Microsoft เปลี่ยนเอนจิน JavaScript เก่า – ปิดช่องโหว่ที่หลงเหลือมานานกว่า 30 ปี ย้อนกลับไปตั้งแต่ยุค Internet Explorer 3.0 เมื่อเกือบ 30 ปีก่อน Microsoft ได้พัฒนา JScript ซึ่งเป็น dialect ของ JavaScript ที่ใช้ในเบราว์เซอร์และแอปพลิเคชันต่าง ๆ บน Windows แม้ว่า IE จะถูกยกเลิกไปแล้ว แต่ JScript กลับยังคงอยู่ในระบบ Windows รุ่นใหม่ ๆ และกลายเป็นช่องโหว่ด้านความปลอดภัยที่ยังไม่ได้รับการแก้ไขอย่างจริงจัง ล่าสุด Microsoft ประกาศว่าใน Windows 11 รุ่น 24H2 จะมีการเปลี่ยนเอนจิน JScript แบบเก่าไปใช้ JScript9Legacy ซึ่งเป็น runtime ใหม่ที่ปลอดภัยและทันสมัยกว่า โดยไม่ต้องให้ผู้ใช้ดำเนินการใด ๆ—ระบบจะเปลี่ยนให้อัตโนมัติ JScript9Legacy พัฒนาบนพื้นฐานของ Chakra engine ที่เคยใช้ใน Internet Explorer 9 และถูกออกแบบมาเพื่อ: - ปรับปรุงความปลอดภัยจากการโจมตีแบบ cross-site scripting (XSS) - เพิ่มประสิทธิภาพในการจัดการ JavaScript objects - ใช้นโยบายการรันสคริปต์ที่เข้มงวดขึ้น Microsoft ระบุว่าแม้จะไม่มีผลกระทบต่อการทำงานของสคริปต์เดิม แต่ก็เปิดทางให้ผู้ใช้ระดับองค์กรสามารถ rollback กลับไปใช้ JScript เดิมได้ หากมีความจำเป็น โดยต้องติดต่อผ่าน Windows Services Hub ✅ ข้อมูลจากข่าว - Microsoft เปลี่ยนจาก JScript engine แบบเก่าไปใช้ JScript9Legacy ใน Windows 11 รุ่น 24H2 - JScript9Legacy พัฒนาบน Chakra engine ที่เคยใช้ใน IE9 - ระบบจะเปลี่ยนให้อัตโนมัติ ไม่ต้องให้ผู้ใช้ดำเนินการเอง - เอนจินใหม่มีการปรับปรุงด้านความปลอดภัย เช่น ป้องกัน XSS และจัดการ object ได้ดีขึ้น - Microsoft ยังคงออกอัปเดตด้านความปลอดภัยรายเดือนสำหรับสคริปต์ - ผู้ใช้ระดับองค์กรสามารถขอ rollback กลับไปใช้ JScript เดิมได้ผ่าน Windows Services Hub ‼️ คำเตือนและข้อควรระวัง - แม้จะไม่มีผลกระทบที่คาดการณ์ไว้ แต่ Microsoft ยอมรับว่าอาจมีปัญหาความเข้ากันได้กับสคริปต์เดิมบางประเภท - การใช้ JScript engine แบบเก่าในระบบที่ยังไม่ได้อัปเดต อาจเสี่ยงต่อการถูกโจมตีผ่านช่องโหว่ที่รู้จักแล้ว - ผู้ดูแลระบบควรตรวจสอบสคริปต์ที่ใช้งานอยู่เพื่อให้แน่ใจว่าเข้ากันได้กับ JScript9Legacy - การ rollback กลับไปใช้ JScript เดิมควรทำด้วยความระมัดระวัง และเฉพาะในกรณีที่จำเป็นจริง ๆ - นักพัฒนาและองค์กรควรเริ่มวางแผนย้ายออกจาก JScript ไปใช้มาตรฐาน JavaScript สมัยใหม่ที่ปลอดภัยกว่า https://www.techspot.com/news/108625-microsoft-replaced-legacy-javascript-engine-improve-security-windows.html