch แล้วหรือยัง?”

เกี่ยวกับผู้เขียน

อาจารย์ปรเมศร์ เพียรสกุล ผู้เชี่ยวชาญด้านความมั่นคงปลอดภัยไซเบอร์ (Cybersecurity) ปัญญาประดิษฐ์ (Artificial Intelligence: AI) และการวิเคราะห์ข้อมูลเชิงกลยุทธ์ ปัจจุบันดำรงตำแหน่งประธานเจ้าหน้าที่บริหาร (Chief Executive Officer: CEO) และผู้ก่อตั้ง บริษัท อินเทลลิเจนท์ ดาต้า อนาไลติก จำกัด โดยมุ่งพัฒนาและประยุกต์ใช้เทคโนโลยี เพื่อเปลี่ยนข้อมูลให้เป็นข่าวกรองที่เชื่อถือได้สำหรับการตัดสินใจของผู้บริหารและองค์กรอย่างมีประสิทธิภาพและยั่งยืน