สรุปสั้น

บริษัท Apple ออกอัปเดตความปลอดภัยชุดใหญ่เมื่อวันที่ 26 ตุลาคม 2569 แบ่งเป็นสองส่วน ส่วนแรก คือ iOS 27.2 และ iPadOS 27.2 ที่แก้ช่องโหว่ 163 รายการ สำหรับ iPhone 11 ขึ้นไปและ iPad หลายรุ่น กลุ่มที่อันตรายที่สุดอยู่ใน WebKit ซึ่งเป็นเอนจินเบื้องหลัง Safari และเบราว์เซอร์ในแอปเกือบทุกตัวบนอุปกรณ์ Apple ช่องโหว่หลายรายการทำให้หน้าเว็บที่สร้างขึ้นพิเศษรันโค้ดบนเครื่องได้เพียงแค่ผู้ใช้เปิดหน้านั้น และยังมีช่องโหว่ที่ทำให้โค้ดหลุดออกจาก sandbox ของเบราว์เซอร์อีก 2 รายการ Apple ไม่ได้ระบุว่าช่องโหว่ชุดนี้ถูกโจมตีแล้ว พร้อมกันนั้น Apple ออก iOS 26.7.2 สำหรับเครื่องที่ยังไม่ขึ้น iOS 27 ด้วย

ส่วนที่สองต่อเนื่องจากเหตุการณ์เดือนกันยายน เมื่อ Apple แพตช์ช่องโหว่ CoreGraphics CVE-2026-86950 ที่อาจถูกใช้โจมตีแบบเจาะจงเป้าหมายบน iOS 26.7.1 ไปแล้ว (2026/09/232 ) ครั้งนี้ Apple ย้อนแพตช์ตัวเดียวกันลง iOS 18.7.11 และ iPadOS 18.7.11 ให้อุปกรณ์รุ่นเก่าที่ขึ้น iOS ใหม่ไม่ได้ เช่น iPhone XS, iPhone XS Max, iPhone XR และ iPad รุ่นที่ 7 เจ้าของเครื่องรุ่นเก่าเหล่านี้จึงเพิ่งได้รับการป้องกันจากช่องโหว่ที่มีรายงานการโจมตีจริง ผู้ใช้ทุกกลุ่มควรเช็กว่าเครื่องอยู่บนสายเวอร์ชันใด แล้วอัปเดตเป็น 27.2, 26.7.2 หรือ 18.7.11 ให้ตรงรุ่นโดยเร็ว

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 27 ตุลาคม 2569 ว่าบริษัท Apple ปล่อย iOS 27.2 และ iPadOS 27.2 ในวันที่ 26 ตุลาคม 2569 พร้อมเอกสารรายการแก้ไขด้านความปลอดภัยที่ครอบคลุม 163 ช่องโหว่ ในวันเดียวกัน Apple ยังปล่อย iOS 26.7.2 และ iPadOS 26.7.2 ซึ่งมีการแก้ไขจำนวนมากชุดเดียวกัน สำหรับผู้ใช้ที่ยังไม่ย้ายไป iOS 27

ด้านรายชื่อผู้ค้นพบ Apple ให้เครดิตนักวิจัยหลายกลุ่มสำหรับช่องโหว่ WebKit รวมถึงนางสาว Amy Burnett จาก OpenAI Codex Security และนาย Chris Rohlf จาก Anthropic Research ส่วนช่องโหว่หลุด sandbox ผ่านคอมโพเนนต์ App Store ได้รับเครดิตจากนาย Claudio Bozzato และนาย Francesco Benvenuto ของ Cisco Talos

อีกประเด็นที่น่าสนใจ คือ มี 6 รายการที่ให้เครดิตทีม Calif ซึ่งเคยสาธิต untethered jailbreak บน iOS 27.0.1 มาก่อน (2026/10/153 ) นาย Stefan Esser นักวิจัยของ Calif ระบุว่าบั๊กส่วนใหญ่ที่ใช้ทำ jailbreak ครั้งนั้นถูกแก้แล้วใน iOS 27.2

ในวันเดียวกัน Apple ออก iOS 18.7.11 และ iPadOS 18.7.11 เพื่อย้อนแพตช์ CVE-2026-86950 ให้อุปกรณ์รุ่นเก่า Apple ระบุว่ารับทราบรายงานว่าช่องโหว่นี้อาจถูกใช้ในการโจมตีที่ซับซ้อนสูงต่อบุคคลเป้าหมายเฉพาะ บน iOS เวอร์ชันก่อน iOS 27 และให้เครดิต Meta Product Security เป็นผู้รายงาน

