สรุปสั้น
บริษัท Google เปิดเผยว่าช่องโหว่ระดับความรุนแรงสูงในโมเด็มมือถือ (Cellular Modem) ของอุปกรณ์ Pixel กำลังถูกใช้โจมตีจริงในวงจำกัด ช่องโหว่นี้ถูกติดตามในรหัส CVE-2026-58704 คะแนน CVSS 8.0 เป็นช่องโหว่ประเภทยกระดับสิทธิ์ที่เกิดจากข้อผิดพลาดเชิงตรรกะในโค้ด ทำให้ผู้โจมตีข้ามการตรวจสอบสิทธิ์และยกระดับสิทธิ์ได้จากระยะประชิด (proximal/adjacent) โดยไม่ต้องอาศัยสิทธิ์ในการรันเพิ่มเติม และที่สำคัญคือไม่ต้องให้ผู้ใช้โต้ตอบใด ๆ เลย
ในประกาศที่ออกเมื่อวันอังคาร บริษัท Google ยอมรับว่าพบสัญญาณบ่งชี้ว่า CVE-2026-58704 “อาจถูกใช้โจมตีแบบจำกัดวงและเจาะจงเป้าหมาย” แต่ไม่ได้เปิดเผยรายละเอียดของการโจมตีหรือระบุตัวผู้อยู่เบื้องหลัง นอกจากช่องโหว่นี้แล้ว แพตช์ Pixel ประจำเดือนกันยายน 2569 ยังแก้ช่องโหว่อื่นอีก 109 รายการ และต่อมาหน่วยงาน CISA ของสหรัฐได้เพิ่ม CVE-2026-58704 เข้าสู่แคตตาล็อกช่องโหว่ที่ถูกใช้โจมตีจริง (Known Exploited Vulnerabilities หรือ KEV) เมื่อวันที่ 16 กันยายน 2569 พร้อมกำหนดให้หน่วยงานรัฐบาลกลางแก้ไขภายในวันที่ 19 กันยายน
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 16 กันยายน 2569 ว่า บริษัท Google ได้เปิดเผยว่าช่องโหว่ระดับความรุนแรงสูงในโมเด็มมือถือของ Pixel ตกอยู่ภายใต้การโจมตีจริงแล้ว ตามคำอธิบายในฐานข้อมูลช่องโหว่แห่งชาติของสหรัฐ (NVD) ระบุว่า “ในโมเด็มมือถือ มีความเป็นไปได้ที่จะข้ามการตรวจสอบสิทธิ์ อันเนื่องมาจากข้อผิดพลาดเชิงตรรกะในโค้ด” ซึ่งอาจนำไปสู่การยกระดับสิทธิ์จากระยะประชิดโดยไม่ต้องมีสิทธิ์ในการรันเพิ่มเติม และไม่จำเป็นต้องอาศัยการโต้ตอบจากผู้ใช้
นอกจาก CVE-2026-58704 แล้ว แพตช์ Pixel เดือนกันยายน 2569 ยังจัดการช่องโหว่อีก 109 รายการ ในจำนวนนี้ 88 รายการเปิดทางให้ยกระดับสิทธิ์ 10 รายการนำไปสู่การเปิดเผยข้อมูล 9 รายการเปิดทางให้รันโค้ดจากระยะไกล (RCE) และอีก 2 รายการทำให้เกิดสภาวะปฏิเสธการให้บริการ (DoS) กลุ่มนี้รวมถึงช่องโหว่ยกระดับสิทธิ์ระดับความรุนแรงสูงสองรายการในส่วนประกอบ Kernel (CVE-2026-56914 และ CVE-2026-58773) รวมถึงช่องโหว่ระดับวิกฤต 46 รายการในส่วนประกอบต่าง ๆ ของ Pixel เช่น BigOcean, Bootloader, IP Multimedia Subsystem และ Trusted Execution Environment ที่อาจนำไปสู่การยกระดับสิทธิ์และการรันโค้ดจากระยะไกล ทั้งนี้ระดับแพตช์ความปลอดภัย (Security patch level) ตั้งแต่วันที่ 5 กันยายน 2569 เป็นต้นไปจะแก้ไขช่องโหว่ทั้งหมดที่พบ ก่อนหน้านี้เมื่อเดือนมิถุนายน 2569 บริษัท Google ก็เคยออกแพตช์แก้ช่องโหว่ระดับความรุนแรงสูงในส่วนประกอบ Framework ของ Android (CVE-2025-48595 คะแนน CVSS 8.4) ที่ถูกใช้โจมตีจริงมาแล้วเช่นกัน
