Tหลังจากการอัปเดต Windows ล่าสุด ผู้ดูแลระบบและผู้ใช้จำนวนมากตรวจพบ carpeta Inetpub ที่รากของไดรฟ์ C เหตุการณ์นี้ก่อให้เกิดความปั่นป่วนอย่างมาก จน Microsoft ต้องเผยแพร่วิธีแก้ไขอย่างเป็นทางการเพื่อกู้คืนไฟล์ที่ถูกลบไป: สคริปต์อย่างเป็นทางการเพื่อคืนค่าโฟลเดอร์ inetpub
ประเด็นคือ: แม้ว่าสำหรับหลายๆ คน โฟลเดอร์ inetpub จะไม่มีความหมายนอกเว็บเซิร์ฟเวอร์ก็ตาม การหายไปของพวกเขาอาจทำให้ระบบมีความเสี่ยงต่อความปลอดภัยที่ร้ายแรงอย่างไรก็ตาม การขาดการสื่อสารของ Microsoft เมื่อปรับใช้บนคอมพิวเตอร์ที่ไม่ได้ติดตั้ง IIS (Internet Information Services) ถือเป็นปัจจัยสำคัญที่สุดที่ทำให้เกิดความสับสนและความวุ่นวายตามมา ผู้ใช้ลบโปรแกรมออกทันที เกิดข้อสงสัยเกี่ยวกับความถูกต้อง และเกิดคำถามเกี่ยวกับผลกระทบที่แท้จริงต่อความปลอดภัยของ Windows
เหตุใดโฟลเดอร์ inetpub จึงปรากฏขึ้นหลังจากการอัปเดต Windows
โฟลเดอร์ inetpub มีมานานหลายทศวรรษแล้ว ไดเรกทอรีที่ต้องการสำหรับไฟล์และทรัพยากรของ IIS ซึ่งเป็นเว็บเซิร์ฟเวอร์ชื่อดังที่รวมเข้ากับ Windowsอย่างไรก็ตาม ความประหลาดใจเกิดขึ้นเมื่อหลังจากที่มีการเผยแพร่แพตช์ความปลอดภัยในเดือนเมษายน 2025 โฟลเดอร์นี้เริ่มปรากฏขึ้นแม้ในระบบที่ไม่เคยเปิดใช้งาน IIS มาก่อน
สิ่งที่น่าวิตกกังวลที่สุด: โฟลเดอร์นี้มักจะว่างเปล่า และสำหรับคนส่วนใหญ่แล้ว ก็ไม่มีประโยชน์อะไรเลย แพตช์ที่เกี่ยวข้อง (เช่น KB5055523) กระตุ้นให้มีการสร้างแพตช์โดยอัตโนมัติ ทำให้หลายคนเชื่อว่าแพตช์ดังกล่าวอาจเกิดจากการอัปเดตที่ล้มเหลว การอัปเดตที่ไม่จำเป็น หรือในกรณีที่เลวร้ายที่สุด อาจเกิดจากปัญหาความปลอดภัยที่ไม่ได้รับการบันทึกไว้
เหตุใดจึงเกิดเหตุการณ์เช่นนี้ Microsoft ได้เปิดตัวโฟลเดอร์ Inetpub เป็นส่วนหนึ่งของกลยุทธ์ในการบรรเทาความเสี่ยงที่กล่าวถึงข้างต้น ซึ่งเกี่ยวข้องกับการจัดการลิงก์สัญลักษณ์ที่ไม่เหมาะสมในสแต็ก Windows Update การมีอยู่ของ inetpub (พร้อมการอนุญาตที่ถูกต้อง) ถือเป็นกุญแจสำคัญในการปกป้องระบบจากการยกระดับสิทธิ์ที่อาจเกิดขึ้น
การไม่มีข้อมูลอย่างเป็นทางการในบันทึกการอัปเดตทำให้ปัญหาบานปลาย หลายคนเลือกที่จะลบโฟลเดอร์ดังกล่าวโดยถือว่าไม่เป็นอันตราย ซึ่งในความเป็นจริงแล้วอาจทำให้ระบบของพวกเขาไม่ได้รับการปกป้องจากการพยายามใช้ประโยชน์จากช่องโหว่ที่แก้ไขแล้ว
การลบ inetpub ปลอดภัยไหม? จริงๆ แล้วมีไว้เพื่ออะไร?
