สรุปสั้น

Google ออกอัปเดต Chrome เมื่อวันอังคารที่ 8 กันยายน พ.ศ. 2569 เพื่อแก้ช่องโหว่ด้านความปลอดภัยรวม 230 รายการ ซึ่งในจำนวนนั้นมีหนึ่งรายการที่ถูกใช้โจมตีจริงอยู่แล้ว ช่องโหว่ตัวดังกล่าวใช้รหัส CVE-2026-87491 จัดระดับความรุนแรงปานกลางและไม่มีคะแนน CVSS กำกับ ลักษณะของบั๊กคือการเขียนข้อมูลนอกขอบเขตหรือ out-of-bounds write ในเอนจิน V8 ซึ่งเป็นส่วนที่ประมวลผลจาวาสคริปต์และ WebAssembly ของเบราว์เซอร์ คำอธิบายในฐานข้อมูล NVD ของ NIST ระบุว่าผู้โจมตีจากระยะไกลสามารถรันโค้ดตามอำเภอใจภายในแซนด์บ็อกซ์ได้ผ่านหน้าเว็บที่ถูกสร้างขึ้นมาเป็นพิเศษ บนเวอร์ชันก่อน 153.0.8010.36

Google ยอมรับว่ารับรู้ถึงการมีอยู่ของโค้ดโจมตีสำหรับช่องโหว่นี้ในโลกจริง แต่ไม่ได้เปิดเผยรายละเอียดว่าถูกนำไปใช้อย่างไร เป้าหมายคือใคร และใครอยู่เบื้องหลัง โดยบริษัทระบุตามธรรมเนียมเดิมว่าการเข้าถึงรายละเอียดบั๊กและลิงก์ที่เกี่ยวข้องอาจถูกจำกัดไว้จนกว่าผู้ใช้ส่วนใหญ่จะอัปเดตเรียบร้อย และจะคงข้อจำกัดนั้นไว้หากบั๊กอยู่ในไลบรารีของบุคคลที่สามที่โครงการอื่นพึ่งพาแต่ยังไม่ได้แก้ไข ผู้ค้นพบคือ นาย Jihyeon Jeong จาก Compsec Lab มหาวิทยาลัยแห่งชาติโซล ซึ่งรายงานเข้ามาเมื่อวันที่ 6 สิงหาคม พ.ศ. 2569 และได้รับเงินรางวัล 2,500 ดอลลาร์สหรัฐ

การอัปเดตรอบนี้ทำให้ยอด zero-day ของ Chrome ที่ถูกใช้โจมตีจริงในปีนี้ขยับเป็น 7 รายการ ต่อจาก CVE-2026-85046 ที่รายงานไปในโพสต์ก่อนหน้า นอกจากตัวที่ถูกโจมตีจริงแล้ว รอบเดียวกันยังแก้ช่องโหว่ระดับร้ายแรงอีก 5 รายการในส่วนประกอบ WebGL และ Cast และหลังจากนั้นหนึ่งวัน คือวันที่ 9 กันยายน พ.ศ. 2569 CISA ได้เพิ่ม CVE-2026-87491 เข้าแคตตาล็อกช่องโหว่ที่ถูกใช้โจมตีจริงหรือ KEV พร้อมกำหนดให้หน่วยงานฝ่ายบริหารพลเรือนของรัฐบาลกลางสหรัฐติดตั้งแพตช์ภายในวันที่ 23 กันยายน พ.ศ. 2569

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 9 กันยายน พ.ศ. 2569 ว่า Google ปล่อยอัปเดตในวันอังคารเพื่อแก้ช่องโหว่ด้านความปลอดภัย 230 รายการ โดยหนึ่งในนั้นตกอยู่ภายใต้การถูกใช้โจมตีจริงแล้ว

ช่องโหว่ที่ว่าคือ CVE-2026-87491 ซึ่งถูกอธิบายว่าเป็นบั๊กประเภทเขียนข้อมูลนอกขอบเขตในเอนจิน V8 อันเป็นหัวใจของการประมวลผลจาวาสคริปต์และ WebAssembly ใน Chrome คำอธิบายบนฐานข้อมูลช่องโหว่แห่งชาติหรือ NVD ของสถาบัน NIST ระบุว่าการเขียนนอกขอบเขตใน V8 บน Google Chrome ก่อนเวอร์ชัน 153.0.8010.36 เปิดทางให้ผู้โจมตีระยะไกลรันโค้ดตามอำเภอใจภายในแซนด์บ็อกซ์ได้ผ่านหน้า HTML ที่ถูกประดิษฐ์ขึ้น

