การอัปเดตสะสมสําหรับ Windows 10 เวอร์ชัน 1511: 9 สิงหาคม 2559

นำไปใช้กับ
Windows 10, version 1511, all editions

สิ่งสําคัญ บทความนี้มีข้อมูลที่แสดงวิธีช่วยลดการตั้งค่าความปลอดภัย หรือวิธีการปิดคุณลักษณะความปลอดภัยบนคอมพิวเตอร์ คุณสามารถทําการเปลี่ยนแปลงเหล่านี้เพื่อแก้ไขปัญหาเฉพาะ ก่อนที่คุณจะทําการเปลี่ยนแปลงเหล่านี้ เราขอแนะนําให้คุณประเมินความเสี่ยงที่เกี่ยวข้องกับการใช้วิธีแก้ไขปัญหาชั่วคราวนี้ในสภาพแวดล้อมเฉพาะของคุณ ถ้าคุณใช้การแก้ไขปัญหาชั่วคราวนี้ ให้ทําตามขั้นตอนเพิ่มเติมที่เหมาะสมเพื่อช่วยปกป้องคอมพิวเตอร์

สรุป

การอัปเดตความปลอดภัยนี้รวมถึงการปรับปรุงและแก้ไขฟังก์ชันการทํางานของ Windows 10 เวอร์ชัน 1511 นอกจากนี้ยังแก้ไขช่องโหว่ต่อไปนี้ใน Windows:

  • 3177356 MS16-095: การอัปเดตความปลอดภัยแบบสะสมสําหรับ Internet Explorer: 9 สิงหาคม 2016
  • 3177358 MS16-096: การอัปเดตความปลอดภัยแบบสะสมสําหรับ Microsoft Edge: 9 สิงหาคม 2016
  • 3177393 MS16-097: การอัปเดตความปลอดภัยสําหรับคอมโพเนนต์กราฟิกของ Microsoft: 9 สิงหาคม 2016
  • 3178466 MS16-098: การอัปเดตความปลอดภัยสําหรับโปรแกรมควบคุมโหมดเคอร์เนล: 9 สิงหาคม 2016
  • 3178465 MS16-101: การอัปเดตความปลอดภัยสําหรับวิธีการรับรองความถูกต้องของ Windows: 9 สิงหาคม 2016
  • 3182248 MS16-102: การอัปเดตความปลอดภัยสําหรับไลบรารี PDF ของ Microsoft Windows: 9 สิงหาคม 2016
  • 3182332 MS16-103: การอัปเดตความปลอดภัยสําหรับ ActiveSyncProvider: 9 สิงหาคม 2016

การอัปเดต Windows 10 เป็นแบบสะสม ดังนั้น แพคเกจนี้จึงมีการแก้ไขที่ออกมาก่อนหน้านี้ทั้งหมด

หากคุณได้ติดตั้งการอัปเดตก่อนหน้านี้ จะมีเพียงการแก้ไขใหม่ที่อยู่ในแพคเกจนี้เท่านั้นที่จะได้รับการดาวน์โหลดและติดตั้งในคอมพิวเตอร์ของคุณ หากคุณกําลังติดตั้งแพคเกจการอัปเดต Windows 10 เป็นครั้งแรก แพคเกจสําหรับเวอร์ชัน x86 คือ 502 MB และแพคเกจสําหรับเวอร์ชัน x64 คือ 916 MB

ข้อมูลเพิ่มเติม

ปัญหาที่ทราบในแพคเกจโปรแกรมปรับปรุงความปลอดภัยนี้

  • ปัญหาที่ทราบ 1

    การอัปเดตความปลอดภัยที่มีอยู่ใน MS16-101 และการอัปเดตที่ใหม่กว่าจะปิดใช้งานความสามารถของกระบวนการ Negotiate เพื่อกลับไปใช้ NTLM เมื่อการรับรองความถูกต้อง Kerberos ล้มเหลวในการดําเนินการเปลี่ยนรหัสผ่านที่มีรหัสข้อผิดพลาด STATUS_NO_LOGON_SERVERS (0xc000005e) ในสถานการณ์นี้ คุณอาจได้รับรหัสข้อผิดพลาดอย่างใดอย่างหนึ่งต่อไปนี้

