สรุปสั้น

บริษัท Google และ Mozilla ต่างปล่อยอัปเดตใหม่ให้เบราว์เซอร์ Chrome 150 และ Firefox 152 เพื่อแก้ไขช่องโหว่ระดับวิกฤตหลายรายการ โดยฝั่ง Mozilla ปล่อย Firefox 152.0.6 พร้อมแพตช์ช่องโหว่ร้ายแรง 2 รายการ และเตือนว่ามีโค้ดสำหรับโจมตี (Exploit Code) เผยแพร่สู่สาธารณะแล้วทั้งคู่ ช่องโหว่ดังกล่าวถูกติดตามในรหัส CVE-2026-15718 และ CVE-2026-15719 โดยรายการแรกเป็นปัญหาพอยน์เตอร์ไม่ถูกต้อง (Invalid Pointer) ในองค์ประกอบ JavaScript ส่วน WebAssembly ส่วนอีกรายการเป็นปัญหาการแยกไซต์ (Site Isolation) ในองค์ประกอบ DOM ส่วน Navigation อย่างไรก็ตาม Mozilla ระบุว่าแม้จะทราบว่ามีโค้ดโจมตีเผยแพร่ต่อสาธารณะ แต่ยังไม่พบการโจมตีจริงในโลกภายนอกที่ใช้ช่องโหว่เหล่านี้

ทางฝั่ง Google แก้ไขช่องโหว่ 15 รายการในอัปเดต Chrome ล่าสุด รวมถึงช่องโหว่ Use-After-Free ระดับวิกฤต 2 รายการในองค์ประกอบ Ozone ที่ติดตามในรหัส CVE-2026-15764 และ CVE-2026-15765 นอกจากนี้ยังแก้ช่องโหว่ระดับสูงอีก 12 รายการที่กระจายอยู่ในหลายองค์ประกอบ ทั้ง Skia, Libyuv, HTML-in-Canvas, V8, Media, GPU และส่วนติดต่อผู้ใช้ โดยมีเพียง 3 รายการเท่านั้นที่ถูกรายงานโดยนักวิจัยภายนอก ส่วนที่เหลือ Google ค้นพบเอง Google ยังไม่ระบุว่ามีช่องโหว่ใดถูกใช้โจมตีจริง แม้จะยังไม่มีการโจมตี แต่การที่ Firefox มีโค้ดโจมตีเผยแพร่แล้วทำให้ผู้ใช้ทุกคนควรรีบอัปเดตเบราว์เซอร์โดยเร็วที่สุด

รายละเอียดข่าว

เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 15 กรกฎาคม 2569 ว่า Google และ Mozilla ได้ปล่อยอัปเดตความปลอดภัยรอบใหม่ให้เบราว์เซอร์ของตน โดย Mozilla ให้ความสำคัญเป็นพิเศษกับช่องโหว่สองรายการใน Firefox 152.0.6 เพราะมีโค้ดโจมตีเปิดเผยต่อสาธารณะแล้ว ทำให้ความเสี่ยงที่ผู้ไม่หวังดีจะนำไปใช้เพิ่มสูงขึ้นอย่างมีนัยสำคัญ Mozilla ระบุข้อความเตือนเหมือนกันสำหรับช่องโหว่ทั้งสองว่า “เราทราบว่ามีโค้ดโจมตีสำหรับช่องโหว่นี้เปิดเผยต่อสาธารณะ อย่างไรก็ตามเรายังไม่ทราบถึงการโจมตีจริงใดๆ ที่ใช้ช่องโหว่นี้”

สำหรับ Chrome เวอร์ชันล่าสุดกำลังทยอยปล่อยเป็นเวอร์ชัน 150.0.7871.124/.125 สำหรับ Windows และ macOS และเวอร์ชัน 150.0.7871.124 สำหรับ Linux โดย Google ยังไม่เปิดเผยจำนวนเงินรางวัลจากโครงการ Bug Bounty ที่จ่ายให้นักวิจัยที่รายงานช่องโหว่ ทั้งนี้อัปเดตของเบราว์เซอร์ทั้งสองรายเป็นส่วนหนึ่งของคลื่นการแก้ไขช่องโหว่ครั้งใหญ่ในช่วงกลางเดือนกรกฎาคม 2569 ที่มาพร้อมกับการปล่อยแพตช์จำนวนมากจากผู้ผลิตหลายราย ทั้ง Microsoft, Adobe และ VMware

ช่องโหว่ Use-After-Free และ Invalid Pointer ที่พบในเบราว์เซอร์รอบนี้เป็นชนิดที่ผู้โจมตีมักใช้ประโยชน์ได้ผ่านหน้าเว็บที่ออกแบบมาเป็นพิเศษ กล่าวคือเพียงแค่เหยื่อเปิดเว็บไซต์อันตรายด้วยเบราว์เซอร์ที่มีช่องโหว่ ก็อาจนำไปสู่การรันโค้ดหรือหลบเลี่ยงกลไกความปลอดภัยได้ ยิ่งเมื่อโค้ดโจมตีของ Firefox ถูกเผยแพร่ต่อสาธารณะแล้ว ช่วงเวลาที่ผู้ใช้ยังไม่อัปเดตจึงกลายเป็นหน้าต่างความเสี่ยงที่ผู้ไม่หวังดีสามารถฉวยโอกาสได้