เครดิตการค้นพบเป็นของ นาย Jihyeon Jeong นักวิจัยด้านความปลอดภัยจาก Compsec Lab มหาวิทยาลัยแห่งชาติโซล ที่รายงานช่องโหว่เข้ามาเมื่อวันที่ 6 สิงหาคม พ.ศ. 2569 และได้รับเงินรางวัลจากโครงการล่าบั๊กจำนวน 2,500 ดอลลาร์สหรัฐจากการเปิดเผยอย่างมีความรับผิดชอบ ส่วนตัว Google เองเพียงยอมรับว่าทราบว่ามีโค้ดโจมตีสำหรับช่องโหว่นี้อยู่ในโลกจริง โดยไม่ได้ให้ข้อมูลเพิ่มเติมว่าการโจมตีเกิดขึ้นในลักษณะใดและผู้ใดเป็นผู้ลงมือ

เมื่อนับรวมรายการล่าสุด Google ได้จัดการกับ zero-day ของ Chrome ที่ถูกใช้โจมตีจริงไปแล้ว 7 รายการนับตั้งแต่ต้นปี ได้แก่ CVE-2026-2441, CVE-2026-3909, CVE-2026-3910, CVE-2026-5281, CVE-2026-11645 และ CVE-2026-85046 ซึ่งตัวหลังสุดนั้นเป็นบั๊ก type confusion ใน V8 เช่นกันและเพิ่งได้รับแพตช์ไปในรอบก่อนหน้า จังหวะการออกของทั้งสองตัวที่ห่างกันไม่นานและอยู่ในส่วนประกอบเดียวกัน สะท้อนว่าเอนจินจาวาสคริปต์ยังเป็นพื้นที่ที่ผู้โจมตีทุ่มทรัพยากรค้นหาช่องโหว่มากที่สุดในเบราว์เซอร์

นอกเหนือจาก CVE-2026-87491 อัปเดตรอบนี้ยังปิดช่องโหว่ระดับร้ายแรงอีก 5 รายการในส่วนประกอบ WebGL และ Cast ได้แก่ CVE-2026-87464 ที่เป็น use-after-free ใน WebGL, CVE-2026-87488 ที่เป็น use-after-free ใน WebGL, CVE-2026-87438 ที่เป็นการเขียนนอกขอบเขตใน WebGL, CVE-2026-87527 ที่เป็นบัฟเฟอร์ล้นใน WebGL และ CVE-2026-87628 ที่เป็น use-after-free ใน Cast

Google ระบุว่าในจำนวนช่องโหว่ 230 รายการที่แก้ในรอบนี้ มี 195 รายการที่บริษัทเป็นผู้รายงานเอง และเสริมว่าบั๊กด้านความปลอดภัยจำนวนมากถูกตรวจพบด้วยเครื่องมืออย่าง AddressSanitizer, MemorySanitizer, UndefinedBehaviorSanitizer, Control Flow Integrity, libFuzzer และ AFL จุดที่น่าสนใจเป็นพิเศษคือช่องโหว่ use-after-free ระดับสูงใน WebPackaging รหัส CVE-2026-87639 ซึ่งให้เครดิตแก่ OpenAI Codex Security อันเป็นสัญญาณว่าการค้นหาช่องโหว่โดยมีปัญญาประดิษฐ์ช่วยเริ่มปรากฏในเครดิตของโครงการล่าบั๊กรายใหญ่มากขึ้น

คำแนะนำด้านเวอร์ชันคือให้ผู้ใช้อัปเดต Chrome เป็นเวอร์ชัน 153.0.8010.36 หรือ .37 สำหรับวินโดวส์และ macOS ของ Apple และเวอร์ชัน 153.0.8010.36 สำหรับลินุกซ์ โดยตรวจสอบได้จากเมนู More แล้วไปที่ Help และเลือก About Google Chrome จากนั้นกด Relaunch ส่วนผู้ใช้เบราว์เซอร์อื่นที่สร้างบน Chromium เช่น Microsoft Edge, Brave, Opera และ Vivaldi ก็ควรติดตั้งอัปเดตทันทีที่ผู้พัฒนาแต่ละรายปล่อยออกมา และในวันที่ 9 กันยายน พ.ศ. 2569 CISA ได้เพิ่มรหัสนี้เข้าแคตตาล็อก KEV พร้อมกำหนดเส้นตายให้หน่วยงานรัฐบาลกลางสหรัฐติดตั้งแพตช์ภายในวันที่ 23 กันยายน พ.ศ. 2569