    เลขฐานสิบหก Decimal สัญลักษณ์ เป็นมิตร
    0xc0000388 1073740920 STATUS_DOWNGRADE_DETECTED ระบบตรวจพบความพยายามที่อาจจะประนีประนอมความปลอดภัย โปรดตรวจสอบให้แน่ใจว่า คุณสามารถติดต่อเซิร์ฟเวอร์ที่รับรองความถูกต้องให้คุณได้
    0x4f1 1265 ERROR_DOWNGRADE_DETECTED ระบบตรวจพบความพยายามที่อาจจะประนีประนอมความปลอดภัย โปรดตรวจสอบให้แน่ใจว่า คุณสามารถติดต่อเซิร์ฟเวอร์ที่รับรองความถูกต้องให้คุณได้

    วิธีแก้ไขปัญหาชั่วคราว

    หากการเปลี่ยนแปลงรหัสผ่านที่ประสบความสําเร็จก่อนหน้านี้ล้มเหลวหลังจากการติดตั้ง MS16-101 อาจเป็นไปได้ว่าก่อนหน้านี้การเปลี่ยนรหัสผ่านจะใช้ NTLM แทนเนื่องจาก Kerberos ล้มเหลว เมื่อต้องการเปลี่ยนรหัสผ่านได้สําเร็จโดยใช้โพรโทคอล Kerberos ให้ทําตามขั้นตอนต่อไปนี้:

    1. กําหนดค่าการสื่อสารแบบเปิดบน TCP พอร์ต 464 ระหว่างไคลเอ็นต์ที่มีการติดตั้ง MS16-101 และตัวควบคุมโดเมนที่ให้บริการตั้งค่ารหัสผ่านใหม่

      ตัวควบคุมโดเมนแบบอ่านอย่างเดียว (RODC) สามารถให้บริการรีเซ็ตรหัสผ่านแบบบริการตนเองได้ ถ้าผู้ใช้ได้รับอนุญาตจากนโยบายการจําลองแบบรหัสผ่านของ RODC ผู้ใช้ที่ไม่ได้รับอนุญาตโดยนโยบายรหัสผ่าน RODC จําเป็นต้องเชื่อมต่อเครือข่ายกับตัวควบคุมโดเมนแบบอ่าน/เขียน (RWDC) ในโดเมนบัญชีผู้ใช้

      หมายเหตุ เมื่อต้องการตรวจสอบว่าพอร์ต TCP 464 เปิดอยู่หรือไม่ ให้ทําตามขั้นตอนเหล่านี้:

      1. สร้างตัวกรองการแสดงผลที่เทียบเท่ากันสําหรับตัวแยกวิเคราะห์จอภาพเครือข่ายของคุณ ตัวอย่างเช่น

        ipv4.address== <ที่อยู่ IP ของไคลเอ็นต์> && tcp.port==464

      2. ในผลลัพธ์ ให้มองหาเฟรม "TCP:[SynReTransmit"

        สรุปเฟรมการตรวจสอบกระบวนการแสดงเหตุการณ์ TCP ที่มีค่าสถานะ checksum ไม่ดี

    2. ตรวจสอบให้แน่ใจว่าชื่อ Kerberos เป้าหมายถูกต้อง (ที่อยู่ IP ไม่ถูกต้องสําหรับโพรโทคอล Kerberos Kerberos รองรับชื่อแบบสั้นและชื่อโดเมนแบบเต็ม)

    3. ตรวจสอบให้แน่ใจว่าได้ลงทะเบียนชื่อบริการหลัก (SPN) อย่างถูกต้อง

      สําหรับข้อมูลเพิ่มเติม โปรดดู Kerberos และรีเซ็ตรหัสผ่าน Self-Service

  • ปัญหาที่ทราบ 2

    เราทราบเกี่ยวกับปัญหาที่การรีเซ็ตรหัสผ่านทางโปรแกรมของบัญชีผู้ใช้โดเมนล้มเหลว และส่งคืนรหัสข้อผิดพลาด STATUS_DOWNGRADE_DETECTED (0x800704F1) หากความล้มเหลวที่คาดไว้เกิดขึ้นอย่างใดอย่างหนึ่งต่อไปนี้:

    • ERROR_INVALID_PASSWORD
    • ERROR_PWD_TOO_SHORT (ไม่ค่อยส่งคืน)
    • STATUS_WRONG_PASSWORD
    • STATUS_PASSWORD_RESTRICTION

