Browser-Security

Google ออก Chrome 155.0.8059.84/.85 สำหรับ Windows และ Mac และ 155.0.8059.84 สำหรับ Linux เมื่อ 15 ต.ค. 2569 แก้ช่องโหว่ 10 รายการ ตัวร้ายแรงสุดคือ CVE-2026-110922 use-after-free ระดับวิกฤตในฟีเจอร์ Prerender ส่วน CVE-2026-110913 บั๊กหน่วยความจำใน DOM ระดับสูง Google ให้เครดิตนาย Xinyang Ge จาก Anthropic โดยมี Claude ช่วย ช่องโหว่ระดับสูงอื่นอยู่ใน V8, Core และ SVG และยังไม่มีรายงานว่าถูกโจมตีจริง

รายงานสรุป 6 เทคนิคการโจมตีผ่านเบราว์เซอร์ที่ทีมความปลอดภัยควรจับตาในปี 2026 เนื่องจากการเจาะระบบส่วนใหญ่เริ่มต้นและจบลงภายใน session ของเบราว์เซอร์ ครอบคลุมตั้งแต่ฟิชชิงขโมย session ด้วยชุด AiTM, เทคนิค ClickFix หลอกให้คัดลอกและรันคำสั่ง, authorization phishing ที่เลี่ยง MFA ทุกรูปแบบ, ส่วนขยายเบราว์เซอร์อันตราย, การใช้รหัสผ่านที่รั่วและ ghost login ไปจนถึงการยึด session ด้วย token ที่ถูกขโมย โดยอ้างอิงสถิติจากรายงานของ Microsoft, Verizon และ Cloudflare

บริษัท Arctic Wolf พบแคมเปญ ClickFix ที่กำลังเดินสายเจาะเว็บธุรกิจยูเครนของแท้ แล้ว inject หน้ายืนยันตัวตน Cloudflare ปลอมเพื่อหลอกให้เหยื่อรันคำสั่งใน Windows Run กล ClickFix ใช้ msiexec.exe ดึงตัวติดตั้ง MSI มาปล่อยอินโฟสตีลเลอร์ตัวใหม่ชื่อ Psychedelic ที่ดูดรหัสผ่านเบราว์เซอร์ โทเคนบัญชี และข้อมูลกระเป๋าคริปโต แผงควบคุมชื่อ Rublevka TDS บันทึกยอดคลิกจาก 32 ประเทศโดยเน้นยูเครนเป็นหลัก คาดว่าเป็นฝีมือผู้ปฏิบัติการที่พูดภาษารัสเซีย

Google ออกอัปเดต Chrome เมื่อวันอังคารที่ 8 กันยายน 2569 แก้ช่องโหว่ 230 รายการ รวมถึง CVE-2026-87491 ซึ่งเป็นบั๊กเขียนข้อมูลนอกขอบเขตในเอนจิน V8 ที่ถูกใช้โจมตีจริงแล้ว คำอธิบายใน NVD ระบุว่าหน้าเว็บที่ถูกสร้างขึ้นมาเป็นพิเศษทำให้รันโค้ดได้ภายในแซนด์บ็อกซ์ของเบราว์เซอร์ นับเป็น zero-day ของ Chrome ตัวที่ 7 ที่ถูกใช้โจมตีจริงในปีนี้ รอบเดียวกันยังแก้ช่องโหว่ระดับร้ายแรงอีก 5 รายการใน WebGL และ Cast และ CISA เพิ่มรหัสนี้เข้าแคตตาล็อก KEV พร้อมเส้นตาย 23 กันยายน 2569

Google ปล่อยอัปเดตความปลอดภัยปิดช่องโหว่ 12 รายการในเบราว์เซอร์ Chrome รวมถึง CVE-2026-85046 คะแนน CVSS 8.8 ซึ่งเป็นบั๊กประเภท type confusion ในเอนจิน V8 ที่ถูกนำไปใช้โจมตีจริงแล้ว ผู้โจมตีจากระยะไกลสามารถรันโค้ดตามอำเภอใจภายในแซนด์บ็อกซ์ผ่านหน้าเว็บ HTML ที่ปั้นขึ้นมาเป็นพิเศษ นับเป็น zero-day ตัวที่หกของ Chrome ที่ถูกโจมตีจริงในปีนี้ และ CISA ได้เพิ่มเข้าแคตตาล็อก KEV โดยกำหนดเส้นตายให้หน่วยงานรัฐบาลกลางแพตช์ภายในวันที่ 18 กันยายน 2569

Google ปล่อยฟีเจอร์ Device Bound Session Credentials (DBSC) ให้ผู้ใช้ Chrome ทุกคนแล้ว เริ่มจาก Chrome 146 บน Windows ฟีเจอร์นี้ผูก session cookie เข้ากับชิปความปลอดภัยของเครื่อง เช่น TPM หรือ Secure Enclave ทำให้แฮ็กเกอร์ที่ขโมย cookie ไปใช้บนเครื่องอื่นไม่ได้ ช่วยสกัดมัลแวร์ infostealer ที่ใช้ session cookie ข้าม MFA ยึดบัญชี ส่วน macOS จะได้รับฟีเจอร์ในเวอร์ชันถัดไป