สรุปสั้น

บริษัท Google ปล่อยอัปเดต Chrome 151 ชุดใหม่เมื่อวันพฤหัสบดีที่ผ่านมา เพื่อปิดช่องโหว่ระดับวิกฤตและระดับสูงรวม 41 รายการ โดยกว่าสองโหลในจำนวนนี้เป็นบั๊กด้านความปลอดภัยของหน่วยความจำ ซึ่งอาจนำไปสู่ข้อมูลเสียหาย โปรแกรมล่ม และการรันโค้ดตามอำเภอใจ

ในจำนวนทั้งหมด มีช่องโหว่ระดับวิกฤต 6 รายการ ประกอบด้วยช่องโหว่ประเภท use-after-free 5 จุดในคอมโพเนนต์ WebGL, Aura, Skia และ Views กับช่องโหว่เขียนข้อมูลนอกขอบเขตหรือ out-of-bounds write อีก 1 จุดในเอนจินกราฟิก ANGLE โดย Google ให้เครดิตนักวิจัยภายนอกสำหรับช่องโหว่ WebGL 2 รายการ แต่ยังไม่ได้ระบุเงินรางวัลที่จะจ่าย ส่วนอีก 4 รายการที่เหลือเป็นผลการค้นพบของ Google เอง

ช่องโหว่ที่เหลืออีก 35 รายการเป็นระดับสูงทั้งหมด ในจำนวนนี้ Google ค้นพบเอง 25 รายการ และให้เครดิตนักวิจัยภายนอกอีก 10 รายการ แต่เปิดเผยเงินรางวัลเพียง 2 รายการที่จ่ายรายการละ 500 ดอลลาร์สหรัฐ อัปเดตนี้ทยอยปล่อยเป็นเวอร์ชัน 151.0.7922.108 และ .109 สำหรับ Windows และ macOS และเวอร์ชัน 151.0.7922.108 สำหรับ Linux ทั้งนี้ Google ไม่ได้ระบุว่ามีช่องโหว่ใดถูกนำไปใช้โจมตีจริง แต่แนะนำให้ผู้ใช้อัปเดตเบราว์เซอร์โดยเร็วที่สุด

รายละเอียดข่าว

เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 7 สิงหาคม 2569 ว่า Google ปล่อยอัปเดต Chrome 151 ชุดล่าสุดออกมาในวันพฤหัสบดี โดยเป็นการแก้ช่องโหว่ระดับวิกฤตและระดับสูงรวมกัน 41 รายการ ซึ่งเป็นจำนวนที่น้อยกว่าอัปเดตหลายรอบก่อนหน้าของเบราว์เซอร์ตัวนี้

โครงสร้างของรอบแพตช์นี้สะท้อนภาพเดิมที่พบในเบราว์เซอร์สมัยใหม่ คือช่องโหว่ส่วนใหญ่ไม่ได้เกิดจากตรรกะทางธุรกิจ แต่เกิดจากการจัดการหน่วยความจำในโค้ดที่เขียนด้วยภาษา C++ โดยจากทั้งหมด 35 รายการระดับสูง มี 24 รายการที่จัดอยู่ในกลุ่มบั๊กความปลอดภัยหน่วยความจำ ทั้ง use-after-free, buffer overflow, การเขียนนอกขอบเขต และการใช้ตัวแปรที่ยังไม่ถูกกำหนดค่า

ส่วนช่องโหว่ที่เหลือกระจายอยู่ในกลุ่มการตรวจสอบข้อมูลนำเข้าที่ไม่น่าเชื่อถืออย่างไม่เพียงพอ การพัฒนาที่ไม่เหมาะสม สภาวะแข่งขันหรือ race condition และการล้นของจำนวนเต็มหรือ integer overflow

SecurityWeek ยังตั้งข้อสังเกตเชิงวิเคราะห์ว่า แม้อัปเดตรอบนี้จะมีจำนวนการแก้ไขไม่มากเท่ารอบก่อน ๆ แต่ก็สะท้อนว่าการที่ Google นำ AI มาใช้ช่วยผลักให้จังหวะการออกแพตช์เร็วขึ้น ทั้งนี้ต้องระบุให้ชัดว่านี่เป็นการประเมินของสื่อ ไม่ใช่คำแถลงจาก Google และประกาศทางการของ Chrome Releases ไม่ได้ให้ตัวเลขหรือรายละเอียดสนับสนุนข้อสังเกตนี้

รายละเอียดช่องโหว่

ช่องโหว่ระดับวิกฤตทั้ง 6 รายการอยู่ในส่วนที่เกี่ยวข้องกับการเรนเดอร์ภาพและอินเทอร์เฟซของเบราว์เซอร์เป็นหลัก ซึ่งเป็นพื้นผิวการโจมตีที่เข้าถึงได้จากเนื้อหาเว็บโดยตรง WebGL เป็นส่วนที่ให้หน้าเว็บสั่งประมวลผลกราฟิกสามมิติผ่านการ์ดจอ Skia คือไลบรารีวาดภาพสองมิติ ส่วน Aura และ Views คือชั้นที่รับผิดชอบหน้าต่างและองค์ประกอบส่วนติดต่อผู้ใช้ของ Chrome ขณะที่ ANGLE ทำหน้าที่แปลงคำสั่งกราฟิกไปยัง API ของระบบปฏิบัติการแต่ละตัว