รายละเอียดช่องโหว่
CVE-2026-58704 เป็นช่องโหว่ประเภทข้ามการตรวจสอบสิทธิ์ (permission bypass) ที่ฝังอยู่ในโมเด็มมือถือของ Pixel ต้นเหตุคือข้อผิดพลาดเชิงตรรกะในโค้ดที่ทำให้กลไกตรวจสอบสิทธิ์ทำงานผิดพลาด ผู้โจมตีจึงสามารถหลบผ่านการตรวจสิทธิ์และยกระดับสิทธิ์ของตนได้ CISA อธิบายเพิ่มเติมว่า “อุปกรณ์ Google Pixel มีช่องโหว่การอนุญาตที่ไม่เหมาะสมในโมเด็มมือถือ ข้อผิดพลาดเชิงตรรกะอาจทำให้ผู้โจมตีข้ามการตรวจสอบสิทธิ์และยกระดับสิทธิ์ได้”
จุดที่ทำให้ช่องโหว่นี้อันตรายเป็นพิเศษคือ สามารถถูกใช้โจมตีในรูปแบบ zero-click ได้ กล่าวคือไม่จำเป็นต้องให้เหยื่อคลิกลิงก์หรือเปิดไฟล์ใด ๆ เพื่อจุดชนวนการโจมตี ผู้โจมตีจึงสามารถเจาะได้อย่างเงียบเชียบโดยที่เจ้าของเครื่อง Pixel ไม่ต้องทำอะไรเลย เมื่อผนวกกับการที่การโจมตีทำได้จากระยะประชิดและไม่ต้องอาศัยการโต้ตอบจากผู้ใช้ ทำให้ช่องโหว่นี้เหมาะกับการโจมตีแบบเจาะจงเป้าหมายที่เน้นความลับ ซึ่งสอดคล้องกับที่ Google ระบุว่าพบการใช้งานแบบจำกัดวง
ผลกระทบ
ช่องโหว่นี้กระทบผู้ใช้อุปกรณ์ Pixel โดยตรง และเนื่องจากอยู่ในระดับโมเด็มมือถือซึ่งเป็นส่วนประกอบระดับล่างที่จัดการการสื่อสารเครือข่ายเซลลูลาร์ การถูกยกระดับสิทธิ์ในจุดนี้จึงเปิดทางให้ผู้โจมตีเข้าถึงส่วนที่ละเอียดอ่อนของอุปกรณ์ได้ ลักษณะ zero-click และไม่ต้องให้ผู้ใช้โต้ตอบ ทำให้เหยื่อแทบไม่มีทางรู้ตัวหรือป้องกันด้วยพฤติกรรมการใช้งานอย่างระมัดระวัง การป้องกันจึงต้องพึ่งการอัปเดตแพตช์เป็นหลัก
การที่ CISA เพิ่มช่องโหว่นี้เข้าแคตตาล็อก KEV และกำหนดเส้นตายให้หน่วยงานรัฐบาลกลางแก้ไขภายในเวลาอันสั้น สะท้อนว่ามีการยืนยันการใช้โจมตีจริง ไม่ใช่เพียงความเสี่ยงเชิงทฤษฎี องค์กรและผู้ใช้ทั่วไปที่ใช้อุปกรณ์ Pixel จึงควรถือว่านี่เป็นช่องโหว่ที่ต้องเร่งแก้ไขในลำดับต้น ๆ
คำแนะนำ
ผู้ใช้อุปกรณ์ Pixel ควรอัปเดตเครื่องให้เป็นเวอร์ชันล่าสุดโดยเร็ว โดยตรวจสอบว่าระดับแพตช์ความปลอดภัยอยู่ที่วันที่ 5 กันยายน 2569 หรือใหม่กว่า ซึ่งจะแก้ไขช่องโหว่ทั้งหมดที่พบในรอบนี้ รวมถึง CVE-2026-58704 สามารถอัปเดตได้โดยไปที่ Settings > Security & privacy แล้วตรวจหาการอัปเดตระบบ และควรเปิดการอัปเดตอัตโนมัติไว้เพื่อรับแพตช์ในอนาคตโดยไม่ล่าช้า
สำหรับหน่วยงานที่อยู่ภายใต้ข้อกำหนดของ CISA หรือองค์กรที่บริหารจัดการอุปกรณ์ Pixel จำนวนมาก ควรเร่งบังคับใช้แพตช์นี้ให้ครบทุกเครื่องภายในกรอบเวลาที่กำหนด และตรวจสอบสถานะระดับแพตช์ของอุปกรณ์ในการดูแลผ่านระบบบริหารจัดการอุปกรณ์ (MDM) เพื่อให้แน่ใจว่าไม่มีเครื่องใดตกหล่น