Apple CoreGraphics เขียนหน่วยความจำเกินขอบเขต CVE-2026-86950
ผู้ดูแล iPhone, iPad และ Mac ที่ใช้ระบบรุ่นได้รับผลกระทบควรเร่งติดตั้งแพตช์ เพราะช่องโหว่นี้ถูกใช้โจมตีจริงแล้ว
1-minute summary
- Symptom / problem
- CoreGraphics เขียนข้อมูลนอกขอบเขตหน่วยความจำขณะประมวลผลไฟล์ที่สร้างมาเป็นพิเศษ และอาจทำให้รันโค้ดของผู้โจมตีได้
- Who should read
- ผู้ใช้ iOS, iPadOS, macOS Tahoe และ macOS Sequoia ในสายรุ่นที่ยังไม่ได้รับแพตช์
- Fix in short
- อัปเดตสาย 26 เป็น 26.7.1 และ Sequoia เป็น 15.8.1 ส่วนสาย iOS/iPadOS 18 มีรุ่นแก้ไขเพิ่มเติมเป็น 18.7.11
พอดีไล่ฟีด CISA KEV เจอ CVE-2026-86950 ของ Apple เป็นช่องโหว่ใน CoreGraphics ที่กระทบ iOS, iPadOS และ macOS ประเด็นที่ต้องเร่งจัดการคือ มีการใช้ช่องโหว่นี้โจมตีจริงแล้ว CISA เพิ่มรายการเมื่อ 29 กันยายน 2026 และระบุกำหนดแก้ไขเป็น 13 ตุลาคม 2026 ตามข้อมูล KEV ของ CISA
เกิดอะไรขึ้น
Apple อธิบายว่า เมื่อระบบประมวลผลไฟล์ที่สร้างมาเป็นพิเศษ CoreGraphics อาจเขียนข้อมูลเลยขอบเขตหน่วยความจำที่จัดไว้ หรือ out-of-bounds write ผลกระทบคือผู้โจมตีอาจทำให้ระบบรันโค้ดที่ตนกำหนดได้ การแก้ไขของ Apple คือเพิ่มการตรวจสอบขอบเขตหน่วยความจำให้รัดกุมขึ้น ตามประกาศ iOS 26.7.1 และ iPadOS 26.7.1
จุดเสี่ยงเกิดตอนระบบปฏิบัติการประมวลผลไฟล์ ต้องตรวจรุ่นระบบที่ติดตั้งจริงด้วย การอัปเดตเฉพาะแอปที่ใช้เปิดไฟล์ยังบอกไม่ได้ว่าได้รับแพตช์ CoreGraphics แล้ว ส่วนระเบียน CVE ของ Apple ไม่ได้ระบุชนิดไฟล์หรือช่องทางส่งไฟล์ที่ใช้โจมตี เลยไม่ควรสรุปเองว่าเกี่ยวกับไฟล์นามสกุลใดเพียงอย่างเดียว
Apple ระบุว่าได้รับรายงานว่าปัญหานี้อาจถูกใช้ในการโจมตีที่ซับซ้อนมากต่อบุคคลเป้าหมายเฉพาะ บน iOS ก่อน iOS 27 ขณะที่การอยู่ใน KEV ยืนยันสถานะว่ามีการใช้โจมตีจริง ถ้อยคำเรื่องเป้าหมายเฉพาะไม่ได้หมายความว่าเครื่องอื่นควรเลื่อนแพตช์ออกไป ทั้งนี้ CISA-ADP ในระเบียน CVE ให้คะแนน CVSS 3.1 ที่ 8.8 ระดับ High โดยคะแนนนี้เป็นของ CISA-ADP ไม่ใช่คะแนนที่ Apple ระบุในประกาศ
ใครโดนและรุ่นที่แก้
ให้เทียบแยกตามสายระบบปฏิบัติการ ไม่ใช้เลขเวอร์ชันข้ามสายมาตัดสิน ตารางนี้รวมรุ่นแก้ไขที่ระเบียน CVE ระบุ แพตช์ iOS/iPadOS 26 และ macOS สองรายการออกเมื่อ 28 กันยายน 2026 ตามรายการอัปเดตความปลอดภัยของ Apple
| ระบบ / สายรุ่น | รุ่นที่ได้รับผลกระทบในสายนั้น | รุ่นที่แก้ไข |
|---|---|---|
| iOS / iPadOS 26 | ก่อน 26.7.1 | 26.7.1 |
| macOS Tahoe 26 | ก่อน 26.7.1 | 26.7.1 |
| macOS Sequoia 15 | ก่อน 15.8.1 | 15.8.1 |
| iOS / iPadOS 18 — ข้อมูลเพิ่มเติมภายหลัง | ก่อน 18.7.11 | 18.7.11 |
อ้างอิงรุ่นแก้ไขจาก Apple: iOS/iPadOS 26.7.1, macOS Tahoe 26.7.1 และ macOS Sequoia 15.8.1 ส่วน iOS/iPadOS 18.7.11 เป็นข้อมูลเพิ่มเติมในระเบียน CVE ที่ปรับปรุงวันที่ 26 ตุลาคม 2026 และมีประกาศ Apple แยกต่างหาก แพตช์สาย 18 นี้ออกวันที่ 26 ตุลาคม 2026 หลังการเพิ่ม CVE เข้า KEV เมื่อ 29 กันยายน 2026
ต้องทำอะไร
ตรวจรายการอุปกรณ์และรุ่นระบบที่ใช้งาน แล้วติดตั้งอัปเดตที่มีแพตช์สำหรับสายนั้นผ่าน Software Update บน iPhone และ iPad เข้า Settings > General > Software Update ส่วน Mac เข้า System Settings > General > Software Update เตรียมสำรองข้อมูลและเวลาสำหรับรีสตาร์ตให้พร้อม หลังติดตั้งให้เปิดดูเลขเวอร์ชันอีกครั้ง และบันทึกผลในรายการติดตามแพตช์ขององค์กร
สำหรับทีมที่ดูแลหลายเครื่อง ควรตามเครื่องที่ยังไม่อัปเดตเป็นรายอุปกรณ์ อย่าใช้เพียงสถานะเปิด automatic updates เป็นข้อสรุปว่าติดตั้งสำเร็จแล้ว กำหนด 13 ตุลาคม 2026 เป็น due date ใน KEV ของ CISA ผู้ดูแลทั่วไปควรใช้สถานะถูกโจมตีจริงเป็นเหตุผลเร่งแพตช์ ไม่ต้องรอให้ถึงวันดังกล่าว
ให้ติดตั้งรุ่นที่แก้ไขแล้วเป็นแนวทางหลัก การระวังไฟล์จากแหล่งที่ไม่เชื่อถือช่วยลดความเสี่ยงระหว่างรอได้ แต่ไม่ควรนับเป็นการปิดช่องโหว่แทนแพตช์
ส่วนตัวผมให้งานนี้อยู่คิวเร่งแพตช์ เพราะมีการโจมตีจริงแล้วและมีรุ่นแก้ไขชัดเจน ที่มา: CISA KEV — Apple Multiple Products Out-of-Bounds Write Vulnerability และระเบียน CVE-2026-86950 (https://www.cve.org/CVERecord?id=CVE-2026-86950) หากมีรายละเอียดจากผู้ผลิตเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first