Windows Deployment Services (WDS) Hands-Free Deployment Hardening Guidance ที่เกี่ยวข้องกับ CVE-2026-0386

ในบทความนี้

• บทนำ

• บทสรุป

• ไทม์ไลน์ของการเปลี่ยนแปลง

• ดำเนิน

• การบันทึกเหตุการณ์

• สรุปขั้นตอนการดําเนินการ (มกราคม – เมษายน 2026)

บทนำ

Windows Deployment Services (WDS) สนับสนุนการปรับใช้บนเครือข่ายของระบบปฏิบัติการ Windows คุณลักษณะที่ใช้กันทั่วไป เช่น การปรับใช้แบบแฮนด์ฟรี จะขึ้นอยู่กับไฟล์ Unattend.xml (หรือที่เรียกว่าไฟล์คําตอบ) เพื่อติดตั้งหน้าจอโดยอัตโนมัติ รวมถึงข้อมูลประจําตัว

บทสรุป

ไฟล์ unattend.xml ก่อให้เกิดช่องโหว่เมื่อส่งผ่านช่องสัญญาณ RPC ที่ไม่ผ่านการตรวจสอบสิทธิ์ ช่องโหว่นี้อาจเปิดเผยข้อมูลที่ละเอียดอ่อนและทําให้เกิดความเสี่ยงต่อการถูกขโมยข้อมูลประจําตัวหรือการดําเนินการโค้ดจากระยะไกล

ผู้โจมตีบนเครือข่ายเดียวกันอาจดักจับไฟล์ ซึ่งอาจเป็นอันตรายต่อข้อมูลประจําตัวหรือดําเนินการกับรหัสที่เป็นอันตราย

เพื่อลดช่องโหว่นี้และเพิ่มความปลอดภัย Microsoft จะเอาการสนับสนุนสําหรับการปรับใช้แบบแฮนด์ฟรีออกผ่านช่องทางที่ไม่ปลอดภัยตามค่าเริ่มต้น

สําหรับข้อมูลเพิ่มเติมเกี่ยวกับช่องโหว่ ดู CVE-2026-0386

ไทม์ไลน์ของการเปลี่ยนแปลง

Microsoft จะทยอยเปิดตัวการเปลี่ยนแปลงการชุบแข็งในสองขั้นตอน

ขั้นที่ 1 (13 มกราคม 2026): การปรับใช้แฮนด์ฟรียังคงได้รับการสนับสนุนและสามารถปิดใช้งานอย่างชัดเจนเพื่อปรับปรุงความปลอดภัย

• มีการแจ้งเตือนบันทึกเหตุการณ์

• ตัวเลือกรีจิสทรีคีย์มีให้เลือกโหมดที่ปลอดภัยหรือไม่ปลอดภัย

ขั้นที่ 2 (เมษายน 2026): การปรับใช้แบบแฮนด์ฟรีถูกปิดใช้งานตามค่าเริ่มต้น แต่สามารถเปิดใช้งานใหม่ได้ หากจําเป็น ด้วยการทําความเข้าใจเกี่ยวกับความเสี่ยงด้านความปลอดภัยที่เกี่ยวข้อง

• ลักษณะการทํางานเริ่มต้นเปลี่ยนแปลงไปเป็นปลอดภัยตามค่าเริ่มต้น

• การปรับใช้แบบแฮนด์ฟรีจะไม่ทํางานอีกต่อไป เว้นแต่จะมีการแทนที่ด้วยการตั้งค่ารีจิสทรีอย่างชัดเจน

ดำเนิน

ในส่วนนี้:

• ขั้นที่ 1: 13 มกราคม 2026

  • ตัวเลือกที่ 1: เปิดใช้งานลักษณะการทํางานที่ปลอดภัย

  • ตัวเลือกที่ 2: ดําเนินการปรับใช้แบบแฮนด์ฟรีต่อ (ไม่ปลอดภัย)

  • ตัวเลือกและลักษณะการทํางานของรีจิสทรีคีย์

• ขั้นที่ 2: เมษายน 2026

การบันทึกเหตุการณ์

มีการเพิ่มเหตุการณ์ใหม่เพื่อช่วยผู้ดูแลระบบตรวจสอบลักษณะการทํางานของการปรับใช้

เหตุการณ์ต่อไปนี้จะถูกบันทึกในบันทึก Microsoft-Windows-Deployment-Services-Diagnostics/Debug :

โหมดปลอดภัย

 หมายเหตุ คําเตือนนี้จะถูกทริกเกอร์เมื่อมีการร้องขอ unattend.xml โดยไม่มีช่องทางที่ปลอดภัย 

โหมดที่ไม่ปลอดภัย

ข้อผิดพลาดนี้ถูกทริกเกอร์เมื่อมีการสอบถาม unattend.xml อย่างไม่ปลอดภัยหรือเมื่อ WDS เริ่มทํางาน

สรุปขั้นตอนการดําเนินการ (มกราคม – เมษายน 2026) 

• ตรวจสอบการกําหนดค่า WDS ของคุณและระบุการใช้งาน unattend.xml

• ใช้รีจิสทรีคีย์ที่แนะนํา (AllowHandsFreeDeployment=0) เพื่อบังคับใช้การปรับใช้ที่ปลอดภัย

• ตรวจสอบตัวแสดงเหตุการณ์สําหรับคําเตือนหรือข้อผิดพลาดที่เกี่ยวข้องกับการเข้าถึง unattend.xml

• เตรียมพร้อมสําหรับการเผยแพร่หลังจากการอัปเดตความปลอดภัยประจําเดือนเมษายน 2026 โดยการเอาความพึ่งพาในการปรับใช้แบบแฮนด์ฟรีออก

• ผู้ดูแลระบบสามารถแทนที่การกําหนดค่าความปลอดภัยตามค่าเริ่มต้นเพื่อให้การปรับใช้แฮนด์ฟรีทํางานต่อไปได้ แต่ไม่แนะนํา เราขอแนะนําให้ปิดใช้งานฟีเจอร์นี้เพื่อรักษาการกําหนดค่าที่ปลอดภัยและโยกย้ายไปยังวิธีการอื่น