    ตารางต่อไปนี้แสดงการแมปข้อผิดพลาดแบบเต็ม

    เลขฐานสิบหก Decimal สัญลักษณ์ เป็นมิตร
    0x56 86 ERROR_INVALID_PASSWORD รหัสผ่านเครือข่ายที่ระบุไม่ถูกต้อง
    0x267 615 ERROR_PWD_TOO_SHORT รหัสผ่านที่ให้ไว้สั้นเกินไปเพื่อให้เป็นไปตามนโยบายของบัญชีผู้ใช้ของคุณ โปรดระบุรหัสผ่านที่ยาวขึ้น
    0xc000006a -1073741718 STATUS_WRONG_PASSWORD เมื่อคุณพยายามอัปเดตรหัสผ่าน สถานะการส่งคืนนี้จะระบุว่า ค่าที่ระบุเป็นรหัสผ่านปัจจุบันไม่ถูกต้อง
    0xc000006c -1073741716 STATUS_PASSWORD_RESTRICTION เมื่อคุณพยายามอัปเดตรหัสผ่าน สถานะการส่งคืนนี้จะระบุว่ามีการละเมิดกฎการอัปเดตรหัสผ่านบางอย่าง ตัวอย่างเช่น รหัสผ่านอาจไม่ตรงกับเกณฑ์ความยาว
    0x800704F1 1265 STATUS_DOWNGRADE_DETECTED ระบบไม่สามารถติดต่อตัวควบคุมโดเมนเพื่อให้บริการคําขอการรับรองความถูกต้องได้ โปรดลองใหม่อีกครั้งในภายหลัง
    0xc0000388 -1073740920 STATUS_DOWNGRADE_DETECTED ระบบไม่สามารถติดต่อตัวควบคุมโดเมนเพื่อให้บริการคําขอการรับรองความถูกต้องได้ โปรดลองใหม่อีกครั้งในภายหลัง

     การแก้ปัญหา

    MS16-101 ได้รับการเผยแพร่ใหม่อีกครั้งเพื่อแก้ไขปัญหานี้ ติดตั้งการอัปเดตเวอร์ชันล่าสุดสําหรับกระดานข่าวนี้เพื่อแก้ไขปัญหานี้

  • ปัญหาที่ทราบ 3

    เราทราบเกี่ยวกับปัญหาที่การรีเซ็ตทางโปรแกรมของการเปลี่ยนแปลงรหัสผ่านบัญชีผู้ใช้ภายในเครื่องอาจล้มเหลว และส่งคืนรหัสข้อผิดพลาด STATUS_DOWNGRADE_DETECTED (0x800704F1)

    ตารางต่อไปนี้แสดงการแมปข้อผิดพลาดแบบเต็ม

    เลขฐานสิบหก Decimal สัญลักษณ์ เป็นมิตร
    0x4f1 1265 ERROR_DOWNGRADE_DETECTED ระบบไม่สามารถติดต่อตัวควบคุมโดเมนเพื่อให้บริการคําขอการรับรองความถูกต้องได้ โปรดลองใหม่อีกครั้งในภายหลัง

     การแก้ปัญหา

    MS16-101 ได้รับการเผยแพร่ใหม่อีกครั้งเพื่อแก้ไขปัญหานี้ ติดตั้งการอัปเดตเวอร์ชันล่าสุดสําหรับกระดานข่าวนี้เพื่อแก้ไขปัญหานี้

  • ปัญหาที่ทราบ 4

    รหัสผ่านสําหรับบัญชีผู้ใช้ที่ถูกปิดใช้งานและถูกล็อกไม่สามารถเปลี่ยนแปลงได้โดยใช้แพคเกจ Negotiate

    การเปลี่ยนแปลงรหัสผ่านสําหรับบัญชีที่ถูกปิดใช้งานและถูกล็อกจะยังคงใช้งานได้เมื่อใช้วิธีอื่น เช่น เมื่อใช้การดําเนินการปรับเปลี่ยน LDAP โดยตรง ตัวอย่างเช่น PowerShell cmdlet Set-ADAccountPassword ใช้การดําเนินการ "ปรับเปลี่ยน LDAP" เพื่อเปลี่ยนรหัสผ่านและยังคงไม่ได้รับผลกระทบ

    วิธีแก้ไขปัญหาชั่วคราว

    บัญชีเหล่านี้ต้องการให้ผู้ดูแลระบบรีเซ็ตรหัสผ่าน ลักษณะการทํางานนี้เกิดขึ้นหลังจากที่คุณติดตั้ง MS16-101 และการแก้ไขที่ใหม่กว่า

  • ปัญหาที่ทราบ 5

    แอปพลิเคชันที่ใช้ NetUserChangePassword API และที่ผ่าน servername ในพารามิเตอร์ domainname จะไม่ทํางานหลังจากติดตั้งการอัปเดต MS16-101 และรุ่นที่ใหม่กว่า

    เอกสารของ Microsoft ระบุว่าสนับสนุนการแสดงชื่อเซิร์ฟเวอร์ระยะไกลในพารามิเตอร์ domainname ของฟังก์ชัน NetUserChangePassword ตัวอย่างเช่น หัวข้อ MSDN ของ ฟังก์ชัน NetUserChangePassword จะระบุดังต่อไปนี้

    domainname [in]

