V8

Frontier Red Team ของ Anthropic เผยว่าโมเดล AI ภายในที่ยังไม่เปิดตัวพบช่องโหว่ใน Chrome, Safari, Android, Windows และ Linux แล้วร้อยเป็น exploit ใช้งานได้จริง 5 ชุด ชุดที่ร้ายแรงสุดรันคำสั่งระดับ root บนเซิร์ฟเวอร์ Linux ผ่านเครือข่ายโดยไม่ต้องล็อกอิน ส่วนชุด Chrome หลุดแซนด์บ็อกซ์ได้จากการเปิดหน้าเว็บครั้งเดียว ทุกช่องโหว่แจ้งผู้ผลิตและแพตช์แล้ว แต่บทบาทของคนในแต่ละขั้นยังตรวจสอบไม่ได้ และ CVE บางตัวมีคำอธิบายไม่ตรงกับที่ Anthropic เล่า ควรอัปเดต Chrome 156 และเคอร์เนล Linux

บริษัท Google ออก Chrome 156.0.8078.73/.74 สำหรับ Windows และ Mac และ 156.0.8078.73 สำหรับ Linux แก้ช่องโหว่ 52 รายการ ในจำนวนนี้มีระดับวิกฤต 4 ตัว ระดับสูง 46 ตัว และระดับกลาง 2 ตัว ช่องโหว่วิกฤตอยู่ใน FileSystem, FileAPI, Skia และ Layout ทั้งหมดรายงานโดยนาย Xinyang Ge จาก Anthropic ที่ใช้ Claude ช่วย Google ยังไม่ระบุวิธีโจมตีและไม่มีรายงานการโจมตีจริง ผู้ใช้ควรอัปเดตแล้วรีสตาร์ตเบราว์เซอร์ ส่วนผู้ดูแลควรเช็กเลข build ไม่ใช่ดูแค่เวอร์ชันหลัก

Google ออก Chrome 155.0.8059.84/.85 สำหรับ Windows และ Mac และ 155.0.8059.84 สำหรับ Linux เมื่อ 15 ต.ค. 2569 แก้ช่องโหว่ 10 รายการ ตัวร้ายแรงสุดคือ CVE-2026-110922 use-after-free ระดับวิกฤตในฟีเจอร์ Prerender ส่วน CVE-2026-110913 บั๊กหน่วยความจำใน DOM ระดับสูง Google ให้เครดิตนาย Xinyang Ge จาก Anthropic โดยมี Claude ช่วย ช่องโหว่ระดับสูงอื่นอยู่ใน V8, Core และ SVG และยังไม่มีรายงานว่าถูกโจมตีจริง

บริษัท XBOW เชื่อม 3 บั๊กของ Chrome เป็น full-chain exploit ที่แค่เปิดหน้าเว็บก็รันโค้ดบน Windows ได้ โดยใช้ AI agent บนโมเดล GPT-5.6 Sol ของ OpenAI ที่เปิดให้ใช้ทั่วไป ทำเสร็จใน 6 วันด้วยค่า AI ราว 40,000 ดอลลาร์ ชุดบั๊กไล่จาก V8 ไปตัวถอดรหัส WebP และ Crashpad ทะลุ sandbox ทั้ง 2 ชั้น Google แก้ครบแล้วใน Chrome 152 และจ่ายรางวัลสูงสุด 250,000 ดอลลาร์ ไม่มีการโจมตีผู้ใช้จริง แต่ต้นทุนสร้าง exploit ระดับนี้ลดลงมาก

Google ออกอัปเดต Chrome เมื่อวันอังคารที่ 8 กันยายน 2569 แก้ช่องโหว่ 230 รายการ รวมถึง CVE-2026-87491 ซึ่งเป็นบั๊กเขียนข้อมูลนอกขอบเขตในเอนจิน V8 ที่ถูกใช้โจมตีจริงแล้ว คำอธิบายใน NVD ระบุว่าหน้าเว็บที่ถูกสร้างขึ้นมาเป็นพิเศษทำให้รันโค้ดได้ภายในแซนด์บ็อกซ์ของเบราว์เซอร์ นับเป็น zero-day ของ Chrome ตัวที่ 7 ที่ถูกใช้โจมตีจริงในปีนี้ รอบเดียวกันยังแก้ช่องโหว่ระดับร้ายแรงอีก 5 รายการใน WebGL และ Cast และ CISA เพิ่มรหัสนี้เข้าแคตตาล็อก KEV พร้อมเส้นตาย 23 กันยายน 2569

นักวิจัยจาก Check Point Research แกะมัลแวร์ JSCeal ที่คอมไพล์เป็น V8 bytecode และซ้อนการพรางโค้ดหลายชั้นได้สำเร็จ มัลแวร์ขโมยคุกกี้ รหัสผ่าน และโทเคน OAuth จากเบราว์เซอร์ตระกูล Chromium หลายตัว แล้วนำคุกกี้ไปประกอบเซสชันขึ้นใหม่เพื่อสวมสิทธิ์บัญชี Google โดยข้ามการยืนยันตัวตน อีกทั้งยังติดตั้งพร็อกซีในเครื่องพร้อมออกใบรับรองเองเพื่อแก้ไขทราฟฟิกของ Binance Bybit และ Ledger แพร่กระจายผ่านโฆษณาปลอมที่อ้างชื่อแพลตฟอร์มเทรดคริปโต

Google ปล่อยอัปเดตความปลอดภัยปิดช่องโหว่ 12 รายการในเบราว์เซอร์ Chrome รวมถึง CVE-2026-85046 คะแนน CVSS 8.8 ซึ่งเป็นบั๊กประเภท type confusion ในเอนจิน V8 ที่ถูกนำไปใช้โจมตีจริงแล้ว ผู้โจมตีจากระยะไกลสามารถรันโค้ดตามอำเภอใจภายในแซนด์บ็อกซ์ผ่านหน้าเว็บ HTML ที่ปั้นขึ้นมาเป็นพิเศษ นับเป็น zero-day ตัวที่หกของ Chrome ที่ถูกโจมตีจริงในปีนี้ และ CISA ได้เพิ่มเข้าแคตตาล็อก KEV โดยกำหนดเส้นตายให้หน่วยงานรัฐบาลกลางแพตช์ภายในวันที่ 18 กันยายน 2569

นักวิจัยจากบริษัท Endor Labs เปิดเผยช่องโหว่วิกฤตใน isolated-vm ไลบรารีของ Node.js ที่ใช้รันจาวาสคริปต์ที่ไม่น่าเชื่อถือใน V8 Isolate ช่องโหว่ GHSA-864f-rcv7-6rh4 เป็น type confusion ในคลาส ExternalCopy ที่ทำให้โค้ดในแซนด์บ็อกซ์เขียนทับหน่วยความจำของโปรเซสหลักได้ ผลกระทบต่ำสุดคือทำให้โปรเซสล่ม สูงสุดคือยึดการควบคุมการทำงานของโปรเซสหลักจนอาจนำไปสู่การรันโค้ดจากระยะไกล กระทบทุกเวอร์ชันถึง 7.0.0 แก้แล้วใน 6.2.0 และ 7.0.1