สรุปสั้น

บริษัท Nebula Security เปิดเผยรายละเอียดช่องโหว่ CVE-2026-10702 ในตัวคอมไพเลอร์ just-in-time (JIT) ของ Firefox ซึ่งเปิดทางให้ผู้โจมตีรันโค้ดตามอำเภอใจภายในกระบวนการ renderer ของเบราว์เซอร์ได้ โดยเงื่อนไขการโจมตีต่ำมาก เพราะเพียงแค่เหยื่อเปิดหน้าเว็บที่ผู้โจมตีเตรียมไว้ก็เพียงพอ ไม่ต้องคลิกลิงก์เพิ่ม ไม่ต้องดาวน์โหลดไฟล์ และไม่ต้องเปลี่ยนการตั้งค่าใด ๆ บริษัท Mozilla จัดระดับความรุนแรงของบั๊กนี้ไว้ที่ High และออกแพตช์แก้ไขแล้วในเวอร์ชัน Firefox 151.0.3 ประเด็นที่ทำให้ข่าวนี้ถูกจับตาเป็นพิเศษคือ Tor Browser ซึ่งสร้างอยู่บนฐาน Firefox ก็ได้รับผลกระทบตามไปด้วยทุกรุ่นที่รวมเอาเวอร์ชัน Firefox ที่มีช่องโหว่เข้าไป แม้นักวิจัยจะยังไม่ได้ระบุชัดว่าเป็นรุ่นใดบ้าง

ในทางเทคนิค ช่องโหว่นี้เพียงตัวเดียวยังรันโค้ดได้แค่ภายในกระบวนการเนื้อหาที่ถูกแซนด์บ็อกซ์ไว้ แต่บริษัท Nebula Security ได้เผยแพร่โค้ดโจมตีสาธารณะและนำมันไปใช้เป็นขั้นตอนแรกของห่วงโซ่การโจมตีชื่อ IonStack ที่ไล่จากเบราว์เซอร์ไปจนถึงเคอร์เนลบนอุปกรณ์ ARM64 ที่ใช้ Android 17 โดยขั้นที่สองคือ CVE-2026-43499 ซึ่งเป็นช่องโหว่ futex ในเคอร์เนล Linux ที่นักวิจัยตั้งชื่อว่า GhostLock และใช้ยกสิทธิ์ขึ้นเป็น root ผลลัพธ์คือการเปิดหน้าเว็บหน้าเดียวสามารถนำไปสู่การยึดเครื่องได้เต็มรูปแบบบนบิลด์ที่รองรับ

The Hacker News ระบุว่า ณ วันที่ 28 กรกฎาคม 2569 หลักฐานชั้นต้นที่มีอยู่ยังไม่ยืนยันว่ามีการนำช่องโหว่นี้ไปโจมตีผู้ใช้จริงในวงกว้าง แต่เมื่อโค้ดโจมตีถูกเผยแพร่สู่สาธารณะแล้ว ช่วงเวลาระหว่าง “แพตช์ออก” กับ “ผู้ใช้อัปเดตจริง” คือหน้าต่างความเสี่ยงที่ผู้โจมตีมักฉวยใช้ ผู้ใช้ Firefox และ Tor Browser จึงควรอัปเดตเป็นเวอร์ชันล่าสุดทันที

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 29 กรกฎาคม 2569 ว่าบริษัท Nebula Security ได้เปิดเผยรายละเอียดของช่องโหว่ JIT ใน Firefox ที่ได้รับการแก้ไขไปแล้ว ซึ่งสามารถถูกกระตุ้นให้ทำงานได้เพียงแค่การเข้าเยี่ยมชมหน้าเว็บอันตราย และเคยถูกใช้เจาะ Tor Browser ด้วยเช่นกัน

นาย Eten Zou ประธานเจ้าหน้าที่บริหารของบริษัท Nebula Security ให้สัมภาษณ์กับ The Hacker News ว่า “ไม่จำเป็นต้องตั้งค่าอะไรหรือให้ผู้ใช้ทำอะไรเพิ่มเติมเลย การเข้าชมหน้าเว็บอันตรายก็เพียงพอที่จะกระตุ้นให้มันทำงาน” และเสริมว่า Tor Browser ทุกรุ่นที่รวมเอาเวอร์ชัน Firefox ที่มีช่องโหว่เข้าไปล้วนได้รับผลกระทบ แม้ทีมวิจัยจะยังไม่ได้ระบุเจาะจงว่าเป็น Tor รุ่นใดบ้าง

โค้ดโจมตีที่เผยแพร่สู่สาธารณะมีค่า offset ของ Firefox 151.0 สำหรับบิลด์ ARM64 บน Android 17 ที่ทีมวิจัยรองรับ นาย Eten Zou อธิบายว่าขั้นตอนการโจมตีแต่ละขั้นไม่ผูกกับสถาปัตยกรรมใดเป็นการเฉพาะ และเส้นทางบน x86 น่าจะเสถียรกว่าด้วยซ้ำ เพียงแต่บริษัท Nebula Security ยังไม่ได้ทำห่วงโซ่การโจมตีแบบครบวงจรสำหรับสถาปัตยกรรมนั้น

