Google เผยแพร่แพตช์ Chrome 151 Stable Channel รอบใหม่ (เวอร์ชัน 151.0.7922.75/.76) แก้ไขช่องโหว่ด้านความปลอดภัยเพิ่มอีก 41 รายการ ในจำนวนนี้มีช่องโหว่ระดับ Critical แบบ Memory-Safety 6 รายการ กระทบส่วนประกอบหลักของ Browser ได้แก่ WebGL, Aura, Skia, ANGLE และ Views การอัปเดตครั้งนี้เป็นแพตช์ต่อเนื่องจากการอัปเดตชุดใหญ่ 370 ช่องโหว่ที่ TXEC เคยรายงานไปเมื่อวันที่ 1 สิงหาคม 2569 สะท้อนว่า Google ยังคงพบและแก้ไขช่องโหว่ระดับ Critical ใน Chrome 151 อย่างต่อเนื่อง
รายละเอียดช่องโหว่ระดับ Critical
ช่องโหว่ Critical ทั้ง 6 รายการในรอบนี้ ได้แก่ CVE-2026-19137, CVE-2026-19149, CVE-2026-19154, CVE-2026-19157, CVE-2026-19170 และ CVE-2026-19172 โดย 5 รายการเป็นช่องโหว่ประเภท Use-After-Free (UAF) และอีก 1 รายการ (CVE-2026-19157) เป็น Out-of-Bounds Write ในส่วน ANGLE ซึ่งเป็น Graphics Translation Layer ของ Chrome
จุดที่น่าสนใจคือช่องโหว่ 2 รายการอยู่ใน WebGL โดยตรง (CVE-2026-19137 และ CVE-2026-19170 ซึ่งพบโดยทีม STAR Labs SG) สะท้อนว่าองค์ประกอบด้าน Graphics Rendering ยังคงเป็นจุดที่พบช่องโหว่ระดับ Critical บ่อยครั้งใน Chrome นอกจากนี้ยังมีการแก้ไขช่องโหว่ระดับ High เพิ่มอีก 35 รายการในรอบเดียวกัน โดย Google จำกัดการเปิดเผยรายละเอียดของหลายช่องโหว่ไว้จนกว่าผู้ใช้ส่วนใหญ่จะได้รับการอัปเดตแล้ว ซึ่งเป็นมาตรการมาตรฐานเพื่อลดความเสี่ยงการถูกนำไปใช้โจมตีระหว่างช่วงที่ผู้ใช้ยังอัปเดตไม่ครบ
ระบบที่ได้รับผลกระทบ
- Chrome Desktop ทุกแพลตฟอร์ม (Windows, macOS, Linux) ที่ยังไม่ได้อัปเดตเป็นเวอร์ชัน 151.0.7922.75/.76
- Browser ตระกูล Chromium อื่นที่ใช้ Engine ร่วมกัน เช่น Microsoft Edge อาจได้รับผลกระทบจากช่องโหว่บางส่วนเช่นกัน
- องค์กรที่เพิ่งอัปเดตจากรอบ 1 สิงหาคม 2569 (เวอร์ชัน 151.0.7922.71/.72) ยังต้องอัปเดตซ้ำอีกครั้งเพื่อรับแพตช์ชุดนี้
ผลกระทบที่อาจเกิดขึ้น
- เสี่ยงต่อการถูกโจมตีแบบ Remote Code Execution ผ่านเว็บไซต์ที่ออกแบบมาเป็นพิเศษ โดยเฉพาะช่องโหว่ใน WebGL ที่มักถูกกระตุ้นผ่านเนื้อหา Graphics บนเว็บ
- เสี่ยงต่อการหลบหนี Sandbox ของ Browser จากช่องโหว่ Use-After-Free ในองค์ประกอบหลักอย่าง Aura และ Views
- องค์กรที่มีเครื่อง Endpoint จำนวนมากและเพิ่งอัปเดตรอบก่อนหน้า อาจเข้าใจผิดว่าอัปเดตครบแล้ว ทำให้ตกหล่นแพตช์รอบนี้
