Chrome Zero-Day CVE-2026-85046: กำหนดเส้นตาย 18 กันยายนของ CISA

บั๊กใน Chrome ที่ผู้โจมตีใช้งานอยู่แล้ว

Google ได้แก้ไขช่องโหว่ zero-day ใน Chrome ที่ถูกโจมตีอีกครั้ง และตอนนี้เวลากำลังเดินหน้าสำหรับผู้ที่ยังไม่อัปเดต ช่องโหว่ที่ติดตามเป็น CVE-2026-85046 นั้นได้รับการแก้ไขเมื่อวันที่ 4 กันยายน 2026 แต่สำนักงานความมั่นคงไซเบอร์และโครงสร้างพื้นฐานของสหรัฐฯ (CISA) ได้เพิ่มเข้าในแคตตาล็อกช่องโหว่ที่ถูกใช้ประโยชน์แล้ว (KEV) แล้ว โดยให้หน่วยงานรัฐบาลกลางมีเวลาจนถึงวันที่ 18 กันยายนในการติดตั้งแพตช์ ช่วงเวลาสั้นๆ นี้เป็นสัญญาณที่ชัดเจนว่าเจ้าหน้าที่ด้านความมั่นคงให้ความสำคัญกับบั๊กนี้อย่างจริงจังเพียงใด และเป็นเครื่องเตือนใจว่าผู้ใช้ Chrome ทั่วไปก็ไม่ควรรอช้าเช่นกัน

นี่ไม่ใช่ครั้งแรกที่ช่องโหว่นี้ตกเป็นข่าว ดังที่เราได้รายงานเมื่อ แพตช์ Chrome zero-day CVE-2026-85046 ถูกปล่อยออกมาครั้งแรก Google ได้ออกการอัปเดตฉุกเฉินหลังจากยืนยันว่ามีการโจมตีในโลกจริงที่ใช้ประโยชน์จากช่องโหว่นี้ก่อนที่จะมีแพตช์ให้ใช้ กำหนดเส้นตายของ CISA เพิ่มความเร่งด่วนอีกชั้นหนึ่งให้กับเรื่องราวที่ดำเนินไปอย่างรวดเร็วอยู่แล้ว

อะไรที่ทำให้ CVE-2026-85046 อันตราย

CVE-2026-85046 อยู่ใน V8 ซึ่งเป็นเอ็นจิน JavaScript และ WebAssembly ที่ขับเคลื่อน Chrome และเบราว์เซอร์ที่ใช้ Chromium ทุกตัว โดยเฉพาะอย่างยิ่ง มันเป็นช่องโหว่แบบ type confusion ซึ่งเป็นบั๊กประเภทหนึ่งที่เบราว์เซอร์ระบุชนิดของข้อมูลที่จัดการผิดพลาด ซึ่งอาจทำให้ผู้โจมตีจัดการหน่วยความจำในวิธีที่ไม่เคยตั้งใจไว้ ในทางปฏิบัติ นั่นหมายความว่าเว็บเพจที่ถูกสร้างขึ้นมาโดยเฉพาะสามารถกระตุ้นช่องโหว่นี้และอาจทำให้เกิดการเรียกใช้โค้ดตามอำเภอใจภายในแซนด์บ็อกซ์ของเบราว์เซอร์ ซึ่งเป็นสภาพแวดล้อมแยกที่ Chrome ใช้เพื่อป้องกันไม่ให้เนื้อหาที่เป็นอันตรายเข้าถึงส่วนอื่นๆ ของระบบของคุณ

เนื่องจากช่องโหว่นี้ถูกใช้ประโยชน์ในโลกจริงอยู่แล้วก่อนที่ Google จะปล่อยแพตช์ มันจึงมีคุณสมบัติเป็น zero-day ที่แท้จริง ผู้โจมตีไม่จำเป็นต้องถอดรหัสแพตช์เพื่อหาวิธีใช้ประโยชน์จากบั๊ก พวกเขาใช้มันกับเป้าหมายจริงอยู่แล้ว นี่คือเหตุผลที่ CISA เคลื่อนไหวอย่างรวดเร็วเพื่อเพิ่มเข้าในแคตตาล็อก KEV ซึ่งเป็นรายการที่สงวนไว้สำหรับช่องโหว่ที่มีการใช้งานจริงที่ยืนยันแล้ว ไม่ใช่แค่ความเสี่ยงเชิงทฤษฎี

แพตช์มาพร้อมกับการอัปเดตความปลอดภัย Chrome ในวงกว้างที่แก้ไขหลายช่องโหว่ แต่ CVE-2026-85046 โดดเด่นเนื่องจากสถานะการใช้งานจริง ตามที่เราได้ลงรายละเอียดในการรายงานก่อนหน้านี้ที่กระตุ้นให้ผู้ใช้ อัปเดต Chrome ทันทีเนื่องจากความเสี่ยงด้านความเป็นส่วนตัว การโจมตีที่สำเร็จอาจเปิดเผยกิจกรรมการท่องเว็บ ข้อมูลเซสชัน หรือข้อมูลที่ละเอียดอ่อนอื่นๆ ให้กับผู้โจมตีที่สามารถเรียกใช้โค้ดภายในเบราว์เซอร์ของคุณ