ข้อจำกัดของหลักฐาน คือ Apple ไม่ได้ให้คะแนนความรุนแรง CVSS ในเอกสาร และไม่ได้ระบุว่าช่องโหว่ใดใน iOS 27.2 ถูกโจมตีแล้ว ส่วนกรณี CVE-2026-86950 Apple ก็ไม่ได้ระบุตัวผู้โจมตี เหยื่อ วิธีส่งไฟล์อันตรายถึงเครื่อง หรือว่าต้องให้ผู้ใช้โต้ตอบหรือไม่ จึงยังสรุปไม่ได้ว่าเป็นการโจมตีแบบ zero-click หรือเป็นแคมเปญวงกว้าง

รายละเอียดช่องโหว่

WebKit รันโค้ดผ่านหน้าเว็บ (ร้ายแรงสุด) — เปิดหน้าเว็บที่สร้างขึ้นพิเศษก็อาจถูกรันโค้ดในโปรเซสของเบราว์เซอร์ได้ WebKit เป็นกลุ่มที่ถูกแก้มากที่สุดในรอบนี้ มากกว่า 30 รายการ ตัวที่นำไปสู่การรันโค้ดส่วนใหญ่เป็นบั๊กประเภท use-after-free หรือการใช้หน่วยความจำที่ถูกคืนไปแล้ว ได้แก่ CVE-2026-112697, CVE-2026-112655, CVE-2026-112651 และ CVE-2026-112623 รวมถึง CVE-2026-112637 (WebKit Canvas), CVE-2026-112626 (WebKit JavaScript Bindings) และ CVE-2026-112639 (WebKit Process Model) ส่วน CVE-2026-112659 เป็น type confusion หรือการที่โปรแกรมตีความข้อมูลผิดชนิด Apple แก้ด้วยการปรับการจัดการหน่วยความจำ

หลุดจาก sandbox ของเบราว์เซอร์ — ช่องโหว่สองตัวนี้ทำให้โค้ดที่เริ่มในเบราว์เซอร์ขยายไปยังส่วนอื่นของเครื่องได้ CVE-2026-113897 ใน WebKit Process Model เปิดทางให้ผู้โจมตีระยะไกลหลุดออกจาก Web Content sandbox ซึ่ง Apple แก้ด้วยการลบโค้ดส่วนที่มีปัญหาออก ส่วน CVE-2026-112690 อยู่ในคอมโพเนนต์ App Store และให้ผลแบบเดียวกัน ช่องโหว่กลุ่มนี้อันตรายเพราะเมื่อจับคู่กับบั๊ก WebKit รันโค้ด ผู้โจมตีจะได้สายโจมตีที่เริ่มจากหน้าเว็บได้

Kernel — มีการแก้บั๊ก kernel ราว 15 รายการ บางตัวทำให้ระบบล่มหรือทำลายหน่วยความจำ kernel เช่น use-after-free ใน CVE-2026-65350, CVE-2026-112679, CVE-2026-112517 และ CVE-2026-112514 บางตัวเผยผังหน่วยความจำ kernel ซึ่งช่วยผู้โจมตีวางแผนยกระดับสิทธิ์ บั๊ก kernel มักต้องมีแอปอันตรายหรือจุดตั้งหลักบนเครื่องก่อน แต่ใช้เป็นขั้นที่สองต่อจากบั๊ก WebKit ได้

ความเป็นส่วนตัวและการประมวลผลไฟล์ — CVE-2026-86987 ใน Apple Intelligence อาจให้ผู้โจมตีระยะไกลเข้าถึงข้อมูลผู้ใช้บน iPhone 15 Pro ขึ้นไป · CVE-2026-112500 ใน Hide My Email อาจเผยอีเมลจริงของผู้ใช้ · CVE-2026-112707 ใน Maps ทำให้แอปรู้ว่ามีแอปอื่นติดตั้งอยู่ · CVE-2026-86990 ใน CoreMedia ให้แอปอันตรายใช้กล้องโดยไม่ขออนุญาต · CVE-2026-112688 ใน CoreMedia อาจรันโค้ดได้เมื่อเปิดไฟล์ นอกจากนี้ยังมีการแก้ ImageIO, CoreGraphics, CoreAudio, FontParser และ Model I/O สำหรับไฟล์รูป PDF ฟอนต์ เสียง และโมเดล 3 มิติที่สร้างขึ้นพิเศษ

CVE-2026-86950 ใน iOS 18.7.11 (ถูกใช้โจมตี) — เป็นบั๊ก out-of-bounds write หรือการเขียนข้อมูลเกินพื้นที่หน่วยความจำที่จองไว้ ใน CoreGraphics ซึ่งเป็นคอมโพเนนต์จัดการกราฟิกและเอกสาร ไฟล์ที่สร้างขึ้นพิเศษอาจทำให้รันโค้ดในโปรเซสที่เปิดไฟล์ได้ Apple แก้ด้วยการเพิ่มการตรวจสอบขอบเขต อัปเดตนี้ยังแก้ CVE-2026-65339 ใน Audio ที่แอปอาจใช้รั่วข้อมูลผู้ใช้ และ CVE-2026-86990 ใน CoreMedia ที่ให้แอปใช้กล้องโดยไม่ขออนุญาต สองตัวหลังไม่มีคำเตือนว่าถูกโจมตี