คำตอบที่ตรงไปตรงมาที่สุดก็คือ ไม่ควรลบโฟลเดอร์ inetpubแม้ว่าระบบของคุณจะไม่ได้เปิดใช้งาน IIS หรือคุณไม่ได้ใช้ IIS เพื่อโฮสต์เว็บไซต์ก็ตาม Microsoft ได้ออกมาชี้แจงเรื่องนี้อย่างตรงไปตรงมาในการสื่อสารครั้งล่าสุด โดยระบุว่าโฟลเดอร์และการกำหนดค่าเป็นส่วนหนึ่งของการเปลี่ยนแปลงที่นำมาใช้เพื่อเสริมสร้างความปลอดภัยของระบบปฏิบัติการ
ประเด็นสำคัญของเรื่องนี้คือ ช่องโหว่ CVE-2025-21204ซึ่งส่งผลต่อวิธีที่ Windows Update จัดการกับลิงก์สัญลักษณ์ ผู้โจมตีภายในที่มีสิทธิ์จำกัดสามารถจัดการระบบผ่านลิงก์เหล่านี้ และอาจดำเนินการสำคัญในรูปแบบ SYSTEM ซึ่งการสร้างโฟลเดอร์ inetpub (และรายการควบคุมการเข้าถึง หรือ ACL) ที่เกี่ยวข้องจะช่วยบรรเทาผลกระทบได้
การลบ inetpub ออกสามารถย้อนกลับผลของแพตช์ความปลอดภัยได้ ทำให้คอมพิวเตอร์มีความเสี่ยง.
จะเกิดอะไรขึ้นหากถูกลบโดยไม่ได้ตั้งใจ และเหตุใดจึงไม่เพียงพอที่จะสร้างใหม่ด้วยตนเอง
การลบโฟลเดอร์ inetpub มักจะไม่ทำให้เกิดความล้มเหลวทันที ในความเป็นจริง ระบบอาจจะยังดูเหมือนทำงานได้ปกติ อย่างไรก็ตาม เมื่อติดตั้งการอัปเดตในอนาคตหรือพยายามใช้ประโยชน์จากช่องโหว่ที่ครอบคลุมโดยแพตช์ ระบบอาจไม่ได้รับการป้องกัน
ผู้เชี่ยวชาญและเอกสารอย่างเป็นทางการบางรายได้เตือนว่าหากคุณสร้างโฟลเดอร์ inetpub ใหม่ ระบบจะไม่รู้จักสิทธิ์และเจ้าของที่ถูกต้อง ระบบจำเป็นต้องมีการกำหนดค่า ACL เฉพาะเพื่อให้โฟลเดอร์ทำงานได้อย่างถูกต้อง มิฉะนั้น สิ่งนี้อาจบล็อกการติดตั้งแพตช์ในอนาคตหรือทำให้เกิดข้อผิดพลาดในการเข้าถึงได้
นอกจากนี้ ยังมีหลักฐานที่แสดงว่าผู้ใช้ที่ไม่มีสิทธิ์ของผู้ดูแลระบบอาจละเมิดการไม่มี inetpub (หรือกำหนดค่าไม่ถูกต้อง) เพื่อทำลายการอัปเดตหรือแก้ไขไฟล์ที่ละเอียดอ่อน ส่งผลให้ความเสี่ยงในการปฏิบัติงานของเซิร์ฟเวอร์หรือคอมพิวเตอร์ที่ได้รับผลกระทบเพิ่มขึ้น
วิธีแก้ปัญหาของ Microsoft: วิธีการคืนค่า INETPUB ด้วยสคริปต์อย่างเป็นทางการ
ตระหนักถึงความสับสนและปัญหาที่เกิดขึ้น ในที่สุด Microsoft ก็ได้เปิดตัว สคริปต์ PowerShell อย่างเป็นทางการเพื่อคืนค่าโฟลเดอร์ inetpub และตรวจสอบให้แน่ใจว่าคุณมี ACL และการตั้งค่าการอนุญาตที่ถูกต้องกลับคืนมาโดยไม่ต้องเปิดใช้งาน IIS (ซึ่งช่วยลดการติดตั้งส่วนประกอบที่ไม่จำเป็นบนระบบที่ไม่จำเป็นต้องใช้เว็บเซิร์ฟเวอร์)
สำหรับผู้ดูแลระบบและผู้ใช้ขั้นสูง นี่เป็นโซลูชันด้านความปลอดภัยที่เรียบง่าย รวดเร็ว และเป็นแนวทางปฏิบัติที่ดีที่สุด:
- สคริปต์จะสร้างโฟลเดอร์ inetpub ใน C: หากไม่มี และใช้สิทธิ์อนุญาตเฉพาะที่จำเป็นในการปกป้องระบบจากช่องโหว่ CVE-2025-21204
- อัปเดตรายการควบคุมการเข้าถึง (ACL) ของโฟลเดอร์ที่เกี่ยวข้องอื่น ๆ หากจำเป็น เป็น DeviceHealthAtestation บนเซิร์ฟเวอร์ Windows
- ไม่จำเป็นต้องติดตั้ง IIS ใหม่ หรือดำเนินการกำหนดค่าเพิ่มเติม: การดำเนินการนี้จะเกิดขึ้นทันทีและสามารถย้อนกลับได้ในกรณีที่เกิดข้อผิดพลาด
ขั้นตอนที่แนะนำจะเป็นดังต่อไปนี้:
- เปิด PowerShell ในฐานะผู้ดูแลระบบ
- อนุญาตให้ดำเนินการสคริปต์ชั่วคราวโดย:
ตั้งค่า ExecutionPolicy - กระบวนการขอบเขต - บายพาส ExecutionPolicy - ติดตั้งสคริปต์อย่างเป็นทางการด้วย:
ติดตั้งสคริปต์ - ชื่อ Set-InetpubFolderAcl - บังคับ - หาก PowerShell แจ้งให้คุณติดตั้งผู้ให้บริการ NuGet ให้ยอมรับและทำซ้ำคำสั่ง
- เรียกใช้สคริปต์ที่ดาวน์โหลดด้วย:
ตั้งค่า InetpubFolderAcl
หากคุณไม่รู้จักคำสั่งนี้ คุณสามารถรันได้โดยป้อนเส้นทางเต็มไปยังไฟล์ .ps1 ที่สร้างขึ้น (โดยปกติคือ C:\Program Files\WindowsPowerShell\Scripts\Set-InetpubFolderAcl.ps1)
ฉันควรทำอย่างไรหากไม่ต้องการติดตั้ง IIS และต้องการเพียง inetpub เท่านั้น?
