Google ปล่อยอัปเดต Chrome เวอร์ชัน 151.0.7922.71/.72 สู่ Stable Channel เมื่อวันที่ 29 กรกฎาคม 2569 โดยแก้ไขช่องโหว่ด้านความปลอดภัยรวมทั้งสิ้น 370 รายการ นับเป็นหนึ่งในการอัปเดตที่แก้ไขช่องโหว่จำนวนมากที่สุดครั้งหนึ่งของ Chrome ในรอบปีนี้ โดยในจำนวนนี้มีช่องโหว่ระดับ Critical ถึง 7 รายการ
รายละเอียดช่องโหว่ระดับ Critical
ช่องโหว่ระดับ Critical ทั้ง 7 รายการได้รับหมายเลข CVE-2026-17650 ถึง CVE-2026-17656 โดยส่วนใหญ่เป็นช่องโหว่ประเภท Use-After-Free (UAF) ซึ่งเกิดขึ้นในองค์ประกอบหลักของ Browser ได้แก่:
- Compositing — ส่วนที่เกี่ยวข้องกับการ Scroll และ Animation แบบ Smooth Scrolling (CVE-2026-17650)
- Views
- Skia — Graphics Rendering Engine
- Ozone — ระบบจัดการ Windowing บน Linux
ช่องโหว่ประเภท Use-After-Free ในองค์ประกอบเหล่านี้เปิดโอกาสให้ผู้โจมตีสามารถโจมตีแบบ Remote Code Execution (RCE), Sandbox Escape หรือ Privilege Escalation ได้ หากถูกใช้ประโยชน์สำเร็จ
ขอบเขตของการแก้ไขทั้งหมด
นอกเหนือจากช่องโหว่ระดับ Critical แล้ว การอัปเดตครั้งนี้ยังครอบคลุมการแก้ไขในระดับอื่นด้วย:
- High: 71 รายการ
- Medium: 170 รายการ
- Low: 122 รายการ
รวมเป็นช่องโหว่ที่ได้รับการแก้ไขทั้งหมด 370 รายการในการอัปเดตครั้งเดียว
แพลตฟอร์มที่ได้รับอัปเดต
- Windows และ macOS: เวอร์ชัน 151.0.7922.71/.72
- Linux: เวอร์ชัน 151.0.7922.71
ปัจจุบันยังไม่มีรายงานยืนยันว่าช่องโหว่ชุดนี้ถูกใช้โจมตีจริง (In-the-Wild) ก่อนที่ Google จะเผยแพร่แพตช์แก้ไข
ผลกระทบที่อาจเกิดขึ้นหากไม่อัปเดต
- เสี่ยงต่อการถูกโจมตีแบบ Remote Code Execution ผ่านการเข้าชมเว็บไซต์ที่ถูกออกแบบมาเป็นพิเศษ โดยไม่ต้องอาศัยการโต้ตอบใดๆ จากผู้ใช้เพิ่มเติม
- เสี่ยงต่อการหลบหนี Sandbox ของ Browser ซึ่งอาจนำไปสู่การเข้าถึงระบบปฏิบัติการโดยตรง
- องค์กรที่มีเครื่อง Endpoint จำนวนมากยังไม่ได้อัปเดต มีพื้นผิวการโจมตีกว้างขึ้น โดยเฉพาะหากเปิดใช้งาน Browser เป็นช่องทางเข้าถึงระบบงานหลัก
สิ่งที่องค์กรควรทำ
- อัปเดต Chrome เป็นเวอร์ชันล่าสุดทันทีในทุกเครื่อง ทั้งเซิร์ฟเวอร์ เครื่อง Endpoint และอุปกรณ์ที่ใช้งาน Browser นี้เป็นหลัก
- ตรวจสอบว่า Browser ตระกูล Chromium อื่นที่องค์กรใช้งาน เช่น Microsoft Edge ได้รับการอัปเดตควบคู่กันด้วย เนื่องจากมักใช้ Engine ร่วมกันและมีช่องโหว่คล้ายกัน
- เปิดใช้งาน Auto-update สำหรับ Browser ในนโยบายองค์กร เพื่อลดช่วงเวลาที่ระบบมีความเสี่ยงจากช่องโหว่ที่เพิ่งถูกเปิดเผย
- ตรวจสอบเวอร์ชัน Browser ที่ใช้งานทั่วทั้งองค์กรผ่านเครื่องมือ Asset/Patch Management เพื่อยืนยันว่าไม่มีเครื่องใดตกหล่นจากการอัปเดต
แนวทางลดความเสี่ยงระยะยาว
1. กำหนดนโยบาย Patch Management สำหรับ Browser ให้มีรอบการอัปเดตที่รวดเร็ว
เนื่องจาก Browser เป็นซอฟต์แวร์ที่ใช้งานบ่อยและเชื่อมต่อกับอินเทอร์เน็ตโดยตรง ควรมีรอบการ Patch ที่เร็วกว่าซอฟต์แวร์ทั่วไป
2. ใช้เครื่องมือ Centralized Browser Management
เพื่อบังคับการอัปเดตและตรวจสอบสถานะเวอร์ชันของ Browser ทุกเครื่องในองค์กรได้แบบรวมศูนย์ ลดความเสี่ยงจากเครื่องที่หลุดรอดการอัปเดต
3. พิจารณาใช้ Browser Isolation หรือ Sandboxing เพิ่มเติมสำหรับกลุ่มผู้ใช้ที่มีความเสี่ยงสูง
เช่น ผู้ที่ต้องเข้าถึงเว็บไซต์ภายนอกจำนวนมาก เพื่อลดผลกระทบหากช่องโหว่ Browser ถูกใช้โจมตีก่อนอัปเดตทัน
4. ติดตามประกาศ Security Bulletin ของ Chrome และ Chromium-based Browser อย่างสม่ำเสมอ
เนื่องจากช่องโหว่ระดับ Critical ในองค์ประกอบหลักอย่าง Compositing และ Rendering Engine มีแนวโน้มถูกค้นพบอย่างต่อเนื่อง
วิเคราะห์ในมุมมองจาก TXEC
แม้ในการอัปเดตครั้งนี้ Google จะยังไม่พบหลักฐานว่าช่องโหว่ถูกใช้โจมตีจริง แต่จำนวนช่องโหว่ระดับ Critical ที่เป็น Use-After-Free ถึง 4 รายการในองค์ประกอบสำคัญของ Browser สะท้อนว่า Attack Surface ของ Chrome ยังคงมีความซับซ้อนสูง และเป็นเป้าหมายที่นักวิจัยด้านความปลอดภัยรวมถึงผู้โจมตีให้ความสนใจอย่างต่อเนื่อง
TXEC มองว่าองค์กรไม่ควรรอจนกว่าจะมีรายงานการโจมตีจริงก่อนจึงอัปเดต Browser เนื่องจากช่วงเวลาระหว่างการเปิดเผยช่องโหว่กับการเริ่มถูกโจมตีจริงมีแนวโน้มสั้นลงเรื่อยๆ การมีนโยบาย Auto-update ที่บังคับใช้จริงทั่วทั้งองค์กรจึงเป็นมาตรการป้องกันพื้นฐานที่คุ้มค่าที่สุดสำหรับความเสี่ยงประเภทนี้
รู้ก่อน ตรวจพบเร็ว ลดความเสียหายได้มากกว่า
[ แหล่งอ้างอิง: Google, SecurityWeek, CyberSecurityNews, GBHackers, Infosecurity Magazine ]