สรุปสั้น

ทุกต้นเดือน บริษัท Google ออกประกาศความปลอดภัยของ Android (Android Security Bulletin) แบ่งเป็น 2 ระดับแพตช์ ให้ผู้ผลิตโทรศัพท์นำไปปล่อยให้ผู้ใช้ เมื่อเดือนตุลาคม 2569 แพตช์มีเพียง 25 รายการ แต่ประกาศเดือนพฤศจิกายนที่ออกเมื่อวันที่ 2 พฤศจิกายน 2569 แก้ช่องโหว่รวมกว่า 200 รายการ ในจำนวนนี้ราว 24 รายการเป็นระดับวิกฤต ส่วนแรก คือ ระดับแพตช์ 2026-11-01 แก้ 119 รายการใน Framework, System และ Android runtime โดยตัวที่ร้ายแรงที่สุด คือ CVE-2026-58868 ใน Framework ซึ่งรันโค้ดจากระยะไกลได้โดยไม่ต้องมีสิทธิ์เพิ่ม และผู้ใช้ไม่ต้องทำอะไรเลย ส่วนที่สอง คือ ระดับแพตช์ 2026-11-05 แก้อีก 97 รายการในเคอร์เนลและคอมโพเนนต์ของผู้ผลิตชิป

ช่องโหว่ที่ไม่ต้องให้ผู้ใช้ทำอะไร (zero-click) เป็นประเภทที่ผู้โจมตีต้องการมากที่สุด เพราะไม่ต้องหลอกให้กดลิงก์หรือติดตั้งแอป แม้ Google ไม่ได้ระบุว่ามีช่องโหว่ใดในรอบนี้ถูกโจมตีจริง ความเสี่ยงที่แท้จริงขึ้นกับว่าผู้ผลิตแต่ละรายปล่อยแพตช์ถึงมือผู้ใช้เร็วแค่ไหน ผู้ใช้ควรตรวจว่าเครื่องได้ระดับแพตช์ 2026-11-05 แล้ว ส่วนองค์กรควรใช้ระบบจัดการอุปกรณ์บังคับระดับแพตช์ขั้นต่ำ

รายละเอียดข่าว

เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 3 พฤศจิกายน 2569 ว่าในระดับแพตช์ 2026-11-01 คอมโพเนนต์ Framework ได้รับการแก้มากที่สุด 65 รายการ ตามด้วย System 53 รายการ และ Android runtime 1 รายการระดับสูงที่เปิดเผยข้อมูลได้ Google ระบุในประกาศว่าช่องโหว่ที่ร้ายแรงที่สุดอยู่ใน Framework และ “อาจนำไปสู่การรันโค้ดจากระยะไกลโดยไม่ต้องมีสิทธิ์รันโค้ดเพิ่ม และไม่ต้องอาศัยการกระทำของผู้ใช้” นอกจากนี้ System ยังมีช่องโหว่ระดับวิกฤตทั้งประเภทรันโค้ดจากระยะไกล (RCE) ยกระดับสิทธิ์ (EoP) และทำให้บริการล่ม (DoS) ช่องโหว่ 17 รายการถูกแก้ล่วงหน้าผ่าน Google Play system updates ซึ่งส่งถึงเครื่องได้โดยไม่ต้องรอผู้ผลิต

ในระดับแพตช์ 2026-11-05 Google แก้ 97 รายการในเคอร์เนล และคอมโพเนนต์ของ Arm, Imagination Technologies, MediaTek, Unisoc และ Qualcomm ส่วนใหญ่เป็นระดับสูง แต่มีกว่า 10 รายการที่เป็นระดับวิกฤต ในส่วนย่อยอย่าง Bluetooth, pKVM (ระบบแยกหน่วยความจำด้วยเวอร์ชวลไลเซชันของ Android), HID, โมเด็มของ MediaTek และคอมโพเนนต์โค้ดปิดของ Qualcomm วันเดียวกัน Google ออกประกาศของ Android XR ซึ่งแก้ช่องโหว่ระดับสูงเพิ่มใน Framework 1 รายการ และ Wear OS ซึ่งแก้ระดับสูงใน Framework และ System 2 รายการ ข้อจำกัดของข้อมูล คือ รายงานไม่ได้ระบุรายละเอียดทางเทคนิคของ CVE-2026-58868 ว่าเกิดจากการประมวลผลข้อมูลประเภทใด และประกาศไม่ได้ระบุว่ามีช่องโหว่ใดถูกใช้โจมตีแบบจำกัดเป้า (limited, targeted exploitation) ซึ่งเป็นถ้อยคำที่ Google ใช้เมื่อพบการโจมตีจริง