    ตัวชี้ไปยังสตริงค่าคงที่ที่ระบุชื่อ DNS หรือ NetBIOS ของเซิร์ฟเวอร์ระยะไกลหรือโดเมนที่จะดําเนินการฟังก์ชัน ถ้าพารามิเตอร์นี้เป็น NULL โดเมนการเข้าสู่ระบบของผู้เรียกเข้าจะถูกใช้ อย่างไรก็ตาม คําแนะนํานี้ถูกแทนที่ด้วย MS16-101 เว้นแต่ว่าจะเป็นการรีเซ็ตรหัสผ่านสําหรับบัญชีภายในเครื่องคอมพิวเตอร์ภายใน หลัง MS16-101 เพื่อให้การเปลี่ยนแปลงรหัสผ่านผู้ใช้โดเมนทํางานได้ คุณต้องส่งผ่านชื่อโดเมน DNS ที่ถูกต้องไปยัง NetUserChangePassword API

  • ปัญหาที่ทราบ 6

      หลังจากที่คุณใช้การอัปเดตความปลอดภัยนี้และคุณพิมพ์เอกสารหลายฉบับติดต่อกัน เอกสารสองฉบับแรกอาจพิมพ์ได้สําเร็จ อย่างไรก็ตาม เอกสารที่สามและเอกสารที่ตามมาอาจไม่สามารถพิมพ์ออกมาได้

    เมื่อต้องการแก้ไขปัญหานี้ ให้ดาวน์โหลด 3186988 การอัปเดตจากเว็บไซต์ Microsoft Update Catalog

    ปัญหานี้ได้รับการแก้ไขแล้วในประกาศด้านความปลอดภัยของ Microsoft MS16-106

  • ปัญหาที่ทราบ 7

    หลังจากที่คุณติดตั้งการอัปเดตความปลอดภัยที่อธิบายไว้ใน MS16-101 การเปลี่ยนแปลงทางโปรแกรมระยะไกลของรหัสผ่านบัญชีผู้ใช้ภายในเครื่อง และการเปลี่ยนรหัสผ่านในฟอเรสต์ที่ไม่น่าเชื่อถือจะล้มเหลว

    การดําเนินการนี้ล้มเหลวเนื่องจากการดําเนินการใช้การสนับสนุนย้อนกลับ NTLM ซึ่งไม่ได้รับการสนับสนุนสําหรับบัญชีที่ไม่ใช่ภายในเครื่องอีกต่อไปหลังจากติดตั้ง MS16-101

    จะมีรายการรีจิสทรีที่คุณสามารถใช้เพื่อปิดใช้งานการเปลี่ยนแปลงนี้

    คําเตือน: การแก้ไขปัญหาชั่วคราวนี้อาจทําให้คอมพิวเตอร์หรือเครือข่ายมีความเสี่ยงต่อการโจมตีโดยผู้ใช้ที่เป็นอันตรายหรือซอฟต์แวร์ที่เป็นอันตราย เช่น ไวรัส เราไม่แนะนําให้ใช้วิธีแก้ไขปัญหาชั่วคราวนี้ แต่จะให้ข้อมูลนี้เพื่อให้คุณสามารถนําวิธีแก้ไขปัญหาชั่วคราวนี้ไปใช้ตามดุลพินิจของคุณเอง ใช้วิธีแก้ไขปัญหาชั่วคราวนี้ แต่คุณต้องรับความเสี่ยงที่อาจเกิดขึ้นด้วยตนเอง

    สิ่งสําคัญส่วน เมธอด หรืองานนี้มีขั้นตอนที่บอกให้คุณทราบวิธีการปรับเปลี่ยนรีจิสทรี แต่ปัญหาร้ายแรงอาจเกิดขึ้นถ้าคุณปรับเปลี่ยนรีจิสทรีอย่างไม่ถูกต้อง ดังนั้นโปรดตรวจสอบให้แน่ใจว่าคุณทำตามขั้นตอนเหล่านี้อย่างระมัดระวัง สำหรับการป้องกันที่เพิ่มขึ้น สำรองข้อมูลรีจิสทรีก่อนที่คุณจะปรับเปลี่ยน จากนั้นคุณสามารถคืนค่ารีจิสทรีถ้ามีปัญหาเกิดขึ้น สําหรับข้อมูลเพิ่มเติมเกี่ยวกับวิธีการสํารองข้อมูลและคืนค่ารีจิสทรี ให้คลิกหมายเลขบทความต่อไปนี้เพื่อดูบทความใน Microsoft Knowledge Base:
    322756 วิธีการสํารองข้อมูลและคืนค่ารีจิสทรีใน Windows

