Chromium V8 เขียนหน่วยความจำเกินขอบเขต CVE-2026-87491

พอดีไล่ฟีด CISA KEV เจอ CVE-2026-87491 ใน Google Chromium V8 ซึ่งเพิ่มเข้ารายการวันที่ 9 กันยายน 2026 เป็นช่องโหว่เขียนหน่วยความจำเกินขอบเขต Google ยืนยันว่ามี exploit ใช้โจมตีจริงแล้ว ผู้ดูแลเบราว์เซอร์ที่ใช้ Chromium ควรเร่งแพตช์ ตาม ประกาศ Google และ ฟีด KEV ทางการของ CISA

เกิดอะไรขึ้น

V8 มีข้อผิดพลาดแบบ out-of-bounds write คือเขียนข้อมูลออกนอกพื้นที่หน่วยความจำที่กำหนด ผู้โจมตีใช้หน้า HTML ที่สร้างขึ้นกระตุ้นข้อผิดพลาด แล้วรันโค้ดภายใน sandbox ของเบราว์เซอร์ได้ ดู ระเบียน CVE และ ข้อมูล JSON ทางการ

ระเบียนระบุผลกระทบไว้ภายใน sandbox ไม่ได้ระบุว่าช่องโหว่นี้เพียงตัวเดียวทำให้หลุดจาก sandbox หรือยึดระบบปฏิบัติการได้ หากพบการโจมตีขั้นอื่น ต้องตรวจหลักฐานเพิ่ม

Google จัดช่องโหว่นี้เป็น Medium ส่วนข้อมูลเสริม CISA ADP ในระเบียน CVE ระบุ CVSS 3.1 ที่ 8.8 ระดับ High ทั้งสองค่าเป็นการประเมินคนละแหล่ง สำหรับการจัดลำดับแพตช์ หลักฐานว่าถูกโจมตีจริงเป็นเหตุผลให้เร่งแก้ แม้ระดับในประกาศผู้ผลิตจะเป็น Medium

ใครโดนและรุ่นที่แก้

ระเบียน CVE ระบุว่า Chrome ก่อน 153.0.8010.36 ได้รับผลกระทบ ส่วนประกาศ Stable Channel Update for Desktop ของ Google ลงวันที่ 8 กันยายน 2026 ระบุรุ่นอัปเดตแยกตามระบบปฏิบัติการดังนี้

CISA เตือนว่าเบราว์เซอร์ที่ใช้ Chromium เช่น Microsoft Edge และ Opera อาจได้รับผลกระทบด้วย แต่ประกาศ Google นี้ไม่ได้ให้เลขรุ่นแก้ไขของผลิตภัณฑ์เหล่านั้น ต้องตรวจประกาศของผู้ผลิตแต่ละราย และอย่านำเลขรุ่น Chrome ไปใช้เป็นเกณฑ์ตัดสิน Edge หรือ Opera โดยตรง

ต้องทำอะไร

ตรวจรายการเบราว์เซอร์ที่ติดตั้งและรุ่นที่ใช้งานจริง เริ่มจากเครื่องที่ใช้เปิดเว็บและเครื่องทำงานของผู้ดูแลระบบ สำหรับ Chrome ให้ตรวจการอัปเดตจากหน้าเกี่ยวกับ Google Chrome ติดตั้งรุ่นแก้ไขตามตารางหรือรุ่นใหม่กว่า แล้วเปิดเบราว์เซอร์ใหม่ จากนั้นตรวจเลขรุ่นซ้ำเพื่อยืนยันผล เครื่องที่บริหารผ่านระบบส่วนกลางควรตรวจผลการติดตั้งรายเครื่องด้วย

สำหรับ Chromium ที่ติดตั้งผ่านแพ็กเกจของดิสทริบิวชัน ให้ใช้แพตช์จากผู้ดูแลแพ็กเกจและตรวจสถานะ CVE ของดิสทริบิวชันนั้น ส่วนเบราว์เซอร์ยี่ห้ออื่นให้ติดตามช่องทางอัปเดตของผู้ผลิตโดยตรง คำแนะนำส่วนนี้เป็นแนวทางจัดการแพตช์ทั่วไป ประกาศ Google ที่อ้างถึงไม่ได้ระบุ workaround เฉพาะสำหรับช่องโหว่นี้

CISA กำหนดวันครบกำหนดใน KEV เป็น 23 กันยายน 2026 และให้ทำตามคำแนะนำผู้ผลิต รวมถึงข้อกำหนด BOD ที่ใช้กับหน่วยงานนั้น หากไม่มีมาตรการลดความเสี่ยง ให้หยุดใช้ผลิตภัณฑ์ ผู้ดูแลทั่วไปควรเร่งแพตช์เพราะถูกโจมตีจริงแล้ว ไม่ควรรอจนถึงวันครบกำหนด

ส่วนตัวผมแนะนำให้อัปเดตโดยเร็ว เพราะมีการใช้โจมตีจริงแล้ว ที่มา: CVE-2026-87491 (ข้อมูลระเบียนทางการ), CISA KEV (ฟีดทางการ) และ Chrome Releases: Stable Channel Update for Desktop หากมีรายละเอียดเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