รายละเอียดช่องโหว่

ช่องโหว่ zero-click ใน Framework — Framework คือ ชั้นซอฟต์แวร์กลางที่แอปทุกตัวเรียกใช้ ทั้งการแสดงผล การแจ้งเตือน และการจัดการข้อมูล CVE-2026-58868 ทำให้ผู้โจมตีรันโค้ดบนเครื่องได้จากระยะไกลโดยไม่ต้องมีสิทธิ์ใดก่อนและไม่ต้องให้ผู้ใช้กดอะไร ช่องโหว่ประเภทนี้มักถูกเรียกผ่านข้อมูลที่เครื่องประมวลผลอัตโนมัติ เช่น ข้อความหรือไฟล์สื่อที่ส่งมา แต่ Google ยังไม่เปิดเผยช่องทางที่แน่ชัดของตัวนี้

ช่องโหว่ระดับชิปที่ต้องรอผู้ผลิต — ช่องโหว่วิกฤตในโมเด็มของ MediaTek, Bluetooth และคอมโพเนนต์ของ Qualcomm อยู่ในระดับแพตช์ 2026-11-05 ซึ่งต้องอาศัยผู้ผลิตโทรศัพท์รวมโค้ดจากผู้ผลิตชิปก่อนปล่อย ช่องโหว่ในโมเด็มและ Bluetooth น่ากังวลเพราะอาจถูกโจมตีผ่านสัญญาณไร้สายจากระยะใกล้หรือผ่านเครือข่ายมือถือ โดยไม่ต้องผ่านแอป

pKVM และการยกระดับสิทธิ์ — ช่องโหว่วิกฤตใน pKVM กระทบกลไกที่ Android ใช้แยกข้อมูลอ่อนไหวไว้ในพื้นที่ที่ระบบปฏิบัติการหลักเข้าไม่ได้ ถ้าถูกใช้ร่วมกับช่องโหว่อื่น ผู้โจมตีอาจทะลุชั้นป้องกันนี้ได้

ผลกระทบ

ผู้ใช้ Android ทุกคนที่ยังไม่ได้ระดับแพตช์ 2026-11-05 อยู่ในข่ายเสี่ยง โดยเฉพาะ CVE-2026-58868 ที่ไม่ต้องให้ผู้ใช้ทำอะไรเลย ถ้ามีผู้พัฒนาช่องโหว่สำเร็จ ผู้โจมตีจะรันโค้ดบนเครื่องได้โดยเจ้าของไม่รู้ตัว ซึ่งในโทรศัพท์หมายถึงการเข้าถึงข้อความ อีเมล แอปธนาคาร และ MFA ที่อยู่บนเครื่อง ความเร่งด่วนจริงขึ้นกับว่าเมื่อไรจะมีผู้วิเคราะห์แพตช์จนสร้างช่องโหว่ได้ ซึ่งมักเร็วขึ้นหลังประกาศออก

กลุ่มที่เสี่ยงนานที่สุด คือ ผู้ใช้เครื่องที่ผู้ผลิตปล่อยแพตช์ช้าหรือเลิกส่งแพตช์แล้ว เช่น เครื่องราคาประหยัดและเครื่องรุ่นเก่า ช่องโหว่ระดับชิปของ MediaTek และ Unisoc ที่ใช้มากในเครื่องกลุ่มนี้อาจค้างอยู่นานหลายเดือน สำหรับองค์กรที่ให้พนักงานใช้โทรศัพท์ส่วนตัวเข้าอีเมลหรือระบบงาน เครื่องที่ไม่ได้แพตช์ คือ จุดอ่อนที่ระบบป้องกันขององค์กรมองไม่เห็น

คำแนะนำ

  • ผู้ใช้ — ทำทันที: เข้า การตั้งค่า > ความปลอดภัย (หรือ เกี่ยวกับโทรศัพท์) ตรวจระดับแพตช์ความปลอดภัย และติดตั้งอัปเดตจนได้ 2026-11-05 หรือใหม่กว่า
  • ผู้ใช้ — ทำทันที: ติดตั้ง Google Play system update ที่ค้างอยู่ด้วย เพราะช่องโหว่ 17 รายการถูกแก้ผ่านช่องทางนี้
  • องค์กร — ทำทันที: ใช้ MDM หรือนโยบายการเข้าถึงแบบมีเงื่อนไข (conditional access) กำหนดระดับแพตช์ขั้นต่ำสำหรับเครื่องที่เข้าอีเมลและระบบงาน
  • องค์กร — ตรวจ: ทำรายการเครื่องที่ผู้ผลิตเลิกส่งแพตช์แล้ว และจำกัดการเข้าถึงข้อมูลสำคัญจากเครื่องเหล่านั้น
  • ผู้ใช้ Wear OS และ Android XR: อัปเดตอุปกรณ์เหล่านี้ด้วย เพราะมีประกาศแยกของตัวเอง
  • ระยะยาว: เลือกซื้อโทรศัพท์จากผู้ผลิตที่ประกาศระยะเวลาสนับสนุนแพตช์ชัดเจน โดยดูจากระดับแพตช์ล่าสุดที่เครื่องรุ่นนั้นได้รับจริง

แหล่งอ้างอิง