Chrome

บริษัท Socket พบส่วนขยาย VPN และพร็อกซีฟรี 737 ตัวบน Chrome Web Store ที่ผลักทราฟฟิกทั้งเซสชันของผู้ใช้ผ่านพร็อกซี SOCKS5 พอร์ต 1082 ของผู้ให้บริการรายเดียว ส่วนขยายชุดนี้เผยแพร่จากบัญชีนักพัฒนาอย่างน้อย 40 บัญชี มียอดติดตั้งรวม 75,486 ครั้ง และ 274 ตัวปลอมเป็นแบรนด์ VPN ที่มีชื่อเสียง 66 ราย เป้าหมายหลักคือผู้ใช้ที่พูดภาษารัสเซียซึ่งต้องการเข้าถึงบริการที่ถูกปิดกั้น ขณะนี้ถูกถอดออกแล้ว 221 ตัว แต่อีก 516 ตัวยังอยู่บนสโตร์

Google ปล่อยอัปเดต Chrome 151 ชุดใหม่ปิดช่องโหว่ระดับวิกฤตและระดับสูงรวม 41 รายการ ในจำนวนนี้เป็นระดับวิกฤต 6 รายการ ประกอบด้วย use-after-free 5 จุดในคอมโพเนนต์ WebGL, Aura, Skia และ Views กับช่องโหว่เขียนข้อมูลนอกขอบเขตในเอนจินกราฟิก ANGLE อีกหนึ่งจุด ส่วนที่เหลืออีก 35 รายการเป็นระดับสูง โดยกว่าครึ่งเป็นบั๊กความปลอดภัยหน่วยความจำที่อาจนำไปสู่การรันโค้ดตามอำเภอใจ Google ไม่ได้ระบุว่ามีช่องโหว่ใดถูกใช้โจมตีจริง

ทีม Unit 42 ของ Palo Alto Networks เปิดเผยเทคนิคโจมตี 3 รูปแบบต่อ Google Password Manager บน Chrome ที่ทำให้มัลแวร์สิทธิ์ผู้ใช้ทั่วไปเข้าสู่บัญชีที่ป้องกันด้วย passkey ได้โดยไม่ต้องสแกนนิ้วหรือใส่ PIN เทคนิคที่รุนแรงที่สุดคือการดึงกุญแจหลัก Security Domain Secret ขนาด 32 ไบต์ออกจากหน่วยความจำของ Chrome ทั้งสามเส้นทางไม่ได้เจาะตัวการเข้ารหัส แต่เจาะโค้ดรอบ ๆ passkey รายงานไม่มีหมายเลข CVE และยังไม่ยืนยันว่าปิดช่องครบแล้ว ทุกเส้นทางต้องมีมัลแวร์รันอยู่บนเครื่องเหยื่อก่อน

Google กำลังพัฒนากลไกใหม่ใน Chrome ที่จะบล็อกส่วนขยายซึ่งถูกติดตั้งผ่านนโยบายองค์กรไม่ให้เข้ายึดหน้า New Tab หรือเปลี่ยนเครื่องมือค้นหาเริ่มต้นบนเครื่องที่ไม่ได้อยู่ใต้การบริหารจัดการจริง ต้นเหตุคือมัลแวร์เขียนคีย์นโยบายลงเครื่องผู้ใช้แล้วบังคับติดตั้งส่วนขยายที่ผู้ใช้ลบไม่ได้ พร้อมขึ้นข้อความ Managed by your organization ทั้งที่ไม่มีองค์กรใดดูแล กลไกใหม่จะยกเลิกการติดตั้งและจำรหัสส่วนขยายที่ถูกบล็อกไว้ ขณะนี้โค้ดยังอยู่ระหว่างตรวจทานใน Chromium Gerrit จึงยังไม่มีใน Chrome รุ่นเสถียร

Cisco Talos เปิดเผยมัลแวร์ msaRAT ที่กลุ่มแรนซัมแวร์ Chaos ใช้ควบคุมเครื่องเหยื่อ โดยไม่เปิดการเชื่อมต่อออกเน็ตด้วยตัวเอง แต่สั่งเบราว์เซอร์ Chrome หรือ Edge ให้ทำงานแบบ headless ผ่าน Chrome DevTools Protocol แล้วส่งข้อมูล C2 ออกทางช่อง WebRTC ที่รีเลย์ผ่านบริการ TURN ของ Twilio ทำให้ผู้ป้องกันเห็นแค่เบราว์เซอร์คุยกับ Cloudflare และ Twilio ที่อยู่เซิร์ฟเวอร์ของผู้โจมตีไม่โผล่ให้เห็นเลย เป็น implant เขียนด้วยภาษา Rust ที่ทำงานหลังยึดเครื่องได้แล้วและก่อนปล่อยตัวเข้ารหัส