รายละเอียดช่องโหว่

บั๊กประเภทเขียนข้อมูลนอกขอบเขตใน V8 หมายถึงการที่โค้ดเขียนข้อมูลเลยขอบเขตของหน่วยความจำที่จองไว้สำหรับโครงสร้างข้อมูลหนึ่ง ๆ ซึ่งในเอนจินจาวาสคริปต์มักเกิดจากการที่ตัวปรับแต่งประสิทธิภาพคำนวณขอบเขตของอาเรย์หรือชนิดข้อมูลผิดพลาดหลังการแปลงโค้ดให้เป็นภาษาเครื่อง ผลคือผู้โจมตีที่ควบคุมเนื้อหาจาวาสคริปต์บนหน้าเว็บสามารถเขียนทับโครงสร้างข้อมูลข้างเคียงในหน่วยความจำได้ และเมื่อเขียนได้ตรงจุดก็จะไต่ไปสู่การอ่านเขียนหน่วยความจำได้ตามใจและการรันโค้ดในที่สุด จุดที่ทำให้ช่องโหว่กลุ่มนี้อันตรายเป็นพิเศษคือเงื่อนไขการโจมตีที่ต้องการเพียงให้เหยื่อเปิดหน้าเว็บที่ผู้โจมตีเตรียมไว้

ถ้อยคำที่ต้องอ่านให้ละเอียดคือวลี “ภายในแซนด์บ็อกซ์” ในคำอธิบายของ NVD ซึ่งหมายความว่าการรันโค้ดที่ได้จากช่องโหว่นี้ยังถูกกักอยู่ในกระบวนการที่ถูกจำกัดสิทธิ์ของเบราว์เซอร์ ไม่ใช่การยึดเครื่องได้ทันทีในขั้นตอนเดียว ผู้โจมตีที่ต้องการควบคุมระบบปฏิบัติการจริง ๆ ยังต้องต่อด้วยช่องโหว่หนีแซนด์บ็อกซ์อีกตัวหนึ่ง ซึ่งเป็นรูปแบบห่วงโซ่ที่พบเป็นมาตรฐานในการโจมตีเบราว์เซอร์ระดับสูง อย่างไรก็ตามการที่ Google ยืนยันว่ามีโค้ดโจมตีอยู่จริงบ่งชี้ว่ามีผู้ที่ลงทุนสร้างห่วงโซ่ดังกล่าวแล้ว หรืออย่างน้อยก็มีเป้าหมายที่การเข้าถึงระดับแซนด์บ็อกซ์ก็เพียงพอต่อการขโมยข้อมูลในเบราว์เซอร์

ข้อจำกัดของข้อมูลในรอบนี้ค่อนข้างมาก ช่องโหว่ไม่มีคะแนน CVSS กำกับ ไม่มีการเปิดเผยตัวบ่งชี้การถูกโจมตี ไม่มีรายละเอียดว่าการโจมตีเกิดในลักษณะเจาะจงเป้าหมายหรือเป็นวงกว้าง และไม่มีข้อมูลว่าผู้อยู่เบื้องหลังเป็นกลุ่มอาชญากรรมไซเบอร์หรือกลุ่มที่มีรัฐหนุนหลัง ทั้งหมดนี้เป็นแนวปฏิบัติปกติของ Google ที่จะปิดรายละเอียดไว้จนกว่าผู้ใช้ส่วนใหญ่จะอัปเดต แต่ก็แปลว่าทีมความปลอดภัยไม่มีข้อมูลพอสำหรับการตรวจหาร่องรอยย้อนหลัง และต้องถือว่าเครื่องที่ยังไม่อัปเดตคือเครื่องที่มีความเสี่ยงโดยไม่มีทางรู้ว่าถูกโจมตีไปแล้วหรือไม่

ผลกระทบ

ผู้ได้รับผลกระทบคือผู้ใช้ Chrome ทุกรายบนวินโดวส์ macOS และลินุกซ์ที่ยังไม่ได้อัปเดต รวมถึงผู้ใช้เบราว์เซอร์ตระกูล Chromium อย่าง Microsoft Edge, Brave, Opera และ Vivaldi ที่ต้องรอผู้พัฒนาแต่ละรายนำโค้ดที่แก้แล้วมารวมเข้ากับผลิตภัณฑ์ของตน ช่วงเวลาระหว่างที่ Google ปล่อยแพตช์กับที่เบราว์เซอร์รายอื่นปล่อยตามคือหน้าต่างความเสี่ยงที่มีอยู่จริงทุกครั้งที่มี zero-day ใน Chromium และเป็นช่วงที่ผู้ใช้กลุ่มหลังไม่สามารถทำอะไรได้มากนอกจากลดการท่องเว็บที่ไม่จำเป็น

ในมุมองค์กร ช่องโหว่กลุ่มนี้ทดสอบความสามารถในการควบคุมเวอร์ชันเบราว์เซอร์ของทีมไอทีโดยตรง เครื่องที่ผู้ใช้ไม่เคยปิดแล้วเปิดใหม่จะยังรันเวอร์ชันเก่าอยู่แม้จะดาวน์โหลดอัปเดตมาแล้ว เพราะ Chrome ต้องเริ่มโปรแกรมใหม่จึงจะใช้ไบนารีใหม่ องค์กรที่มีเครื่องซึ่งเปิดค้างไว้หลายสัปดาห์หรือมีนโยบายชะลออัปเดตเพื่อทดสอบความเข้ากันได้ จึงมักพบว่าสัดส่วนเครื่องที่แพตช์แล้วจริงต่ำกว่าที่รายงานในระบบบริหารจัดการมาก

