CERT-In เตือนผู้ใช้ Chrome หลัง Google อุดช่องโหว่ความปลอดภัย 37 รายการ รวมช่องโหว่ระดับวิกฤต 7 รายการ

เตือนผู้ใช้คอมพิวเตอร์ตั้งโต๊ะให้อัปเดตแพตช์ความปลอดภัย Chrome

ทีมรับมือเหตุฉุกเฉินทางคอมพิวเตอร์ของอินเดีย หรือ CERT-In ออกคำเตือนเมื่อวันที่ 14 ตุลาคม 2026 เกี่ยวกับช่องโหว่ใน Google Chrome ซึ่งอาจเปิดทางให้ผู้โจมตีเรียกใช้โค้ดอันตราย เข้าถึงข้อมูลสำคัญ หรือทำให้คอมพิวเตอร์ที่ได้รับผลกระทบขัดข้อง Google เผยแพร่แพตช์แก้ไขช่องโหว่ด้านความปลอดภัย 37 รายการเมื่อวันก่อนหน้า โดยมี 7 รายการที่จัดอยู่ในระดับวิกฤต

Chrome เวอร์ชันที่ได้รับผลกระทบคือรุ่นก่อน 155.0.8059.79 บน Linux และรุ่นก่อน 155.0.8059.79/.80 บน Windows และ macOS ผู้ใช้ควรเปิดหน้า About ของ Chrome ตรวจสอบการอัปเดต และเปิดเบราว์เซอร์ใหม่เมื่อระบบแจ้ง เพื่อให้การติดตั้งเสร็จสมบูรณ์

ประกาศ การออกรุ่นสำหรับคอมพิวเตอร์ตั้งโต๊ะของ Google ลงวันที่ 13 ตุลาคม ระบุช่องโหว่ระดับวิกฤต 7 รายการ ระดับสูง 29 รายการ และระดับปานกลาง 1 รายการ จุดอ่อนเหล่านี้เกี่ยวข้องกับกราฟิก เอกสาร เครือข่าย รหัสผ่าน และซอฟต์แวร์ที่ใช้ประมวลผลคำสั่งของเว็บไซต์

Google ระบุว่าการทยอยเผยแพร่อาจใช้เวลาหลายวันหรือหลายสัปดาห์ ผู้ที่ตรวจสอบทันทีจึงอาจต้องกลับมาตรวจอีกครั้งเมื่อมีการส่งอัปเดตไปยังคอมพิวเตอร์เพิ่มเติม

เวอร์ชันใดต้องอัปเดต?

คำเตือนของ CERT-In ครอบคลุม Chrome สำหรับคอมพิวเตอร์ตั้งโต๊ะบน Windows, macOS และ Linux ศูนย์ประสานงานทีมรับมือเหตุฉุกเฉินทางคอมพิวเตอร์ฮ่องกง หรือ HKCERT ระบุเวอร์ชันที่ได้รับผลกระทบตรงกัน และแนะนำให้ติดตั้งแพตช์จากผู้พัฒนา

• Linux: ติดตั้ง Chrome เวอร์ชัน 155.0.8059.79 หรือใหม่กว่า
• Windows: ติดตั้ง Chrome เวอร์ชัน 155.0.8059.79/.80 หรือใหม่กว่า
• macOS: ติดตั้ง Chrome เวอร์ชัน 155.0.8059.79/.80 หรือใหม่กว่า

หมายเลขเวอร์ชันมีความสำคัญ เพราะแพตช์เหล่านี้ส่งผ่านการอัปเดตเบราว์เซอร์ คอมพิวเตอร์อาจยังเปิดเว็บไซต์ได้ตามปกติ แม้กำลังใช้เวอร์ชันที่มีจุดอ่อนดังกล่าว สำหรับผู้ใช้ตามบ้าน สิ่งที่ควรทำทันทีคือเช็กคอมพิวเตอร์ทุกเครื่อง ส่วนองค์กรควรตรวจสอบว่าเครื่องใดได้รับรุ่นอัปเดตแล้ว และดำเนินการเปิดเบราว์เซอร์ใหม่ตามที่กำหนดเรียบร้อยหรือไม่

ตรวจสอบเวอร์ชัน Chrome ได้ที่ Help แล้วเลือก About Google Chrome จากเมนูที่เปิดด้วยจุดสามจุดมุมขวาบนของเบราว์เซอร์ หน้านี้จะตรวจสอบด้วยว่ามีอัปเดตพร้อมติดตั้งหรือไม่

