สรุปสั้น
ทีมวิจัยของบริษัท XBOW เชื่อมบั๊ก 3 ตัวของ Google Chrome ที่ยังไม่มีใครรู้จักในขณะนั้น เป็นการโจมตีชุดเดียวที่ทำให้แค่ผู้ใช้เปิดหน้าเว็บก็ถูกรันโค้ดบนเครื่อง Windows ได้ โดยไม่ต้องคลิกหรือดาวน์โหลดอะไร การโจมตีแบบนี้เรียกว่า full chain คือใช้บั๊กหลายตัวร่วมกันทะลุการป้องกันทุกชั้นของ Chrome ตั้งแต่หน้าเว็บไปถึงตัวเครื่อง รวมถึง sandbox ซ้อน 2 ชั้นที่ Chrome ใช้กันไม่ให้หน้าเว็บที่ถูกแฮ็กเข้าถึงส่วนอื่นของระบบ จุดที่เป็นข่าวคือ XBOW สร้าง exploit ชุดที่ได้รางวัลเสร็จใน 6 วัน ด้วยการสั่งงาน AI agent ที่รันบนโมเดล GPT-5.6 Sol ของบริษัท OpenAI ซึ่งเปิดให้ใช้ทั่วไป ค่าใช้จ่าย AI รวมราว 40,000 ดอลลาร์
บริษัท Google ยืนยันบั๊กทั้ง 3 ตัว แก้ไขแล้ว และจ่ายรางวัลสูงสุด 250,000 ดอลลาร์ สำหรับ full-chain exploit ของ Chrome ให้ XBOW ซึ่ง XBOW ระบุว่าเป็นรางวัลแรกภายใต้กติกาปี 2026 และเป็นครั้งแรกที่บริษัทความปลอดภัยแบบอัตโนมัติได้รางวัลนี้ บั๊กสองตัวที่มีเลข CVE ถูกแก้ใน Chrome 152.0.7977.65 (25 สิงหาคม) และ 152.0.7977.82 (3 กันยายน) XBOW ยืนยันว่าบั๊กเหล่านี้ไม่เคยถูกใช้โจมตีผู้ใช้จริง แต่ประเด็นที่ต้องสนใจคือต้นทุนและเวลาที่ใช้สร้าง exploit ระดับนี้ลดลงอย่างมาก
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 14 ตุลาคม 2569 ว่าบริษัท XBOW สร้าง exploit ชุดที่ได้รางวัลระหว่างวันอาทิตย์ที่ 2 ถึงวันศุกร์ที่ 7 สิงหาคม ช่วงงาน Black Hat และ DEF CON ในลาสเวกัส แต่ก่อนหน้านั้นมีงานสะสมมาหลายเดือน บริษัทตั้งโจทย์นี้ตั้งแต่การประชุมพนักงานที่รัฐมอลตาในเดือนมกราคม และ full chain ชุดแรกของบริษัท XBOW ใช้เวลา 2 เดือน
ระหว่างทาง exploit เวอร์ชันหนึ่งเกือบใช้ไม่ได้ เพราะบั๊กที่ใช้อยู่กลายเป็นบั๊กที่ Google รู้อยู่แล้ว แต่ บริษัท XBOW ออกแบบ exploit เป็นชิ้นส่วนที่สลับกันได้และมีตัวสำรองเตรียมไว้ จึงเปลี่ยนชิ้นนั้นออกและ chain ยังใช้ได้ ตัวเลขค่าใช้จ่ายราว 40,000 ดอลลาร์มาจาก logs การใช้งานที่บริษัท XBOW นับเอง
บริษัท XBOW แบ่งบทบาทระหว่าง AI กับคนไว้ชัดเจน โดย AI agent ค้นซอร์สโค้ดของ Chrome ทดสอบสมมติฐาน สร้าง proof of concept และเขียน exploit ฉบับร่าง ส่วนนักวิจัยเป็นคนเลือกเป้าหมาย ป้อนบริบท ตั้งคำถามกับผลที่ agent ได้ และตัดสินใจว่าจะเชื่อมชิ้นไหนเข้าด้วยกัน นาย Brendan Dolan-Gavitt นักวิจัยที่สร้าง chain ชุดนี้ร่วมกับ agent เขียนว่า “ก่อนยุค LLM การทำ full chain ของ Chrome ใช้ทีม 4 คนราว 6-9 เดือน ชุดแรกของเราใช้ 2 เดือน ส่วนชุดที่ได้รางวัลใช้เวลา 6 วัน”
รายละเอียดช่องโหว่
บั๊กทั้ง 3 ตัวอยู่คนละส่วนของ Chrome และทำหน้าที่ต่อกันเป็นขั้น
| ขั้น | ส่วนของ Chrome | CVE | แก้ใน |
|---|---|---|---|