เวอร์ชันที่แก้แล้ว — iOS/iPadOS 27.2 (iPhone 11 ขึ้นไป, iPad Pro 12.9 นิ้วรุ่นที่ 4, iPad Pro 11 นิ้วรุ่นที่ 2, iPad Air รุ่นที่ 4, iPad รุ่นที่ 9 และ iPad mini รุ่นที่ 6 ขึ้นไป) · iOS/iPadOS 26.7.2 สำหรับเครื่องที่ยังอยู่บน iOS 26 · iOS/iPadOS 18.7.11 สำหรับ iPhone XS, XS Max, XR และ iPad รุ่นที่ 7

ผลกระทบ

ผู้ที่ได้รับผลกระทบ คือ ผู้ใช้ iPhone และ iPad แทบทุกรุ่นที่ยังรองรับ เพราะ WebKit ถูกใช้ทั้งใน Safari และหน้าเว็บที่เปิดภายในแอปอื่น การแก้ 163 ช่องโหว่ในรอบเดียวโดยมีทั้งบั๊กรันโค้ดผ่านหน้าเว็บ บั๊กหลุด sandbox และบั๊ก kernel แปลว่าวัตถุดิบสำหรับสายโจมตีแบบครบวงจรมีอยู่ในรอบนี้ แม้ Apple จะยังไม่ระบุว่าถูกโจมตี เมื่อรายละเอียดเปิดเผยแล้ว เครื่องที่ยังไม่อัปเดตจะตกเป็นเป้าง่ายขึ้น โดยเฉพาะเมื่อทีม Calif ยืนยันว่าบั๊กที่ใช้ทำ jailbreak ถูกแก้แล้ว ซึ่งงานวิจัยสาธารณะมักตามมาหลังการสาธิต jailbreak

กลุ่มที่เร่งด่วนที่สุด คือ ผู้ใช้อุปกรณ์รุ่นเก่าบนสาย iOS 18 ที่เพิ่งได้แพตช์ CVE-2026-86950 ช้ากว่ารุ่นใหม่ราวหนึ่งเดือน ช่องโหว่นี้มีรายงานการโจมตีเป้าหมายเฉพาะแล้ว บุคคลที่มีความเสี่ยงสูง เช่น ผู้บริหาร นักข่าว หรือนักกิจกรรมที่ยังใช้เครื่องรุ่นเก่า จึงควรถือเป็นเรื่องเร่งด่วน

คำแนะนำ

  • อัปเดตทันทีตามสายเวอร์ชันของเครื่อง — iPhone 11 ขึ้นไปอัปเดตเป็น iOS 27.2 · เครื่องที่ยังอยู่บน iOS 26 อัปเดตเป็น 26.7.2 · iPhone XS, XS Max, XR และ iPad รุ่นที่ 7 อัปเดตเป็น 18.7.11 ผ่าน Settings > General > Software Update แล้วเช็กเวอร์ชันหลังติดตั้ง
  • บังคับเวอร์ชันขั้นต่ำผ่าน MDM สำหรับเครื่ององค์กร — ตั้ง compliance policy ให้เครื่องที่ต่ำกว่า 27.2/26.7.2/18.7.11 เข้าถึงอีเมลหรือระบบภายในไม่ได้ เพราะบั๊ก WebKit ถูกเรียกได้จากลิงก์ในอีเมลหรือแชต
  • ตรวจบัญชีอุปกรณ์รุ่นเก่าในองค์กร — ระบุเครื่องที่ค้างอยู่บน iOS 18 และไม่ได้รับ iOS ใหม่แล้ว เพื่อให้แน่ใจว่าได้ 18.7.11 และวางแผนเปลี่ยนเครื่องที่ใกล้หมดการสนับสนุน
  • เปิด Lockdown Mode ให้บุคคลเสี่ยงสูง — โหมดนี้ปิดฟีเจอร์ WebKit และการประมวลผลไฟล์แนบที่ซับซ้อน ซึ่งเป็นช่องทางที่การโจมตีแบบเจาะจงเป้าหมายมักใช้
  • อย่าถือว่าการแพตช์เท่ากับเครื่องสะอาด — สำหรับบุคคลเป้าหมายที่สงสัยว่าเคยถูกโจมตีผ่าน CVE-2026-86950 การอัปเดตไม่ได้ลบการบุกรุกที่เกิดขึ้นก่อนหน้า ควรส่งเครื่องให้ทีมนิติวิทยาศาสตร์ดิจิทัลตรวจ

แหล่งอ้างอิง