    เมื่อต้องการปิดใช้งานการเปลี่ยนแปลงนี้ ให้ตั้งค่ารายการ DWORD NegoAllowNtlmPwdChangeFallback ให้ใช้ค่า 1 (หนึ่ง)

    สําคัญ: การตั้งค่ารายการรีจิสทรี NegoAllowNtlmPwdChangeFallback เป็นค่า 1 จะปิดใช้งานการแก้ไขความปลอดภัยนี้:

    ค่ารีจิสทรี คำอธิบาย
    0 ค่าเริ่มต้น การป้องกันการย้อนกลับ
    1 อนุญาตให้ใช้ทางเลือกได้เสมอ การแก้ไขความปลอดภัยปิดใช้งานอยู่ ลูกค้าที่พบปัญหาเกี่ยวกับบัญชีภายในระยะไกลหรือสถานการณ์ฟอเรสต์ที่ไม่น่าเชื่อถือสามารถตั้งค่ารีจิสทรีเป็นค่านี้ได้

    เมื่อต้องการเพิ่มค่ารีจิสทรีเหล่านี้ ให้ทําตามขั้นตอนต่อไปนี้:

    1. คลิก เริ่มต้น คลิก เรียกใช้ พิมพ์ regedit ในกล่อง เปิด แล้วคลิก ตกลง

    2. ระบุตำแหน่งแล้วคลิกซับคีย์ต่อไปนี้ในรีจิสทรี:

      HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa

    3. บนเมนู แก้ไข ให้ชี้ไปที่ ใหม่ แล้วคลิก ค่า DWORD

    4. พิมพ์ NegoAllowNtlmPwdChangeFallback เป็นชื่อของ DWORD แล้วกด ENTER

    5. คลิกขวาที่ NegoAllowNtlmPwdChangeFallback แล้วคลิก ปรับเปลี่ยน

    6. ในกล่อง ข้อมูลค่า ให้พิมพ์ 1 เพื่อปิดใช้งานการเปลี่ยนแปลงนี้ แล้วคลิก ตกลง

      หมายเหตุ เมื่อต้องการคืนค่าค่าเริ่มต้น ให้พิมพ์ 0 (ศูนย์) แล้วคลิก ตกลง

    สถานะ

    สาเหตุหลักของปัญหานี้เข้าใจอยู่แล้ว บทความนี้จะได้รับการอัปเดตพร้อมรายละเอียดเพิ่มเติมเมื่อพร้อมใช้งาน

วิธีรับการอัปเดตนี้

สิ่งสําคัญ หากคุณติดตั้งแพคภาษาหลังจากที่คุณติดตั้งการอัปเดตนี้ คุณต้องติดตั้งการอัปเดตนี้ใหม่ ดังนั้น เราขอแนะนําให้คุณติดตั้งชุดภาษาใดๆ ที่คุณต้องการก่อนที่คุณจะติดตั้งการอัปเดตนี้ สําหรับข้อมูลเพิ่มเติม ให้ดู เพิ่มชุดภาษาลงใน Windows

วิธีที่ 1: Windows Update

ดาวน์โหลดและติดตั้งการอัปเดตนี้โดยอัตโนมัติ

วิธีที่ 2: Microsoft Update Catalog

เมื่อต้องการขอรับแพคเกจสแตนด์อโลนสำหรับการอัปเดตนี้ ให้ไปที่เว็บไซต์ Microsoft Update Catalog

ข้อกำหนดเบื้องต้น

ไม่มีข้อกำหนดเบื้องต้นสำหรับการติดตั้งการอัปเดตนี้

ข้อมูลการเริ่มระบบใหม่

คุณต้องรีสตาร์ตคอมพิวเตอร์หลังจากที่คุณนำการอัปเดตนี้ไปใช้

ข้อมูลการแทนที่การอัปเดต

การอัปเดตนี้แทนการอัปเดตที่ออกมาก่อนหน้านี้ 3172985

ข้อมูลไฟล์

สําหรับลิสต์ของไฟล์ที่ระบุในการอัปเดตแบบสะสมนี้ ให้ดาวน์โหลดข้อมูลไฟล์สําหรับการอัปเดตแบบสะสม 3176493

การอ้างอิง

เรียนรู้เกี่ยวกับคำศัพท์ที่ Microsoft ใช้เพื่ออธิบายการอัปเดตซอฟต์แวร์