ช่องโหว่ระดับวิกฤต 7 รายการกระทบฟังก์ชันหลักของเบราว์เซอร์

Google ระบุว่า CVE-2026-110152 เป็นช่องโหว่บัฟเฟอร์ล้นระดับวิกฤตใน ANGLE ซึ่งเป็นส่วนประกอบด้านกราฟิกที่ Chrome ใช้ บัฟเฟอร์คือพื้นที่หน่วยความจำที่จัดไว้สำหรับเก็บข้อมูล ส่วนบัฟเฟอร์ล้นเกิดขึ้นเมื่อซอฟต์แวร์เขียนข้อมูลเกินขอบเขตของพื้นที่ดังกล่าว ซึ่งอาจทำให้ข้อมูลที่อยู่ใกล้เคียงเสียหาย หรือเปิดทางให้ผู้โจมตีแทรกแซงการทำงานของโปรแกรม

ตามประกาศการออกรุ่นของ Google Zhenpeng (Leo) Lin จาก depthfirst รายงานช่องโหว่ ANGLE เมื่อวันที่ 30 กันยายน ผลกระทบที่อาจเกิดขึ้นรวมถึงโปรแกรมขัดข้องและการเรียกใช้โค้ดอันตราย

ช่องโหว่ระดับวิกฤตอีก 6 รายการเป็นข้อผิดพลาดแบบ use after free ทั้งหมด กระทบส่วนประกอบ Browser, PDF, Network, Core, SVG และ Media ซึ่งรองรับการทำงานตั้งแต่จัดการเอกสารและกราฟิก ไปจนถึงการสื่อสารผ่านเครือข่าย

ข้อผิดพลาดแบบ use after free เกิดขึ้นเมื่อซอฟต์แวร์ยังใช้พื้นที่หน่วยความจำต่อ หลังจากปล่อยพื้นที่นั้นไปแล้ว ลองนึกถึงโปรแกรมที่ยังปฏิบัติต่อพื้นที่จัดเก็บเดิมราวกับว่าข้อมูลยังเป็นของตน ทั้งที่พื้นที่นั้นอาจถูกนำไปใช้เก็บข้อมูลอื่นแล้ว ผู้โจมตีอาจควบคุมข้อมูลที่เข้ามาแทนที่ และทำให้โปรแกรมทำงานผิดปกติหรือเปลี่ยนเส้นทางการทำงานได้

Google ระบุรหัสช่องโหว่ระดับวิกฤตทั้ง 6 รายการ ได้แก่ CVE-2026-110149, CVE-2026-110136, CVE-2026-110161, CVE-2026-110165, CVE-2026-110148 และ CVE-2026-110151 เมื่อรวมกับช่องโหว่ ANGLE แล้ว ทั้งหมดคิดเป็น 7 จากแพตช์ 37 รายการ หรือประมาณหนึ่งในห้า

คอมพิวเตอร์ที่ได้รับผลกระทบอาจเกิดอะไรขึ้น?

CERT-In เตือนว่าการโจมตีช่องโหว่อาจนำไปสู่การเรียกใช้โค้ดใดก็ได้ การเปิดเผยข้อมูลสำคัญ หรือการปฏิเสธการให้บริการ กล่าวง่าย ๆ คือผู้โจมตีอาจสั่งให้เครื่องทำงานตามคำสั่งที่ตนกำหนด เปิดเผยข้อมูลส่วนตัว หรือทำให้ซอฟต์แวร์หยุดทำงานตามปกติ

ประกาศเตือนความปลอดภัย Chromeของ HKCERT ซึ่งลงวันที่ 14 ตุลาคมเช่นกัน ระบุผลกระทบที่อาจเกิดขึ้นเพิ่มเติมอีก 2 ประการ ได้แก่ การยกระดับสิทธิ์และการหลบเลี่ยงข้อจำกัดด้านความปลอดภัย ประการแรกหมายถึงการได้สิทธิ์เกินกว่าที่ปกติอนุญาต ส่วนประการที่สองคือการหาทางเลี่ยงกฎป้องกัน

HKCERT จัดประกาศเตือนฉบับนี้อยู่ในระดับความเสี่ยงปานกลาง ขณะที่ Google จัดช่องโหว่ 7 รายการเป็นระดับวิกฤต การประเมินทั้งสองใช้ขอบเขตต่างกัน โดย HKCERT ให้ระดับความเสี่ยงแก่ประกาศทั้งฉบับ ส่วน Google จำแนกช่องโหว่แต่ละรายการแยกกัน HKCERT แนะนำให้ติดตั้งแพตช์แก้ไข

