สรุปสั้น

Google ปล่อยอัปเดตความปลอดภัยเมื่อวันพฤหัสบดีเพื่อปิดช่องโหว่รวม 12 รายการในเบราว์เซอร์ Chrome ซึ่งหนึ่งในนั้นถูกนำไปใช้โจมตีจริงแล้วในธรรมชาติ โดยช่องโหว่ที่มีระดับความรุนแรงสูงตัวนี้ติดตามในรหัส CVE-2026-85046 มีคะแนน CVSS 8.8 และถูกอธิบายว่าเป็นบั๊กประเภท type confusion ในเอนจิน V8 ซึ่งเป็นเอนจินประมวลผลจาวาสคริปต์และเว็บแอสเซมบลีของ Chrome

คำอธิบายของช่องโหว่บนเว็บไซต์ CVE.org ระบุว่า “type confusion ใน V8 บน Google Chrome ก่อนเวอร์ชัน 152.0.7977.82 เปิดทางให้ผู้โจมตีจากระยะไกลรันโค้ดตามอำเภอใจภายในแซนด์บ็อกซ์ผ่านหน้า HTML ที่ปั้นขึ้นมาเป็นพิเศษ” กล่าวคือเพียงผู้ใช้เปิดหน้าเว็บที่ถูกเตรียมไว้ ผู้โจมตีก็มีโอกาสรันโค้ดในเครื่องเป้าหมายได้ แม้จะยังถูกจำกัดอยู่ในแซนด์บ็อกซ์ของเบราว์เซอร์ก็ตาม

การอัปเดตรอบนี้ทำให้ในปีนี้ Google ปิดช่องโหว่ zero-day ของ Chrome ที่ถูกนำไปใช้โจมตีจริงไปแล้วรวมหกรายการ ได้แก่ CVE-2026-2441, CVE-2026-3909, CVE-2026-3910, CVE-2026-5281, CVE-2026-11645 และรายการล่าสุดนี้ ต่อมาในวันที่ 4 กันยายน 2569 หน่วยงานความมั่นคงไซเบอร์และโครงสร้างพื้นฐานของสหรัฐฯ หรือ CISA ได้เพิ่ม CVE-2026-85046 เข้าแคตตาล็อกช่องโหว่ที่ถูกใช้โจมตีจริงหรือ KEV พร้อมกำหนดให้หน่วยงานฝ่ายบริหารพลเรือนของรัฐบาลกลางติดตั้งแพตช์ภายในวันที่ 18 กันยายน 2569

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 4 กันยายน 2569 ว่า Google เผยแพร่อัปเดตช่อง Stable สำหรับเดสก์ท็อปที่ปิดช่องโหว่ 12 รายการ โดยรายการที่ได้รับความสนใจมากที่สุดคือช่องโหว่ในเอนจิน V8 ที่มีการโจมตีจริงเกิดขึ้นแล้ว

นาย Salvatore Gulizia นักวิจัยด้านความปลอดภัยซึ่งใช้ชื่อ Serotav ได้รับเครดิตในการค้นพบและรายงานช่องโหว่นี้เมื่อวันที่ 4 สิงหาคม 2569 และได้รับเงินรางวัลค้นหาบั๊กจำนวน 1,000 ดอลลาร์สหรัฐจากการเปิดเผยอย่างมีความรับผิดชอบ ซึ่งเป็นจำนวนที่ไม่มากนักเมื่อเทียบกับความรุนแรงของช่องโหว่ที่ท้ายที่สุดกลายเป็น zero-day ที่ถูกใช้โจมตีจริง

ตามธรรมเนียมปฏิบัติในกรณีเช่นนี้ Google ยอมรับว่า “มีโค้ดโจมตีสำหรับ CVE-2026-85046 อยู่ในธรรมชาติ” แต่ไม่ได้เปิดเผยรายละเอียดใด ๆ เกี่ยวกับลักษณะของการโจมตีหรือตัวผู้อยู่เบื้องหลัง ซึ่งบริษัททำเช่นนี้เพื่อให้ผู้ใช้ส่วนใหญ่ได้รับการอัปเดตก่อน และเพื่อป้องกันไม่ให้ผู้ก่อภัยคุกคามรายอื่นนำช่องโหว่ไปใช้ตาม

รายละเอียดช่องโหว่

ในบทความเชิงเทคนิคที่เผยแพร่แยกต่างหาก Gulizia อธิบายช่องโหว่นี้ว่าเป็น “บั๊กใน V8 ที่ระดับคอมไพเลอร์ ซึ่งทำให้อาร์เรย์ที่มีสมาชิกประเภท PACKED_ELEMENTS ได้รับ map เป็น PACKED_SMI_ELEMENTS ซึ่งสามารถแปลงไปสู่การอ่านและเขียนตามอำเภอใจบนฮีปของจาวาสคริปต์ได้”

อธิบายให้เข้าใจง่ายขึ้น เอนจิน V8 จะติดตามว่าอาร์เรย์แต่ละตัวเก็บข้อมูลชนิดใดไว้เพื่อเพิ่มความเร็วในการประมวลผล เมื่อคอมไพเลอร์เข้าใจชนิดข้อมูลผิดพลาด โค้ดที่ถูกสร้างขึ้นจะปฏิบัติกับค่าที่เป็นตัวชี้ราวกับเป็นตัวเลขธรรมดา หรือในทางกลับกัน ผลที่ตามมาคือผู้โจมตีสามารถอ่านและเขียนหน่วยความจำในตำแหน่งที่ตัวเองเลือกได้ ซึ่งเป็นพื้นฐานสำคัญที่นำไปสู่การรันโค้ดตามอำเภอใจภายในกระบวนการเรนเดอร์ของเบราว์เซอร์