นักวิจัยจากบริษัท Manifold Security พบช่องโหว่ในส่วนขยาย Claude for Chrome ของบริษัท Anthropic ที่เปิดทางให้ส่วนขยายอันตรายสั่งให้ AI ทำงานแทนผู้ใช้ได้ ต้นเหตุคือส่วนขยายไม่ตรวจสอบคุณสมบัติ Event.isTrusted จึงแยกไม่ออกว่าคลิกมาจากคนจริงหรือจากสคริปต์ ผู้โจมตีจึงสร้างคลิกปลอมบนโดเมน claude.ai เพื่อเรียกงานสำเร็จรูป 9 รายการ เช่น อ่าน Gmail แก้ไขข้อมูลใน Salesforce หรือสร้างนัดหมายใน Google Calendar ล่าสุดยังใช้งานได้กับเวอร์ชัน 1.0.80

Google และ Mozilla ออกอัปเดต Chrome 150 และ Firefox 152 อุดช่องโหว่ระดับวิกฤต โดย Firefox 152.0.6 แก้ช่องโหว่ร้ายแรง 2 รายการใน WebAssembly และ DOM Navigation ที่มีโค้ดโจมตีเผยแพร่สู่สาธารณะแล้ว ส่วน Chrome แก้ 15 ช่องโหว่ รวม Use-After-Free ระดับวิกฤต 2 รายการใน Ozone แม้ยังไม่พบการโจมตีจริง แต่ผู้ใช้ควรรีบอัปเดตเบราว์เซอร์ทันที

นักวิจัย Check Point พบมัลแวร์ตัวใหม่ที่ถูกสร้างด้วย DeepSeek ซึ่งเชื่อมแนวคิดแรนซัมแวร์ในเบราว์เซอร์ที่เคยถูกมองว่าเป็นไปไม่ได้ เข้ากับความสามารถจริงของ File System Access API จนกลายเป็นการโจมตีที่ทำงานได้ในเบราว์เซอร์ล้วน ตัวอย่างเป็น Python Flask ชื่อ InfernoGrabber v9.0 ที่ขโมยข้อมูลและเรียกค่าไถ่ Bitcoin การโจมตีทำงานได้บน Windows, macOS, Linux, Android และ Edge เป็นครั้งแรกที่โมเดล AI หาเส้นทางโจมตีใหม่ได้เอง ยังไม่พบการใช้จริงในโลก

นักวิจัยจากบริษัท Rebora Security พบช่องโหว่ร้ายแรงในส่วนขยาย Chrome ยอดนิยม SiderAI และ MaxAI ที่ติดตั้งบนอุปกรณ์กว่า 10 ล้านเครื่อง ช่องโหว่ชื่อ Spyder และ MaXSS เกิดจากการจัดการการสื่อสารระหว่างเว็บเพจกับ content script ที่ไม่ปลอดภัย เปิดทางให้เว็บอันตรายสั่ง action สิทธิ์สูง เปิดแท็บซ่อน จับภาพหน้าจอ เข้าถึง Gmail/Calendar และดูดบทสนทนา AI ได้โดยเหยื่อไม่รู้ตัวเพียงแค่เข้าเว็บอันตราย ผู้ผลิตไม่ตอบกลับจึงเปิดเผยสู่สาธารณะ

CISA เพิ่มช่องโหว่ 3 รายการเข้าแคตตาล็อก KEV ได้แก่ CVE-2026-20245 ใน Cisco Catalyst SD-WAN Manager (CVSS 7.8) CVE-2026-11645 ใน Chrome V8 (CVSS 8.8) และ CVE-2026-7473 ใน Arista EOS (CVSS 6.9) หน่วยงานรัฐบาลกลางสหรัฐฯ ต้องแพตช์ภายในวันที่ 23 มิถุนายน แต่ Arista ประกาศว่าไม่มีแผนออกแพตช์สำหรับช่องโหว่ดังกล่าว