ประกาศของ HKCERT แสดงรหัส CVE-2026-110136 ถึง CVE-2026-110172 ซึ่งเป็นลำดับที่ครอบคลุมรหัสครบทั้ง 37 รายการ หมายเลข CVE เป็นรหัสอ้างอิงที่ช่วยให้ผู้พัฒนาซอฟต์แวร์และผู้ดูแลระบบติดตามปัญหาความปลอดภัยเดียวกันได้จากประกาศและการอัปเดตต่าง ๆ

รหัสผ่าน JavaScript และเอกสารก็ได้รับผลกระทบ

แพตช์ระดับความรุนแรงสูง 29 รายการของ Google รวมถึงปัญหาใน V8 ซึ่งเป็นเอนจิน JavaScript ของ Chrome JavaScript ใช้กำหนดคำสั่งที่ทำให้เว็บไซต์จำนวนมากมีการโต้ตอบได้ จุดอ่อนในเอนจินอาจเกิดขึ้นขณะที่เบราว์เซอร์กำลังประมวลผลคำสั่งเหล่านั้น

รายการช่องโหว่ของ V8 ประกอบด้วยข้อผิดพลาดแบบสับสนชนิดข้อมูล CVE-2026-110140 และข้อผิดพลาดแบบ use after free 2 รายการ คือ CVE-2026-110168 และ CVE-2026-110169 การสับสนชนิดข้อมูลหมายถึงซอฟต์แวร์จัดการข้อมูลชิ้นหนึ่งเสมือนเป็นข้อมูลคนละประเภท ซึ่งอาจนำไปสู่การทำงานกับหน่วยความจำที่ไม่ปลอดภัย

ส่วนประกอบ Passwords ของ Chrome มีช่องโหว่ระดับสูง 3 รายการ ได้แก่ การรั่วไหลของข้อมูล และข้อผิดพลาดแบบ use after free อีก 2 รายการ แพตช์อื่น ๆ เกี่ยวข้องกับ Extensions, WebRTC, DOM, Canvas และ PDFium ซึ่งรองรับส่วนเสริม การสื่อสารของเบราว์เซอร์ โครงสร้างหน้าเว็บ การวาดภาพ และการประมวลผล PDF

Google ยังระบุจุดอ่อนที่เกี่ยวข้องกับสิทธิ์ใน ReadingMode, Installer, Updater และ Mojo ตัวอย่างเช่น ข้อผิดพลาดด้านการอนุญาตเกี่ยวข้องกับการที่โปรแกรมตรวจสอบอย่างถูกต้องหรือไม่ว่าผู้ใช้ได้รับอนุญาตให้ดำเนินการนั้น ส่วนช่องโหว่ระดับปานกลางเพียงรายการเดียวเป็นช่องโหว่แบบ use after free ใน FileSystem รหัส CVE-2026-110142

รายการที่ครอบคลุมหลายส่วนเช่นนี้แสดงให้เห็นว่าเหตุใดการอัปเดตจึงสำคัญ ไม่ได้จำกัดอยู่แค่การใช้งานท่องเว็บประเภทใดประเภทหนึ่ง Chrome ประมวลผลข้อความ สคริปต์ กราฟิก เอกสาร และข้อมูลเครือข่าย โดยรุ่นนี้แก้ไขจุดอ่อนในเส้นทางประมวลผลหลายส่วน

ใครเป็นผู้รายงานช่องโหว่?

ตามเครดิตในประกาศของ Google Xinyang Ge จาก Anthropic รายงานช่องโหว่ V8 ระดับสูง CVE-2026-110169 เมื่อวันที่ 28 กันยายน โดยมี Claude ช่วยเหลือ ประกาศระบุนักวิจัย องค์กร และผู้ช่วยเหลือ แต่ไม่ได้ให้รายละเอียดเพิ่มเติมเกี่ยวกับบทบาทของ Claude

Google ยังให้เครดิต Xinyang Ge สำหรับการค้นพบช่องโหว่อื่น ๆ หลายรายการ รวมถึงช่องโหว่ระดับวิกฤตใน PDF, SVG และ Media ส่วนช่องโหว่ Browser, Network และ Core ระดับวิกฤตเป็นการรายงานโดย Google เอง ผู้ร่วมค้นพบรายอื่นที่มีชื่ออยู่ในประกาศ ได้แก่ Hoyong Jin, M. Fauzan Wijaya, Aria Akhavan, Souma Ohsawa และ Andrew Boni