ข้อจำกัดที่ควรระบุไว้คือการรันโค้ดที่ได้จากช่องโหว่นี้ยังอยู่ภายในแซนด์บ็อกซ์ตามคำอธิบายของ CVE ซึ่งหมายความว่าโดยลำพังแล้วยังไม่เพียงพอต่อการยึดเครื่องทั้งเครื่อง ผู้โจมตีต้องนำไปต่อกับช่องโหว่อีกตัวที่ทำให้หลุดออกจากแซนด์บ็อกซ์ได้ อย่างไรก็ตามเนื่องจาก Google ไม่ได้เปิดเผยลักษณะของการโจมตีที่เกิดขึ้นจริง จึงยังไม่ทราบว่าการโจมตีที่พบนั้นมีการต่อช่องโหว่เป็นห่วงโซ่ไว้แล้วหรือไม่ และไม่ทราบว่าเป้าหมายเป็นกลุ่มใด

ผลกระทบ

ผลกระทบครอบคลุมผู้ใช้ Chrome ในวงกว้าง เนื่องจากเงื่อนไขการโจมตีคือการเปิดหน้าเว็บที่ปั้นขึ้นมาเป็นพิเศษเท่านั้น ไม่ต้องอาศัยการติดตั้งซอฟต์แวร์เพิ่มหรือสิทธิ์พิเศษใด ๆ ซึ่งหมายความว่าโฆษณาที่ถูกวางยา เว็บไซต์ที่ถูกเจาะ หรือลิงก์ที่ส่งมาทางข้อความ ล้วนเป็นช่องทางที่ใช้ได้ทั้งหมด

ที่ต้องระวังเพิ่มคือเบราว์เซอร์ตระกูล Chromium รายอื่นอย่าง Microsoft Edge, Brave, Opera และ Vivaldi ล้วนใช้เอนจิน V8 เดียวกัน จึงได้รับผลกระทบตามไปด้วยและต้องรอผู้พัฒนาแต่ละรายปล่อยอัปเดตของตนเอง ช่วงเวลาระหว่างที่ Chrome ได้รับแพตช์แล้วแต่เบราว์เซอร์รายอื่นยังไม่ได้ปล่อย จึงเป็นช่วงที่ความเสี่ยงสูงเป็นพิเศษ เพราะรายละเอียดทางเทคนิคของช่องโหว่ถูกเผยแพร่ต่อสาธารณะแล้วโดยผู้ค้นพบ

ในแง่แนวโน้ม การที่ปีนี้มี zero-day ของ Chrome ที่ถูกใช้โจมตีจริงถึงหกรายการ และส่วนใหญ่อยู่ในเอนจิน V8 ยืนยันว่าเบราว์เซอร์ยังเป็นเส้นทางเข้าที่ผู้โจมตีลงทุนมากที่สุดเส้นทางหนึ่ง องค์กรที่ยังบริหารการอัปเดตเบราว์เซอร์แบบปล่อยให้ผู้ใช้จัดการเองจึงมีความเสี่ยงสะสมสูงกว่าที่ประเมินไว้ เพราะการอัปเดตต้องอาศัยการปิดและเปิดเบราว์เซอร์ใหม่ ซึ่งผู้ใช้จำนวนมากเลี่ยงการทำเป็นเวลาหลายวัน

คำแนะนำ

ผู้ใช้ควรอัปเดต Chrome เป็นเวอร์ชัน 152.0.7977.82 หรือ .83 สำหรับ Windows และ macOS และเวอร์ชัน 152.0.7977.82 สำหรับ Linux โดยตรวจสอบได้จากเมนูเพิ่มเติม เลือกความช่วยเหลือ แล้วเลือกเกี่ยวกับ Google Chrome จากนั้นกดเปิดใหม่เพื่อให้การอัปเดตมีผล

ผู้ใช้เบราว์เซอร์ตระกูล Chromium รายอื่นควรติดตั้งอัปเดตทันทีที่ผู้พัฒนาปล่อยออกมา และในระหว่างที่ยังไม่มีแพตช์ ควรหลีกเลี่ยงการเปิดลิงก์ที่ไม่คุ้นเคยด้วยเบราว์เซอร์นั้น

สำหรับผู้ดูแลระบบในองค์กร ควรบังคับการอัปเดตเบราว์เซอร์ผ่านนโยบายส่วนกลางแทนการปล่อยให้ผู้ใช้ตัดสินใจเอง และกำหนดให้เบราว์เซอร์รีสตาร์ตเพื่อให้แพตช์มีผลภายในกรอบเวลาที่ชัดเจน พร้อมทั้งตรวจสอบรายงานเวอร์ชันที่ติดตั้งจริงในเครื่องปลายทางเพื่อยืนยันว่าการอัปเดตครอบคลุมทั้งองค์กร

หน่วยงานที่อยู่ภายใต้ข้อกำหนดของ CISA ต้องติดตั้งแพตช์ภายในวันที่ 18 กันยายน 2569 ตามที่ระบุไว้ในแคตตาล็อก KEV ส่วนองค์กรอื่นแม้ไม่ได้อยู่ภายใต้ข้อกำหนดนี้ก็ควรใช้กำหนดเวลาเดียวกันเป็นเกณฑ์อ้างอิง เนื่องจากเป็นช่องโหว่ที่มีการโจมตีจริงและมีรายละเอียดทางเทคนิคเผยแพร่แล้ว

แหล่งอ้างอิง