สรุปสั้น
Chrome คือ เบราว์เซอร์ที่มีผู้ใช้มากที่สุดในโลก ช่องโหว่ด้านหน่วยความจำในเบราว์เซอร์จึงเป็นทางเข้าหลักของการโจมตีผ่านหน้าเว็บ บริษัท Google ออกอัปเดต Chrome ช่อง Stable เป็นเวอร์ชัน 156.0.8078.73/.74 สำหรับ Windows และ Mac และ 156.0.8078.73 สำหรับ Linux แก้ช่องโหว่ 52 รายการ แบ่งเป็นระดับวิกฤต 4 ตัว ระดับสูง 46 ตัว และระดับกลาง 2 ตัว ครอบคลุมตั้งแต่การจัดการไฟล์ การแสดงผลหน้าเว็บ ไปจนถึง JavaScript กราฟิก วิดีโอ และเสียง ช่องโหว่วิกฤตทั้ง 4 ตัวอยู่ใน FileSystem, FileAPI, Skia และ Layout และรายงานโดยนาย Xinyang Ge จากบริษัท Anthropic ที่ใช้ Claude ช่วยค้นหา
Google ยังไม่ได้ระบุวิธีโจมตี ไม่ได้ยืนยันว่าช่องโหว่เหล่านี้นำไปสู่การรันโค้ดจากระยะไกล และไม่ได้ระบุว่ามีการโจมตีจริง อัปเดตจะทยอยถึงผู้ใช้ในอีกหลายวันถึงหลายสัปดาห์ อัปเดตนี้ยังสะท้อนแนวโน้มที่นักวิจัยใช้ AI ช่วยหาช่องโหว่ เพราะรายชื่อผู้รายงานมีทั้ง Anthropic และ OpenAI Codex Security ผู้ใช้ควรอัปเดตแล้วรีสตาร์ตเบราว์เซอร์ทันที ส่วนผู้ดูแลระบบควรเช็กเลข build ที่ติดตั้งจริง ไม่ใช่ดูแค่เลขเวอร์ชันหลัก
รายละเอียดข่าว
เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 28 ตุลาคม 2569 ว่า Google ออกอัปเดตความปลอดภัย Chrome แก้ช่องโหว่ 52 รายการ ตามประกาศ Stable Channel Update for Desktop ของ Google
ไทม์ไลน์การรายงานช่องโหว่วิกฤตทั้ง 4 ตัวกระจุกอยู่ในเดือนตุลาคม นาย Xinyang Ge รายงาน CVE-2026-118306 ใน FileSystem เมื่อวันที่ 7 ตุลาคม รายงาน CVE-2026-118331 ใน FileAPI เมื่อวันที่ 11 ตุลาคม และรายงาน CVE-2026-118348 ใน Skia กับ CVE-2026-118344 ใน Layout เมื่อวันที่ 17 ตุลาคม ทุกรายการระบุว่าใช้ Claude ช่วย
ประกาศของ Google ให้เครดิตนักวิจัยของ Google ผู้รายงานอิสระ Mozilla, Anthropic, Ada Logics และ OpenAI Codex Security รายงานหลายรายการระบุชัดว่าใช้ AI ช่วย อัปเดตนี้ออกตามหลังอัปเดต Chrome 156 ก่อนหน้าที่แก้ช่องโหว่ 353 รายการ และอัปเดตอีกชุดที่แก้ 32 รายการ
ข้อจำกัดของข้อมูล คือ เครดิตในประกาศไม่ได้ยืนยันว่า AI ค้นพบหรือยืนยันช่องโหว่ทุกตัวได้ด้วยตัวเอง และ Google จะจำกัดรายละเอียดบั๊กไว้จนกว่าผู้ใช้ส่วนใหญ่จะอัปเดต ซึ่งอาจนานกว่านั้นถ้าบั๊กอยู่ในไลบรารีที่โครงการอื่นใช้ร่วม
รายละเอียดช่องโหว่
ช่องโหว่ระดับวิกฤต 4 ตัว — ทั้งหมดอยู่ในส่วนที่จัดการไฟล์และแสดงผลหน้าเว็บ ซึ่งหน้าเว็บทั่วไปเข้าถึงได้
| CVE | คอมโพเนนต์ | ประเภท |
|---|---|---|
| CVE-2026-118306 | FileSystem | Memory corruption |
| CVE-2026-118331 | FileAPI | Improper input validation |
| CVE-2026-118348 | Skia (ไลบรารีกราฟิก 2D) | Improper input validation |