สิ่งที่องค์กรควรทำ
- ▸ ตรวจสอบเวอร์ชัน Chrome ที่ใช้งานว่าเป็น 151.0.7922.75/.76 ขึ้นไปหรือไม่ แม้จะเพิ่งอัปเดตเมื่อต้นเดือนสิงหาคมก็ตาม
- ▸ เปิดใช้งาน Auto-update สำหรับ Chrome และ Browser ตระกูล Chromium อื่นในนโยบายองค์กร เพื่อลดความเสี่ยงจากการตกหล่นแพตช์ย่อยที่ออกถี่
- ▸ ตรวจสอบเวอร์ชัน Browser ทั่วทั้งองค์กรผ่านเครื่องมือ Asset/Patch Management โดยเฉพาะเครื่องที่อาจไม่ได้เปิดเครื่องต่อเนื่อง
- ▸ ให้ความสำคัญกับการอัปเดตเครื่องที่เข้าถึงเว็บไซต์ภายนอกจำนวนมากเป็นลำดับแรก
แนวทางลดความเสี่ยงระยะยาว
1. ตั้งค่า Auto-update แบบบังคับใช้จริงทั่วทั้งองค์กร
เนื่องจาก Chrome ออกแพตช์ความปลอดภัยถี่และต่อเนื่อง การพึ่งพาการอัปเดตด้วยมือมีความเสี่ยงตกหล่นสูง
2. ใช้เครื่องมือ Centralized Browser Management ติดตามเวอร์ชันแบบ Real-time
เพื่อไม่ให้เกิดความเข้าใจผิดว่า "อัปเดตแล้ว" ทั้งที่เป็นเวอร์ชันย่อยก่อนหน้า
3. พิจารณา Browser Isolation สำหรับกลุ่มผู้ใช้ที่มีความเสี่ยงสูง
ลดผลกระทบหากช่องโหว่ WebGL/Graphics Rendering ถูกใช้โจมตีก่อนอัปเดตทัน
4. ติดตาม Security Bulletin ของ Chrome อย่างต่อเนื่อง ไม่ใช่แค่ครั้งเดียวต่อเดือน
ดังที่เห็นในกรณีนี้ Chrome 151 มีการออกแพตช์ Critical เพิ่มเติมภายในเวลาไม่ถึง 2 สัปดาห์หลังการอัปเดตชุดใหญ่ครั้งก่อน
วิเคราะห์ในมุมมองจาก TXEC
การที่ Google ออกแพตช์ Critical เพิ่มเติมสำหรับ Chrome 151 ภายในเวลาไม่ถึง 2 สัปดาห์หลังจากการอัปเดตชุดใหญ่ 370 ช่องโหว่เมื่อวันที่ 1 สิงหาคม 2569 สะท้อนว่า Attack Surface ของ Browser สมัยใหม่มีความซับซ้อนสูงมาก และช่องโหว่ระดับ Critical ยังคงถูกค้นพบอย่างต่อเนื่องแม้จะเพิ่งผ่านการอัปเดตใหญ่ไปไม่นาน
TXEC มองว่าจุดที่องค์กรควรระวังเป็นพิเศษคือความเข้าใจผิดที่ว่า "อัปเดตแล้วเมื่อต้นเดือน ไม่ต้องอัปเดตซ้ำ" ซึ่งในกรณีนี้อาจทำให้ตกหล่นแพตช์ Critical รอบใหม่ การมีนโยบาย Auto-update ที่บังคับใช้จริงและเครื่องมือติดตามเวอร์ชันแบบ Real-time จึงยังคงเป็นมาตรการป้องกันพื้นฐานที่คุ้มค่าที่สุด โดยเฉพาะสำหรับซอฟต์แวร์ที่ออกแพตช์ความปลอดภัยถี่อย่าง Browser
รู้ก่อน ตรวจพบเร็ว ลดความเสียหายได้มากกว่า
[ แหล่งอ้างอิง: CyberSecurityNews, GBHackers, Forbes, ASEC ]