ช่องโหว่ประเภท use-after-free เกิดเมื่อโปรแกรมยังอ้างอิงพื้นที่หน่วยความจำที่ถูกคืนไปแล้ว ทำให้ผู้โจมตีที่ควบคุมสิ่งที่ถูกจัดสรรลงในพื้นที่นั้นต่อ สามารถบิดเบือนการทำงานของโปรแกรมและในหลายกรณีนำไปสู่การรันโค้ดได้ ส่วน out-of-bounds write คือการเขียนข้อมูลเลยขอบเขตบัฟเฟอร์ที่จองไว้ ซึ่งใช้ทับโครงสร้างข้อมูลข้างเคียงเพื่อควบคุมการทำงานได้เช่นกัน จุดที่ทำให้กลุ่มนี้ถูกจัดเป็นวิกฤตคือมันสามารถถูกกระตุ้นได้จากการเปิดหน้าเว็บที่ถูกสร้างขึ้นมาเป็นพิเศษ โดยผู้ใช้ไม่ต้องทำอะไรมากไปกว่าการเข้าชม

อย่างไรก็ตาม รายงานนี้ไม่ได้ระบุหมายเลข CVE ของช่องโหว่แต่ละรายการ ไม่มีรายละเอียดเชิงเทคนิคของบั๊กแต่ละตัว และไม่มีโค้ดสาธิตการโจมตีเผยแพร่ ซึ่งเป็นแนวปฏิบัติปกติของ Google ที่จะจำกัดการเข้าถึงรายละเอียดบั๊กไว้จนกว่าผู้ใช้ส่วนใหญ่จะได้รับอัปเดตแล้ว

ผลกระทบ

ผู้ที่ได้รับผลกระทบคือผู้ใช้ Chrome ทุกคนบน Windows, macOS และ Linux รวมถึงผู้ใช้เบราว์เซอร์ตระกูล Chromium อื่นที่ใช้ฐานโค้ดเดียวกัน เช่น Microsoft Edge, Brave, Opera และ Vivaldi ซึ่งมักได้รับแพตช์ตามหลังต้นทางไม่กี่วันถึงหนึ่งสัปดาห์ ในทางปฏิบัติจึงหมายความว่าช่วงเวลาระหว่างที่ Chrome ปล่อยแพตช์กับที่เบราว์เซอร์ปลายน้ำตามมาเป็นหน้าต่างความเสี่ยงเพิ่มเติมสำหรับองค์กรที่มาตรฐานคือเบราว์เซอร์ตัวอื่น

ในมุมความเสี่ยงจริง แม้ Google จะระบุว่าไม่มีช่องโหว่ใดถูกใช้โจมตีอยู่ในขณะนี้ แต่ประวัติของ Chrome แสดงชัดว่าเมื่อรายละเอียดบั๊กถูกเปิดเผยหลังผู้ใช้ส่วนใหญ่อัปเดตแล้ว ก็มักมีการสร้างโค้ดโจมตีตามมา ผู้ที่ยังไม่อัปเดตจึงเป็นกลุ่มที่ความเสี่ยงเพิ่มขึ้นตามเวลา ไม่ใช่ลดลง

สำหรับองค์กร ประเด็นที่มีน้ำหนักกว่าคือเบราว์เซอร์เป็นจุดที่เชื่อมระหว่างอินเทอร์เน็ตสาธารณะกับข้อมูลภายในโดยตรง การหลุดของ renderer แม้จะยังต้องต่อด้วยการหนีแซนด์บ็อกซ์ก่อนถึงจะควบคุมเครื่องได้เต็มที่ ก็เพียงพอที่จะเปิดทางเข้าถึงเนื้อหาในแท็บอื่น คุกกี้เซสชัน และข้อมูลที่ผู้ใช้กำลังทำงานอยู่

คำแนะนำ

ผู้ใช้ควรอัปเดต Chrome เป็นเวอร์ชัน 151.0.7922.108 หรือ .109 บน Windows และ macOS และเวอร์ชัน 151.0.7922.108 บน Linux โดยตรวจสอบได้ที่เมนู Help แล้วเลือก About Google Chrome ซึ่งจะเริ่มดาวน์โหลดอัตโนมัติ จากนั้น ต้องปิดและเปิดเบราว์เซอร์ใหม่ เพราะแพตช์จะยังไม่มีผลจนกว่าจะรีสตาร์ต ซึ่งเป็นจุดที่ผู้ใช้จำนวนมากพลาดเนื่องจากไม่ค่อยปิดเบราว์เซอร์

ผู้ดูแลระบบในองค์กรควรบังคับอัปเดตผ่านนโยบายกลุ่มหรือเครื่องมือจัดการอุปกรณ์ แทนการปล่อยให้ผู้ใช้อัปเดตเอง และควรตั้งการรายงานเวอร์ชันเบราว์เซอร์บนเครื่องปลายทาง เพื่อให้เห็นว่ายังมีเครื่องใดค้างอยู่ที่เวอร์ชันเก่า

องค์กรที่ใช้เบราว์เซอร์ตระกูล Chromium ตัวอื่นเป็นมาตรฐานควรติดตามประกาศของผู้ผลิตรายนั้นด้วย ไม่ควรถือว่าการที่ Chrome ออกแพตช์แล้วเท่ากับเบราว์เซอร์ที่ใช้อยู่ปลอดภัยแล้ว

ในระยะยาว ควรลดพื้นผิวการโจมตีของเบราว์เซอร์ด้วยการจำกัดส่วนขยายที่ติดตั้งได้ผ่าน allow list และประเมินการปิดฟีเจอร์ที่ไม่จำเป็นในสภาพแวดล้อมองค์กร เช่น WebGL บนเครื่องกลุ่มที่ไม่มีความจำเป็นต้องใช้งานกราฟิกสามมิติ เพราะช่องโหว่ระดับวิกฤตหลายรายการในรอบนี้อยู่ในส่วนดังกล่าวโดยตรง

แหล่งอ้างอิง