| CVE-2026-118344 | Layout | Use after free |
Use-after-free คือ บั๊กที่โปรแกรมกลับไปใช้หน่วยความจำที่คืนไปแล้ว ผู้โจมตีอาจวางข้อมูลของตัวเองลงในตำแหน่งนั้นเพื่อควบคุมการทำงานของโปรแกรม ส่วน improper input validation คือ การตรวจข้อมูลขาเข้าไม่รัดกุม
ช่องโหว่ระดับสูงที่น่าสนใจ — ช่องโหว่ระดับสูง 46 ตัวกระจายอยู่ใน V8 (เอนจิน JavaScript), Turbolev (คอมไพเลอร์ JIT ของ V8), ANGLE (ชั้นแปลงคำสั่งกราฟิก), WebRTC, PDFium, WebAudio, Payments และคอมโพเนนต์กราฟิกกับมีเดีย ตัวอย่างที่ Cyber Security News ยกมา คือ CVE-2026-118318 การควบคุมสิทธิ์ไม่รัดกุมใน V8, CVE-2026-118333 การขาดการตรวจสิทธิ์ใน Video และ CVE-2026-118342 การเขียนเกินขอบเขต (out-of-bounds write) ใน Editing นอกจากนี้ยังมี use-after-free ใน FileSystem (CVE-2026-118357, CVE-2026-118347), Turbolev (CVE-2026-118350) และ PDFium (CVE-2026-118345)
เงื่อนไขและสถานะ — ประกาศไม่ได้ระบุเงื่อนไขการโจมตีโดยละเอียดของช่องโหว่ใด ไม่ได้ยืนยันว่าทำ RCE ได้ และไม่ได้ระบุว่ามีช่องโหว่ใดถูกโจมตีแล้ว เวอร์ชันที่แก้ คือ 156.0.8078.73/.74 (Windows, Mac) และ 156.0.8078.73 (Linux)
ผลกระทบ
ผู้ที่ได้รับผลกระทบ คือ ผู้ใช้ Chrome บน Windows, Mac และ Linux ที่ยังไม่ได้อัปเดตเป็น build ข้างต้น รวมถึงเบราว์เซอร์อื่นที่สร้างบน Chromium อย่าง Microsoft Edge, Brave และ Opera ซึ่งต้องรอผู้ผลิตแต่ละรายรวมแพตช์ ช่องโหว่ในคอมโพเนนต์แสดงผลอย่าง Layout และ Skia ถูกเรียกใช้ได้เพียงแค่เปิดหน้าเว็บ จึงเป็นประเภทที่ผู้โจมตีนิยมใช้ในการโจมตีแบบ drive-by เมื่อรายละเอียดถูกเปิดเผยหรือมีคนแกะแพตช์
จำนวนช่องโหว่ที่สูงต่อเนื่องในรอบเดียวกัน (353 รายการในอัปเดตก่อนหน้า และอีก 52 รายการรอบนี้) ยังสะท้อนว่าการใช้ AI ช่วยหาบั๊กทำให้ผู้พัฒนาต้องออกแพตช์ถี่ขึ้น ผู้ดูแลระบบจึงต้องเร่งรอบการกระจายอัปเดตเบราว์เซอร์ให้ทัน
คำแนะนำ
- อัปเดต Chrome ทันที เปิดเมนู Help > About Google Chrome รอให้ติดตั้งแล้วกด Relaunch ผู้ใช้ Linux ให้อัปเดตผ่าน package manager
- ผู้ดูแลระบบให้ตรวจเลข build ที่ติดตั้งจริง บนเครื่องที่บริหารจัดการว่าเป็น 156.0.8078.73 ขึ้นไป ไม่ใช่ดูแค่ว่าเป็น Chrome 156 เพราะ 156 รุ่นก่อนหน้ายังมีช่องโหว่
- เปิดการอัปเดตอัตโนมัติ บนเครื่อง Windows ที่บริหารจัดการ และตั้ง policy
RelaunchNotificationกับRelaunchNotificationPeriodเพื่อบังคับรีสตาร์ตเบราว์เซอร์ภายในเวลาที่กำหนด เพราะอัปเดตจะยังไม่มีผลจนกว่าจะรีสตาร์ต - ติดตามอัปเดตของเบราว์เซอร์ที่ใช้ Chromium อย่าง Edge, Brave และ Opera แล้วติดตั้งเมื่อผู้ผลิตรวมแพตช์ชุดนี้