ช่องโหว่ระดับ Critical บน Chrome อาจทำให้ผู้โจมตีสั่งรันโค้ดตามที่ต้องการได้

Google ได้ปล่อย Security Update ของช่องโหว่ระดับ Critical สำหรับเบราว์เซอร์ Chrome เพื่อแก้ไขช่องโหว่ระดับสูงหลายรายการที่อาจทำให้ผู้โจมตีสามารถสั่งรันโค้ดบนระบบที่ได้รับผลกระทบได้

ขอแนะนำให้ผู้ใช้งานอัปเดตทันที เนื่องจากพบช่องโหว่หลายรายการที่ส่งผลกระทบต่อองค์ประกอบหลักของเบราว์เซอร์

Chrome Stable channel ล่าสุดได้รับการอัปเดตเป็นเวอร์ชัน 149.0.7827.155/.156 สำหรับ Windows และ macOS เวอร์ชัน 149.0.7827.155 สำหรับ Linux

การปล่อยอัปเดตจะเป็นแบบค่อยเป็นค่อยไป และจะถึงผู้ใช้งานทั้งหมดในช่วงไม่กี่วัน และไม่กี่สัปดาห์ข้างหน้า release นี้รวม Security Fixes จำนวน 33 รายการ ซึ่งหลายรายการถูกจัดอยู่ในระดับ Critical เนื่องจากมีโอกาสที่จะถูกนำไปทำ Remote Code Execution (RCE) ได้

Google ได้จำกัดการเข้าถึงข้อมูลทางเทคนิคเชิงลึกสำหรับช่องโหว่บางรายการไว้ จนกว่าผู้ใช้งานส่วนใหญ่จะติดตั้งอัปเดตนี้เป็นที่เรียบร้อย

ช่องโหว่ Chrome ที่ทำให้สามารถ Code Execution ได้

ในบรรดาช่องโหว่ที่ได้รับการ Patch มีช่องโหว่ระดับ Critical 7 รายการที่สำคัญ ซึ่งส่วนใหญ่เกี่ยวข้องกับช่องโหว่ประเภท Memory Corruption แบบ "Use-after-free" ช่องโหว่เหล่านี้อาจทำให้ผู้โจมตีสามารถจัดการหน่วยความจำ และรันโค้ดภายใน Browser ได้

ช่องโหว่ระดับ Critical ที่สำคัญ ได้แก่:

  • CVE-2026-12437: Use-after-free ใน WebShare
  • CVE-2026-12438: Inappropriate implementation ใน WebView
  • CVE-2026-12439 และ CVE-2026-12440: Use-after-free ใน Digital Credentials
  • CVE-2026-12441: Use-after-free ใน File Input
  • CVE-2026-12442: Use-after-free ใน Passwords
  • CVE-2026-12443: Use-after-free ใน Web Authentication

ช่องโหว่แบบ Use-after-free เกิดขึ้นเมื่อมีการเข้าถึง Memory หลังจากที่มันถูกคืนค่าไปแล้ว ซึ่งอาจทำให้ผู้โจมตีสามารถทำลายโครงสร้างของ Memory และเข้าควบคุมลำดับการทำงานได้

ในสถานการณ์จริง เหยื่อเพียงแค่เข้าไปเยี่ยมชมหน้าเว็บที่เป็นอันตรายก็สามารถทำให้เกิดการโจมตีช่องโหว่ (Exploit) ได้โดยไม่ต้องมีการโต้ตอบใด ๆ เพิ่มเติม นอกเหนือจากช่องโหว่ระดับ Critical แล้ว Google ยังได้ Patch ช่องโหว่ระดับสูงอีกหลาย Components เช่น WebRTC, Extensions, Safe Browsing, GPU และ File System Access

ช่องโหว่อื่น ๆ ที่สำคัญ

ช่องโหว่ Heap buffer overflow ใน WebRTC CVE-2026-12447, CVE-2026-12461 Out-of-bounds read ใน Chromoting และ WebRTC

ช่องโหว่ Use-after-free หลายรายการใน Extensions, Media, Downloads และ Browser ช่องโหว่ด้าน Insufficient validation และ Policy enforcement ในส่วนของการจัดการ Input และ Extensions

ช่องโหว่เหล่านี้อาจนำไปสู่เหตุการณ์ Data leak, การทำ Sandbox escape หรือการต่อยอด Exploitation chain อื่น ๆ เมื่อนำไปรวมกับช่องโหว่ในส่วนอื่น

Google ให้เครดิตเครื่องมือ Security ภายในของตนเองสำหรับการค้นพบช่องโหว่เหล่านี้หลายรายการ รวมถึงกลไกอย่าง AddressSanitizer, MemorySanitizer, libFuzzer และ Control Flow Integrity

เครื่องมือเหล่านี้มีบทบาทสำคัญในการค้นหาช่องโหว่ด้าน Memory Safety เชิงรุก ก่อนที่มันจะถูกนำไปใช้ในการโจมตีจริง

ผู้ใช้งาน และองค์กรควรดำเนินการทันที:

  • อัปเดต Chrome ให้เป็นเวอร์ชันล่าสุดผ่านทาง Settings > About Chrome
  • Restart เบราว์เซอร์เพื่อให้มั่นใจว่า Patch ถูกนำไปใช้งานแล้ว
  • Monitor สภาพแวดล้อมในระดับ Enterprise เพื่อค้นหาเวอร์ชันเบราว์เซอร์ที่ยังไม่ได้อัปเดต
  • ประยุกต์ใช้กลยุทธ์ Defense-in-depth เช่น Endpoint protection และ Browser isolation

ด้วยจำนวนของ Vulnerability ประเภท Memory corruption ระดับ Critical ที่มีมาก การอัปเดตช้าจะยิ่งเพิ่มความเสี่ยงในการถูก Exploit มากขึ้น

ที่มา : cybersecuritynews