กูเกิลออกอัปเดตความปลอดภัย Chrome ฉุกเฉิน: แก้ไขช่องโหว่ zero-day ที่ถูกใช้โจมตีในโลกจริงแล้ว เร่งให้ผู้ใช้อัปเกรดทันที

BlockBeats รายงานว่า เมื่อวันที่ 10 พฤศจิกายน Google ได้เปิดตัวอัปเดตช่องทางเสถียรแบบเร่งด่วนสำหรับเบราว์เซอร์ Chrome บนเดสก์ท็อปเมื่อวันที่ 9 พฤศจิกายน 2026 โดยแก้ไขข้อบกพร่องด้านความปลอดภัย 9 รายการ รวมถึงช่องโหว่ zero-day หนึ่งรายการที่ถูกใช้ประโยชน์ในสภาพแวดล้อมจริงแล้ว การอัปเดตนี้จะผลักดันเวอร์ชัน Chrome บนแพลตฟอร์ม Windows และ Mac ขึ้นเป็น 157.0.8103.50/.51 และบนแพลตฟอร์ม Linux ขึ้นเป็น 157.0.8103.50 และจะทยอยเผยแพร่ภายในไม่กี่วันถึงไม่กี่สัปดาห์ข้างหน้า

จุดเน้นหลักของการอัปเดตครั้งนี้คือช่องโหว่ระดับอันตรายสูงหมายเลข CVE-2026-125350 ซึ่งเป็นประเภท use-after-free ในคอมโพเนนต์ XML Google ระบุอย่างชัดเจนในประกาศว่า «ทราบดีว่า CVE-2026-125350 มีการใช้ประโยชน์ในสภาพแวดล้อมจริง» แต่ไม่ได้เปิดเผยวิธีการโจมตี จำนวนผู้เสียหาย หรือกลุ่มที่เกี่ยวข้องกับการโจมตี ช่องโหว่นี้ถูกรายงานโดยนักวิจัยนิรนามเมื่อวันที่ 6 พฤศจิกายน 2026 ห่างจากการที่ Google เปิดตัวแพตช์แก้ไขเพียง 3 วัน

ในรายการแก้ไขทั้ง 9 รายการ มี 7 รายการอยู่ในระดับ «อันตรายสูง» และ 2 รายการอยู่ในระดับ «อันตรายปานกลาง» นอกเหนือจาก CVE-2026-125350 แล้ว ช่องโหว่ระดับอันตรายสูงอีกรายการคือ CVE-2026-125346 ซึ่งเป็นปัญหา use-after-free ในคอมโพเนนต์ XML เช่นกัน ถูกรายงานโดย Arni Hardarson จาก Neonix Security เมื่อวันที่ 12 ตุลาคม 2026 แต่ Google ระบุเพียง CVE-2026-125350 ว่าเป็นช่องโหว่ที่ถูกใช้ประโยชน์ในสภาพแวดล้อมจริง ช่องโหว่ระดับอันตรายสูงที่เหลือครอบคลุมถึงทรัพยากรที่ไม่ได้เริ่มต้นใน WebGL, การอนุญาตที่ไม่เหมาะสมใน FileSystem, บัฟเฟอร์โอเวอร์โฟลว์ในคอมโพสิเตอร์, การเขียนเกินขอบเขตใน GPU และ type confusion ใน V8 ซึ่งส่วนใหญ่ถูกค้นพบโดยทีมความปลอดภัยภายในของ Google

Google ยังยืนยันว่า Chrome เวอร์ชัน Android (157.0.8103.50) ที่เผยแพร่ในวันเดียวกันมีการแก้ไขด้านความปลอดภัยเช่นเดียวกับเวอร์ชันเดสก์ท็อป โดยไม่มีข้อยกเว้น ผู้ใช้ที่ใช้ช่องทางเสถียรแบบขยาย (Extended Stable) ควรติดตั้งอัปเดตที่เผยแพร่แยกต่างหากเมื่อวันที่ 9 พฤศจิกายน โดยเวอร์ชัน Windows และ Mac คือ 156.0.8078.96 ซึ่งการอัปเดตนี้ก็รวม CVE-2026-125350 ไว้ในรายการแก้ไขระดับอันตรายสูงเช่นกัน

ศูนย์ประสานงานเหตุการณ์ความปลอดภัยคอมพิวเตอร์ของรัฐบาลฮ่องกง (GovCERT.HK) ได้ออกประกาศเตือนด้านความปลอดภัยในวันเดียวกัน โดยกำหนดระบบที่ได้รับผลกระทบเป็น Chrome เวอร์ชันก่อน 157.0.8103.50 และระบุว่าการใช้ประโยชน์จากช่องโหว่ที่เกี่ยวข้องสำเร็จอาจนำไปสู่การรันโค้ดจากระยะไกล การปฏิเสธการให้บริการ การแก้ไขข้อมูล หรือการข้ามข้อจำกัดด้านความปลอดภัย ขณะที่ศูนย์ประสานงานเหตุการณ์ความปลอดภัยคอมพิวเตอร์ฮ่องกง (HKCERT) ได้จัดระดับความเสี่ยงของการอัปเดตครั้งนี้เป็น «ความเสี่ยงสูงมาก»

Google ระบุในประกาศว่าการเข้าถึงรายละเอียดช่องโหว่และลิงก์อาจยังคงถูกจำกัดจนกว่าผู้ใช้ส่วนใหญ่จะอัปเดตเสร็จสิ้น บริษัทแนะนำให้ผู้ใช้ตรวจสอบและเรียกใช้อัปเดตด้วยตนเองผ่าน "การตั้งค่า → เกี่ยวกับ Chrome" และหลังอัปเดตเสร็จต้องรีสตาร์ทเบราว์เซอร์เพื่อให้แพตช์มีผล สำหรับผู้ใช้ที่ยังใช้ Chrome เวอร์ชันก่อน 157.0.8103.50 การดำเนินการแรกในขณะนี้คือตรวจสอบหมายเลขเวอร์ชันและรีสตาร์ททันทีเพื่ออัปเกรดให้เสร็จสมบูรณ์