รายละเอียดช่องโหว่

ช่องโหว่ที่น่ากังวลที่สุดในรอบนี้คือคู่ของ Firefox ได้แก่ CVE-2026-15718 ซึ่งเป็น Invalid Pointer ในส่วน JavaScript: WebAssembly ที่เกี่ยวข้องกับการประมวลผลโค้ด WebAssembly ในเบราว์เซอร์ และ CVE-2026-15719 ซึ่งเป็นปัญหา Site Isolation ในส่วน DOM: Navigation กลไก Site Isolation มีไว้เพื่อแยกเนื้อหาจากเว็บไซต์ต่างๆ ออกจากกันไม่ให้เข้าถึงข้อมูลของกันและกัน ดังนั้นช่องโหว่ในส่วนนี้จึงอาจเปิดทางให้เว็บไซต์อันตรายเข้าถึงข้อมูลข้ามไซต์ได้ ทั้งสองช่องโหว่มีโค้ดโจมตีเผยแพร่แล้วจึงถือว่าเร่งด่วน

ทางฝั่ง Chrome ช่องโหว่ระดับวิกฤต CVE-2026-15764 และ CVE-2026-15765 เป็นชนิด Use-After-Free ในองค์ประกอบ Ozone ซึ่งเป็นชั้นจัดการการแสดงผลและอุปกรณ์นำเข้าของ Chrome ช่องโหว่ Use-After-Free เกิดจากการที่โปรแกรมใช้งานหน่วยความจำที่ถูกปล่อยคืนไปแล้ว ซึ่งผู้โจมตีสามารถควบคุมเพื่อรันโค้ดได้ ส่วนช่องโหว่ระดับสูงอีก 12 รายการครอบคลุมปัญหาหลากหลาย ทั้งการใช้ค่าที่ยังไม่ได้กำหนดค่า (Uninitialized Use), Heap Buffer Overflow, การบังคับใช้นโยบายไม่เพียงพอ และการตรวจสอบข้อมูลนำเข้าที่ไม่น่าเชื่อถือไม่เพียงพอ

ผลกระทบต่อไทย

เบราว์เซอร์ Chrome และ Firefox เป็นเครื่องมือที่ผู้ใช้ในไทยใช้งานกันแทบทุกคน ทั้งในระดับองค์กรและผู้ใช้ทั่วไป การที่ Firefox มีช่องโหว่ที่โค้ดโจมตีถูกเผยแพร่ต่อสาธารณะแล้วถือเป็นความเสี่ยงที่จับต้องได้ เพราะผู้โจมตีสามารถนำโค้ดนั้นไปดัดแปลงและสร้างเว็บไซต์ดักโจมตีผู้ที่ยังไม่อัปเดตได้ทันที องค์กรไทยที่บริหารจัดการเครื่องพนักงานจำนวนมากควรเร่งผลักดันการอัปเดตเบราว์เซอร์ผ่านระบบจัดการส่วนกลาง ขณะที่ผู้ใช้ทั่วไปควรตรวจสอบให้แน่ใจว่าเบราว์เซอร์ของตนอัปเดตเป็นเวอร์ชันล่าสุด เนื่องจากการโจมตีผ่านเบราว์เซอร์มักเริ่มจากการหลอกให้เหยื่อเข้าเว็บไซต์เพียงหน้าเดียวเท่านั้น

คำแนะนำ

ผู้ใช้ควรอัปเดต Firefox เป็นเวอร์ชัน 152.0.6 และ Chrome เป็นเวอร์ชัน 150.0.7871.124/.125 โดยเร็วที่สุด โดยเฉพาะ Firefox ที่มีโค้ดโจมตีเผยแพร่แล้วจึงควรถือเป็นลำดับความสำคัญเร่งด่วน การอัปเดตทำได้โดยเปิดเมนูของเบราว์เซอร์แล้วเข้าไปที่ส่วน “เกี่ยวกับ” (About) ซึ่งเบราว์เซอร์จะตรวจสอบและติดตั้งเวอร์ชันล่าสุดให้อัตโนมัติ จากนั้นรีสตาร์ตเบราว์เซอร์เพื่อให้การอัปเดตมีผล สำหรับองค์กรควรใช้ระบบบริหารจัดการเบราว์เซอร์ส่วนกลางเพื่อบังคับอัปเดตให้ครอบคลุมทุกเครื่องอย่างรวดเร็ว และควรเปิดใช้การอัปเดตอัตโนมัติไว้เสมอเพื่อลดช่วงเวลาที่เครื่องมีช่องโหว่

แหล่งอ้างอิง