หลังจากอ่านคำแนะนำเบื้องต้นของ Microsoft หลายคนคิดว่าการติดตั้ง IIS ใหม่เป็นทางออกเดียว ปัญหาคือ สำหรับผู้ที่ไม่ได้ทำงานกับเว็บเซิร์ฟเวอร์ นี่หมายถึงการติดตั้งส่วนประกอบที่ไม่จำเป็นและทิ้งไฟล์ส่วนเกินไว้ในระบบ
ข้อดีของสคริปต์อย่างเป็นทางการก็คือ ช่วยให้คุณสามารถคืนค่า inetpub ได้โดยไม่ต้องติดตั้ง IIS และการอ้างอิงของมัน. วิธีนี้จะปลอดภัยกว่า เร็วกว่า และสะอาดกว่า โดยเฉพาะบนคอมพิวเตอร์ของผู้ใช้หรือเซิร์ฟเวอร์ที่ไม่จำเป็นต้องใช้บริการเว็บที่ใช้งานอยู่
ในทางกลับกัน หากคุณต้องการดำเนินการด้วยตนเองโดยเปิดใช้งาน IIS (แผงควบคุม > คุณลักษณะของ Windows > เปิดหรือปิดคุณลักษณะของ Windows) ระบบจะสร้างโฟลเดอร์และใช้สิทธิ์อนุญาต แต่จะเพิ่มบริการอื่นๆ ที่คุณจะต้องลบออกในภายหลังหากไม่ต้องการใช้
inetpub มีนัยสำคัญอื่นใดต่อความปลอดภัยทางไซเบอร์อีกหรือไม่
การจัดการโฟลเดอร์นี้ที่ไม่ดีอาจส่งผลที่ไม่คาดคิดได้ ตัวอย่างเช่น ผู้เชี่ยวชาญได้แสดงให้เห็นว่าผู้ใช้ที่ไม่มีสิทธิพิเศษสามารถสร้างการเชื่อมต่อเชิงสัญลักษณ์ (ทางแยก) ระหว่าง inetpub และไฟล์ระบบอื่น ๆ โดยใช้ประโยชน์จากการกำหนดค่าที่ผิดพลาดเพื่อบล็อกการติดตั้งการอัปเดตหรือแม้กระทั่งทำให้ไฟล์สำคัญเสียหายได้
ซึ่งหมายความว่าแม้ว่ามันอาจดูเหมือนแค่ 'โฟลเดอร์เปล่า' แต่จริงๆ แล้วมันเป็น มันทำหน้าที่เป็นจุดตรวจสอบความปลอดภัย และการไม่มีหรือการกำหนดค่าที่ไม่ดีอาจก่อให้เกิดความเสี่ยงสูงต่อทีมทั้งหมดได้.
ดังนั้นจึงมีความสำคัญที่จะไม่ลบมันออกไป 'ในกรณีที่จำเป็น' และปฏิบัติตามขั้นตอนอย่างเป็นทางการเพื่อคืนมันกลับมาหากมันหายไป
ประสบการณ์กับ inetpub แสดงให้เห็นว่าไดเร็กทอรีที่เรียบง่ายสามารถสร้างความแตกต่างระหว่างระบบที่ได้รับการปกป้องและระบบที่มีความเสี่ยงได้อย่างไร และการตอบสนองของชุมชนและโซลูชันอัตโนมัติมีความสำคัญอย่างยิ่งยวดเมื่อการสื่อสารระหว่างสถาบันล้มเหลว การใช้สคริปต์อย่างเป็นทางการจะช่วยกู้คืนระบบให้กลับสู่สถานะเดิม แต่ยังเน้นย้ำถึงความสำคัญของการทำความเข้าใจบทบาทของแต่ละองค์ประกอบในระบบรักษาความปลอดภัยของ Windows