The Hacker News ยังไล่ย้อนประวัติซอร์สโค้ดของ Mozilla เพื่อหาที่มาของการประกาศ alias ที่ผิดพลาด และพบว่ามันถูกเพิ่มเข้ามาผ่าน Bug 1995077 ซึ่งลงใน Firefox เวอร์ชัน 147 โดยโค้ดส่วนที่มีปัญหายังปรากฏอยู่ใน Firefox 151.0.2 และหายไปแล้วใน 151.0.3 ทำให้ช่วงเวอร์ชัน stable ที่ได้รับผลกระทบอยู่ระหว่าง Firefox 147 ถึง 151.0.2 ส่วนคำแนะนำด้านความปลอดภัยของ Mozilla ไม่ได้ระบุถึงสาย ESR และตรวจสอบแล้วว่าโค้ดที่มีปัญหาไม่ปรากฏใน Firefox ESR 140.12

รายละเอียดช่องโหว่

ในการวิเคราะห์เชิงเทคนิค บริษัท Nebula Security ชี้ต้นตอไปที่ฟังก์ชัน MObjectToIterator เมื่อทำงานโดยตั้งค่า skipRegistration เป็น true คอมไพเลอร์ JIT ของ Firefox มีหน้าที่แปลงโค้ด JavaScript ที่ถูกเรียกใช้บ่อยให้กลายเป็นโค้ดเครื่อง และเพื่อให้การแปลงนั้นปลอดภัย มันจำเป็นต้องติดตามว่าปฏิบัติการใดบ้างที่มีโอกาสไปแตะต้องหน่วยความจำ ปัญหาคือ Firefox จัดประเภทปฏิบัติการนี้ว่าเป็นเพียงการ “อ่าน” ทั้งที่การ resolve คุณสมบัติแบบ lazy สามารถจองบัฟเฟอร์ dynamic slots ก้อนใหม่มาแทนที่ของเดิม แล้วปลดปล่อยก้อนเก่าทิ้งได้

ผลที่ตามมาคือกลไก global value numbering มองว่าการโหลดค่าจากบัฟเฟอร์ slots ในภายหลังเป็นการทำงานซ้ำซ้อน จึงนำพอยน์เตอร์ตัวเดิมกลับมาใช้ใหม่ทั้งที่พอยน์เตอร์นั้นค้างและไม่ถูกต้องแล้ว โค้ดโจมตีที่ทีมวิจัยเผยแพร่จะเข้าไปยึดพื้นที่หน่วยความจำที่ถูกปลดปล่อยไปแล้วกลับคืนมา รั่วค่าพอยน์เตอร์ของ hidden class สร้างอ็อบเจกต์ปลอมขึ้นมา แล้วบิดเบือนโครงสร้าง Uint8Array เพื่อให้ได้ความสามารถอ่านและเขียนหน่วยความจำตามอำเภอใจ จากนั้นบน Android โค้ดจะเปลี่ยนสิทธิ์การป้องกันหน่วยความจำและเปลี่ยนเส้นทาง entry point ของฟังก์ชัน WebAssembly ไปยังเชลล์โค้ด ARM64

จุดพลาดจึงอยู่ที่สัญญาเชิงตรรกะแคบ ๆ ของคอมไพเลอร์ นั่นคือปฏิบัติการที่มีความสามารถแทนที่บัฟเฟอร์ dynamic slots ของอ็อบเจกต์กลับถูกติดป้ายว่าเป็นการอ่านอย่างเดียว สัญญาที่ผิดพลาดนี้ทำให้ตรรกะการปรับแต่งประสิทธิภาพซึ่งโดยตัวมันเองถูกต้องอยู่แล้ว เก็บพอยน์เตอร์ที่ runtime ทำให้ใช้ไม่ได้ไปแล้วเอาไว้ต่อ ส่วนการแก้ไขระดับซอร์สโค้ดของ Mozilla คือถอดการจัดการ alias แบบอ่านอย่างเดียวออกจาก ObjectToIterator และปรับปฏิบัติการ iterator ที่เกี่ยวข้อง เพื่อไม่ให้ตัวปรับแต่งมองขั้นตอนที่สามารถเปลี่ยนแปลงหน่วยความจำได้ว่าเป็นการโหลดค่าธรรมดา

สำหรับขั้นที่สองของห่วงโซ่ IonStack คือ CVE-2026-43499 ช่องโหว่ futex ในเคอร์เนล Linux ที่ทีมวิจัยเรียกว่า GhostLock โดย CVE-2026-10702 ทำหน้าที่เปิดหัวสะพานจากระยะไกลผ่านเบราว์เซอร์ ส่วน GhostLock พาไปสู่สิทธิ์ root บนบิลด์ Android ที่รองรับ นาย Eten Zou ระบุว่า GhostLock ถูกเรียกใช้จาก Firefox ได้โดยตรง และแม้แซนด์บ็อกซ์ของ Android จะอ่อนกว่าจนทำให้โจมตีง่ายขึ้น แต่ทีมวิจัยก็ไม่เชื่อว่าแซนด์บ็อกซ์ที่แข็งแรงกว่าบนเดสก์ท็อปจะหยุดการโจมตีนี้ได้ และย้ำว่าการอัปเดต Firefox ปิดได้เฉพาะทางเข้าฝั่งเบราว์เซอร์ ไม่ได้แก้ตัว GhostLock แต่อย่างใด