| 1 | V8 (JavaScript engine) | CVE-2026-85045 | 152.0.7977.82 (3 ก.ย.) |
| 2 | ตัวถอดรหัสภาพ animated WebP | ไม่มีเลขสาธารณะที่ยืนยันได้ | รอบ Chrome 152 |
| 3 | Crashpad (ตัวจัดการ crash) | CVE-2026-78952 | 152.0.7977.65 (25 ส.ค.) |
ขั้นที่ 1 บั๊กใน V8 ทำให้ผู้โจมตีควบคุมหน่วยความจำภายใน JavaScript engine ของ Chrome ได้ ขั้นที่ 2 บั๊กในโค้ดอ่านภาพ animated WebP ใช้การควบคุมนั้นหลุดออกจาก sandbox ชั้นในของ engine และเขียนข้อมูลลงหน่วยความจำของเครื่องได้หนึ่งครั้งแบบแม่นยำ ขั้นที่ 3 บั๊กใน Crashpad ซึ่งทำงานอยู่นอก sandbox เปลี่ยนการเขียนครั้งเดียวนั้นให้กลายเป็นการรันโค้ดเต็มรูปแบบบนเครื่อง
บั๊กสองตัวที่มีเลข CVE ได้คะแนนระดับความรุนแรงสูง และต้องให้ผู้ใช้เปิดหน้าเว็บ บันทึกการออกเวอร์ชันของ Google ให้เครดิต Dolan-Gavitt สำหรับบั๊กสองตัวนี้ ส่วนบั๊ก WebP ถูกแก้ในรอบ Chrome 152 เช่นกันแต่ยังยืนยันเลขสาธารณะไม่ได้ เพราะประกาศของบริษัท XBOW ระบุเลข CVE-2026-85045 ให้ขั้น WebP ขณะที่ Google และรายงานเทคนิคของ XBOW เองระบุเลขนี้ให้บั๊ก V8 ข้อมูลส่วนนี้จึงยังขัดกันอยู่
ผลกระทบ
ก่อนแพตช์ออก บริษัท XBOW ประเมินว่าผู้ใช้ Chrome บน Windows ราว 1 พันล้านคนเสี่ยงต่อการโจมตีลักษณะนี้ แต่ทั้ง 3 บั๊กถูกแก้แล้วและไม่มีรายงานการโจมตีจริง ผู้ใช้ที่อัปเดตและรีสตาร์ต Chrome แล้วจึงไม่ได้เสี่ยงจากชุดบั๊กนี้โดยตรง
ผลกระทบที่สำคัญกว่า คือ ต้นทุนของการโจมตี full-chain exploit ของเบราว์เซอร์เคยเป็นของราคาแพงที่ใช้ทีมผู้เชี่ยวชาญหลายเดือน และมักอยู่ในมือผู้ขาย exploit หรือหน่วยงานรัฐ ตอนนี้นักวิจัยคนเดียวพร้อม AI ที่ใครก็ซื้อใช้ได้ทำเสร็จใน 6 วันด้วยเงิน 40,000 ดอลลาร์ ตามที่ Dolan-Gavitt เตือนว่า “6 วันกับ 40,000 ดอลลาร์ไม่ใช่เวลาหรือเงินมากเลยเมื่อสิ่งที่ได้คือ Chrome chain” และ “ป้องกันให้สอดคล้องกัน” นาย Oege de Moor ผู้ก่อตั้ง XBOW ก็ย้ำว่าความเร็ว คือ ประเด็นหลัก ทั้งนี้ตัวเลขเวลาและค่าใช้จ่ายมาจาก XBOW เอง และไม่รวมงานหลายเดือนก่อนหน้า
คำแนะนำ
- รีสตาร์ต Chrome และตรวจว่าเป็นเวอร์ชัน 152.0.7977.82 ขึ้นไป เพราะ Chrome อัปเดตเองแต่แพตช์มีผลหลังรีสตาร์ตเบราว์เซอร์เท่านั้น
- ในองค์กร ใช้นโยบายบังคับรีสตาร์ตเบราว์เซอร์หลังอัปเดต (เช่น RelaunchNotification ของ Chrome Enterprise) และตรวจเวอร์ชันผ่านระบบจัดการอุปกรณ์ ไม่ใช่รอให้ผู้ใช้ปิดเปิดเอง
- ลดเวลาระหว่างแพตช์ออกกับแพตช์ถูกติดตั้งจริง เพราะเวลาที่ผู้โจมตีใช้สร้าง exploit กำลังสั้นลง
- ไม่พึ่ง sandbox ของเบราว์เซอร์เป็นด่านเดียว ใช้ EDR เฝ้าระวังโปรเซสลูกผิดปกติที่เกิดจากเบราว์เซอร์ และจำกัดสิทธิ์ผู้ใช้บน Windows
- ทีมความปลอดภัยควรเริ่มใช้ AI ช่วยหาช่องโหว่ในระบบของตัวเองก่อนผู้โจมตี โดยกำหนดขอบเขตการทดสอบให้ชัด