วันที่รายงานแสดงให้เห็นว่าการอัปเดตครั้งนี้รวบรวมผลการค้นพบที่เกิดขึ้นในช่วงหลายเดือน รายการของ Google มีช่องโหว่ Bindings ที่รายงานเมื่อวันที่ 25 มีนาคม รวมถึงช่องโหว่ Media ที่รายงานล่าสุดเมื่อวันที่ 6 ตุลาคม โดยทั้งหมดได้รับการแก้ไขพร้อมกันในการออกรุ่นเสถียรครั้งนี้

เหตุใดรายละเอียดทางเทคนิคบางส่วนจึงยังถูกจำกัด

Google ระบุว่าระเบียนบั๊กบางรายการอาจยังถูกจำกัดการเข้าถึงระหว่างที่ผู้ใช้ทยอยได้รับอัปเดต Srinivas Sista ผู้เผยแพร่ประกาศการออกรุ่นของ Google Chrome อธิบายนโยบายการเปิดเผยข้อมูลของบริษัทว่า:

การเข้าถึงรายละเอียดบั๊กและลิงก์อาจถูกจำกัดไว้จนกว่าผู้ใช้ส่วนใหญ่จะได้รับการอัปเดตที่มีแพตช์แก้ไข

Google ยังระบุว่าการจำกัดการเข้าถึงอาจดำเนินต่อไป หากช่องโหว่กระทบไลบรารีที่โครงการอื่นใช้อยู่และยังไม่ได้แก้ไข ไลบรารีคือซอฟต์แวร์ที่นำกลับมาใช้ซ้ำได้ ดังนั้นข้อผิดพลาดพื้นฐานเดียวกันอาจต้องได้รับการแก้ไขจากทีมพัฒนาหลายทีม

ประกาศการออกรุ่นระบุส่วนประกอบที่ได้รับผลกระทบและประเภทข้อผิดพลาด แต่จำกัดการเข้าถึงระเบียนทางเทคนิคเชิงลึกบางรายการ สำหรับผู้ใช้ ข้อมูลที่จำเป็นต่อการใช้งานคือเวอร์ชันที่มีแพตช์แก้ไข ส่วนผู้ดูแลระบบสามารถใช้รหัสเหล่านี้เทียบกับระบบติดตามช่องโหว่และรายการซอฟต์แวร์ได้

จากรายงานการค้นพบสู่คำเตือนสาธารณะ

วันที่สำคัญแสดงลำดับตั้งแต่การค้นพบช่องโหว่แต่ละรายการ กลายเป็นการอัปเดตเบราว์เซอร์ และนำไปสู่คำเตือนด้านความปลอดภัยต่อสาธารณะ:

• 28 กันยายน 2026: Xinyang Ge จาก Anthropic รายงาน CVE-2026-110169 ใน V8 โดยมี Claude ช่วยเหลือ
• 30 กันยายน: Zhenpeng (Leo) Lin จาก depthfirst รายงานช่องโหว่บัฟเฟอร์ล้นระดับวิกฤตใน ANGLE
• 1 ถึง 6 ตุลาคม: Google และนักวิจัยรายอื่นรายงานช่องโหว่ระดับวิกฤตและระดับสูงเพิ่มเติมหลายรายการ ซึ่งรวมอยู่ในการออกรุ่นนี้
• 13 ตุลาคม: Google ประกาศอัปเดต Chrome รุ่นเสถียรที่มีแพตช์ความปลอดภัย 37 รายการ
• 14 ตุลาคม: CERT-In ออกคำเตือน และ HKCERT เผยแพร่ประกาศที่ครอบคลุมรหัสทั้ง 37 รายการเดียวกัน

วันที่ออกรุ่นของ Google เป็นจุดเริ่มต้นของการทยอยเผยแพร่ โดย Google ระบุว่าอาจใช้เวลาหลายวันหรือหลายสัปดาห์ หมายความว่าจะยังมีการส่งอัปเดตต่อไปหลังประกาศเผยแพร่ ผู้ใช้จึงควรกลับมาตรวจสอบอีกครั้ง หากในครั้งแรกยังไม่พบอัปเดต

วิธีอัปเดตให้เสร็จสมบูรณ์

ผู้ใช้ Chrome เริ่มอัปเดตได้จากหน้าตรวจสอบการอัปเดตที่มีอยู่ในเบราว์เซอร์ ขั้นตอนมีดังนี้:

• เปิด Chrome แล้วเลือกเมนูจุดสามจุดมุมขวาบน
• เลือก Help แล้วเลือก About Google Chrome
• ให้ Chrome ตรวจสอบและดาวน์โหลดอัปเดตที่พร้อมใช้งาน
• บันทึกงานที่ยังทำไม่เสร็จ แล้วเลือก Relaunch หากระบบแจ้ง
• กลับไปที่หน้า About เพื่อตรวจสอบเวอร์ชันที่ติดตั้ง

การเปิดเบราว์เซอร์ใหม่มีความสำคัญ เพราะการดาวน์โหลดอัปเดตและการใช้งานเบราว์เซอร์รุ่นที่อัปเดตแล้วเป็นคนละขั้นตอน การเปิดเซสชันเบราว์เซอร์รุ่นเก่าค้างไว้อาจทำให้การติดตั้งเสร็จช้า

องค์กรควรตรวจสอบเวอร์ชันที่ติดตั้งในคอมพิวเตอร์ตั้งโต๊ะทุกเครื่อง รวมถึงอุปกรณ์ที่ผู้ใช้แทบไม่เคยปิดเบราว์เซอร์ เป้าหมายที่ชัดเจนคือยืนยันว่าเครื่องกำลังใช้รุ่นที่มีแพตช์แล้ว และรีสตาร์ตตามที่จำเป็นเรียบร้อย

ผู้ใช้ที่ยังไม่เห็นอัปเดตควรกลับมาตรวจสอบระหว่างที่ Google ทยอยเผยแพร่ ประกาศอย่างเป็นทางการระบุว่าการส่งอัปเดตอาจใช้เวลาหลายวันหรือหลายสัปดาห์ ซึ่งนานกว่าการคาดหวังว่าคอมพิวเตอร์ทุกเครื่องจะได้รับอัปเดตในวันประกาศ

ผู้ใช้ Edge ควรติดตามแพตช์ด้วย

Microsoft Edge ใช้ Chromium ซึ่งเป็นแพลตฟอร์มเบราว์เซอร์เดียวกับที่ Chrome ใช้ ช่องโหว่บางรายการในซอฟต์แวร์ที่ใช้ร่วมกันนี้จึงอาจต้องได้รับการแก้ไขใน Edge ด้วย

Microsoft ยืนยันว่าได้รับทราบแพตช์ความปลอดภัย Chromium ล่าสุดในประกาศลงวันที่ 13 ตุลาคม และระบุว่ากำลังดำเนินการอัปเดต ขณะที่ออกคำเตือน ยังไม่มีการเผยแพร่อัปเดตความปลอดภัยสำหรับช่องทางรุ่นเสถียรที่เกี่ยวข้อง และ Microsoft ยังไม่ได้แจ้งวันเผยแพร่

ผู้ใช้ Edge ควรตรวจสอบอัปเดตจาก Microsoft เมื่อพร้อมใช้งาน ผู้ที่ใช้เบราว์เซอร์ทั้งสองควรตรวจสอบแยกกัน เพราะ Chrome รับอัปเดตความปลอดภัยจาก Google ส่วน Edge รับอัปเดตจาก Microsoft

ประเด็นสำคัญ

• CERT-In เตือนผู้ใช้ Chrome บนคอมพิวเตอร์ตั้งโต๊ะเมื่อวันที่ 14 ตุลาคม 2026 เกี่ยวกับช่องโหว่ที่อาจเปิดเผยข้อมูล ทำให้ซอฟต์แวร์ขัดข้อง หรือเปิดทางให้เรียกใช้โค้ดอันตราย
• อัปเดตที่ Google เผยแพร่เมื่อวันที่ 13 ตุลาคมแก้ไขช่องโหว่ 37 รายการ ได้แก่ ระดับวิกฤต 7 รายการ ระดับสูง 29 รายการ และระดับปานกลาง 1 รายการ
• เวอร์ชันที่แก้ไขแล้วคือ 155.0.8059.79 สำหรับ Linux และ 155.0.8059.79/.80 สำหรับ Windows และ macOS หรือรุ่นใหม่กว่า
• ผู้ใช้ควรไปที่ Help แล้วเลือก About Google Chrome ติดตั้งอัปเดต และเปิดเบราว์เซอร์ใหม่เมื่อระบบแจ้ง
• Google ระบุว่าการทยอยส่งอัปเดตอาจใช้เวลาหลายวันหรือหลายสัปดาห์ ส่วน Microsoft ยังไม่ได้ประกาศวันเผยแพร่อัปเดต Edge รุ่นเสถียรที่เกี่ยวข้อง