ผลกระทบ

ช่องโหว่ที่ต้องการเพียง “เปิดหน้าเว็บ” คือรูปแบบที่อันตรายที่สุดสำหรับผู้ใช้ทั่วไป เพราะไม่มีขั้นตอนที่เหยื่อจะฉุกคิดหรือปฏิเสธได้ การโจมตีจึงสามารถแฝงมากับโฆษณาอันตราย ลิงก์ในอีเมลฟิชชิง เว็บที่ถูกยึด หรือแม้แต่ iframe บนหน้าเว็บที่ดูปกติ กลุ่มที่มีความเสี่ยงสูงเป็นพิเศษคือผู้ใช้ Tor Browser ซึ่งจำนวนมากใช้งานเพราะต้องการปกปิดตัวตน เช่น นักข่าว นักกิจกรรม หรือผู้ที่ทำงานในสภาพแวดล้อมที่มีความเสี่ยงทางการเมือง การถูกรันโค้ดในกระบวนการเบราว์เซอร์อาจนำไปสู่การเปิดเผยตัวตนจริงได้ ซึ่งเป็นผลกระทบที่รุนแรงกว่าการสูญเสียข้อมูลทั่วไป

ในมุมองค์กร ความเสี่ยงหลักอยู่ที่เครื่องปลายทางที่ไม่ได้ถูกบังคับอัปเดตอัตโนมัติ ทั้งเครื่องพนักงานที่ติดตั้ง Firefox เอง เครื่องในสายการผลิตหรือห้องแล็บที่ตรึงเวอร์ชันไว้ และอุปกรณ์ Android ที่บริษัทไม่ได้บริหารจัดการ เมื่อโค้ดโจมตีถูกเผยแพร่พร้อมรายละเอียดเชิงเทคนิคครบถ้วน ผู้โจมตีที่มีทรัพยากรระดับกลางก็สามารถดัดแปลงไปใช้กับสถาปัตยกรรมอื่นได้ในเวลาไม่นาน อีกประเด็นที่ต้องไม่มองข้ามคือ การอัปเดต Firefox แก้ได้เฉพาะขั้นแรกของห่วงโซ่ ส่วนช่องโหว่เคอร์เนล GhostLock ยังคงเป็นเครื่องมือยกสิทธิ์ที่ผู้โจมตีนำไปต่อกับทางเข้าอื่นได้อยู่

คำแนะนำ

  • อัปเดต Firefox เป็นเวอร์ชัน 151.0.3 ขึ้นไปทันที และตรวจสอบเครื่องที่ยังอยู่ในช่วงเวอร์ชัน 147 ถึง 151.0.2 ซึ่งได้รับผลกระทบทั้งหมด
  • ผู้ใช้ Tor Browser ควรอัปเดตเป็นรุ่นล่าสุดที่อ้างอิงฐาน Firefox ซึ่งแก้ไขแล้ว และหลีกเลี่ยงการใช้รุ่นเก่าที่ตรึงเวอร์ชันไว้จนกว่าจะอัปเดตเสร็จ
  • องค์กรที่ตรึงเวอร์ชันเบราว์เซอร์ไว้เพื่อความเข้ากันได้ของระบบภายใน ควรทบทวนนโยบายและเปิดการอัปเดตอัตโนมัติ หรืออย่างน้อยจัดรอบอัปเดตฉุกเฉินสำหรับช่องโหว่ระดับรันโค้ดจากระยะไกล
  • ตรวจสอบว่าเครื่องที่ใช้สาย Firefox ESR อยู่ในเวอร์ชัน 140.12 ขึ้นไป ซึ่งไม่มีโค้ดส่วนที่เป็นปัญหา และใช้เป็นทางเลือกสำหรับเครื่องที่ต้องการความเสถียร
  • สำหรับอุปกรณ์ Android ควรติดตามแพตช์ความปลอดภัยของเคอร์เนลที่แก้ CVE-2026-43499 เพิ่มเติม เพราะการอัปเดตเบราว์เซอร์อย่างเดียวไม่ได้ปิดช่องทางยกสิทธิ์
  • เสริมการเฝ้าระวังพฤติกรรมผิดปกติของกระบวนการเบราว์เซอร์บนเครื่องปลายทาง เช่น การสร้างกระบวนการลูกที่ไม่คาดคิด หรือการเชื่อมต่อออกไปยังปลายทางแปลกหน้าหลังเปิดหน้าเว็บ

แหล่งอ้างอิง