สำหรับหน่วยงานที่อยู่ใต้คำสั่งของ CISA เส้นตายวันที่ 23 กันยายน พ.ศ. 2569 คือกรอบเวลาบังคับ แต่หน่วยงานและองค์กรอื่นก็ควรถือกรอบเวลาเดียวกันเป็นเกณฑ์ เพราะเหตุผลที่ช่องโหว่เข้าแคตตาล็อก KEV คือมีหลักฐานว่าถูกใช้โจมตีจริง ไม่ใช่การประเมินความเสี่ยงตามทฤษฎี ส่วนช่องโหว่ระดับร้ายแรงอีก 5 รายการใน WebGL และ Cast แม้ยังไม่มีรายงานการถูกโจมตี แต่ก็อยู่ในกลุ่มที่มักถูกนำมาใช้ต่อยอดในห่วงโซ่การโจมตีเบราว์เซอร์เช่นกัน

คำแนะนำ

สิ่งที่ต้องทำทันทีคืออัปเดต Chrome เป็นเวอร์ชัน 153.0.8010.36 หรือ .37 สำหรับวินโดวส์และ macOS และเวอร์ชัน 153.0.8010.36 สำหรับลินุกซ์ โดยเข้าที่เมนู More แล้วไปที่ Help และเลือก About Google Chrome เพื่อให้เบราว์เซอร์ตรวจหาอัปเดต จากนั้นต้องกด Relaunch ให้เริ่มโปรแกรมใหม่จริง ๆ เพราะการดาวน์โหลดแพตช์โดยไม่เริ่มโปรแกรมใหม่เท่ากับยังใช้เวอร์ชันเดิมที่มีช่องโหว่อยู่

ในระดับองค์กร ควรตรวจสอบสถานะเวอร์ชันจริงบนเครื่องปลายทางแทนการดูจากนโยบายที่ตั้งไว้ โดยใช้ระบบบริหารจัดการอุปกรณ์หรือเครื่องมือ EDR ดึงเลขเวอร์ชันของเบราว์เซอร์ที่กำลังทำงานอยู่ แล้วบังคับให้เครื่องที่ยังต่ำกว่าเกณฑ์เริ่มเบราว์เซอร์ใหม่ ทีมที่บริหาร Chrome ผ่านนโยบายกลุ่มควรทบทวนการตั้งค่าที่ชะลอการอัปเดตออกไปหลายวัน และแยกช่องทางเร่งด่วนสำหรับกรณีที่ช่องโหว่อยู่ในแคตตาล็อก KEV แล้ว

ผู้ใช้เบราว์เซอร์ตระกูล Chromium รายอื่นควรตรวจสอบประกาศของผู้พัฒนาแต่ละรายและติดตั้งอัปเดตทันทีที่ออก ระหว่างที่ยังไม่มีแพตช์ การลดความเสี่ยงทำได้ด้วยการหลีกเลี่ยงการเปิดลิงก์จากแหล่งที่ไม่น่าเชื่อถือ และพิจารณาใช้เบราว์เซอร์ที่แพตช์แล้วสำหรับงานที่ต้องเข้าถึงระบบสำคัญ ส่วนองค์กรที่ใช้ส่วนขยายจำนวนมากควรถือโอกาสนี้ทบทวนส่วนขยายที่ติดตั้งอยู่ด้วย เนื่องจากส่วนขยายที่มีสิทธิ์สูงจะขยายผลของการรันโค้ดในบริบทเบราว์เซอร์ให้รุนแรงขึ้น

สุดท้าย เนื่องจาก Google ไม่เปิดเผยตัวบ่งชี้การถูกโจมตี องค์กรที่ต้องการตรวจสอบย้อนหลังควรมองหาสัญญาณทางอ้อมแทน เช่น กระบวนการลูกที่ผิดปกติซึ่งเกิดจากกระบวนการของเบราว์เซอร์ การเชื่อมต่อออกไปยังโดเมนที่เพิ่งจดทะเบียนจากเครื่องผู้ใช้ และการล่มของกระบวนการเรนเดอร์ซ้ำ ๆ ในช่วงก่อนวันแพตช์ ซึ่งเป็นร่องรอยที่มักปรากฏเมื่อมีการทดลองใช้โค้ดโจมตีกับเอนจินจาวาสคริปต์

แหล่งอ้างอิง