ทำไมกำหนดเส้นตายของ CISA จึงสำคัญเกินกว่าเครือข่ายรัฐบาล

แคตตาล็อก KEV ของ CISA ในทางเทคนิคเป็นข้อบังคับสำหรับหน่วยงานพลเรือนของรัฐบาลกลาง แต่ผลกระทบในโลกจริงนั้นไปไกลกว่านั้นมาก เมื่อ CISA กำหนดเส้นตายที่เข้มงวดเช่นวันที่ 18 กันยายน มันเป็นการประกาศระดับความเสี่ยงให้กับอุตสาหกรรมความมั่นคงทั้งหมด: บั๊กนี้ร้ายแรง กำลังถูกใช้อย่างแข็งขัน และองค์กรทุกขนาดควรถือว่าการแพตช์เป็นเรื่องเร่งด่วน ไม่ใช่การอัปเดตทั่วไปที่จะทำเมื่อมีเวลา

องค์กรขนาดใหญ่ แผนกไอที และทีมความมั่นคงนอกภาครัฐจำนวนมากใช้แคตตาล็อก KEV เป็นเกณฑ์มาตรฐานสำหรับกำหนดเวลาการจัดการแพตช์ของตนเอง หากช่องโหว่ใดติดอยู่ในรายการ มันมักจะถูกเลื่อนขึ้นเป็นอันดับแรกของคิว สำหรับผู้ใช้รายบุคคล ไม่มีกำหนดเส้นตายที่เป็นทางการ แต่ตรรกะเดียวกันนี้ใช้ได้ Chrome อัปเดตตัวเองในเบื้องหลังโดยอัตโนมัติสำหรับผู้ใช้ส่วนใหญ่ แต่สิ่งนั้นจะได้ผลก็ต่อเมื่อเบราว์เซอร์มีโอกาสรีสตาร์ทและติดตั้งการอัปเดต หากคุณเปิดแท็บ Chrome เดิมค้างไว้หลายวันหรือหลายสัปดาห์โดยไม่รีสตาร์ท คุณอาจยังใช้งานเวอร์ชันที่มีช่องโหว่อยู่

สิ่งนี้หมายถึงอะไรสำหรับคุณ

หากคุณใช้ Chrome หรือเบราว์เซอร์ที่ใช้ Chromium ที่สืบทอดเอ็นจิน V8 เดียวกัน นี่คือสิ่งที่น่าใช้เวลาห้านาทีในวันนี้ ช่องโหว่นี้ไม่ต้องการให้คุณดาวน์โหลดไฟล์หรือคลิกลิงก์ที่น่าสงสัยในความหมายดั้งเดิม เพียงแค่เยี่ยมชมเว็บเพจที่เป็นอันตรายหรือถูกบุกรุกก็อาจเพียงพอที่จะกระตุ้นมันได้ ทำให้การแพตช์เบราว์เซอร์เป็นหนึ่งในไม่กี่งานด้านความมั่นคงที่การแก้ไขอยู่ในความควบคุมของคุณทั้งหมดและแทบไม่ต้องใช้ความพยายาม

ผู้ใช้ตามบ้าน ธุรกิจขนาดเล็ก และผู้ที่จัดการอุปกรณ์ของตนเองควรมองสิ่งนี้ในแบบเดียวกับที่ CISA มองเครือข่ายรัฐบาลกลาง: เป็นเรื่องเร่งด่วน ไม่ใช่งานที่ทำทีหลัง ข่าวดีคือไม่เหมือนกับช่องโหว่หลายๆ ตัว ช่องโหว่นี้มีแพตช์พร้อมใช้งานและรออยู่แล้ว

สิ่งที่ควรปฏิบัติ

• เปิดเมนู Chrome ไปที่ ความช่วยเหลือ > เกี่ยวกับ Google Chrome และให้ตรวจสอบการอัปเดต รีสตาร์ทเบราว์เซอร์เมื่อดาวน์โหลดการอัปเดตเสร็จเพื่อให้แน่ใจว่าแพตช์มีผลจริง
• ตรวจสอบเบราว์เซอร์ที่ใช้ Chromium อื่นๆ ที่คุณใช้ (รวมถึงที่สร้างบนเอ็นจินเดียวกัน) สำหรับการอัปเดตความปลอดภัยของตัวเอง เนื่องจากช่องโหว่ V8 ที่เป็นพื้นฐานอาจส่งผลต่อพวกมันด้วย
• อย่าพึ่งพาการอัปเดตอัตโนมัติในเบื้องหลังเพียงอย่างเดียวหากคุณไม่ค่อยปิดหรือรีสตาร์ทเบราว์เซอร์ การตรวจสอบด้วยตนเองช่วยให้แน่ใจว่าคุณไม่ได้ใช้งานโค้ดที่ล้าสมัยและมีช่องโหว่
• หากคุณจัดการอุปกรณ์สำหรับธุรกิจหรือองค์กร ให้จัดลำดับความสำคัญของแพตช์นี้แบบเดียวกับที่กำหนดเส้นตาย KEV ของ CISA แนะนำให้หน่วยงานรัฐบาลกลางทำ แม้ว่าคุณจะไม่ได้ผูกพันกับวันที่ 18 กันยายนเดียวกันก็ตาม
• ตื่นตัวต่อประกาศความปลอดภัยของ Chrome ในอนาคต Zero-day อย่าง CVE-2026-85046 มักมาเป็นกลุ่ม และการแพตช์อย่างทันท่วงทียังคงเป็นการป้องกันที่น่าเชื่อถือที่สุดสำหรับผู้ใช้ทั่วไป

การอัปเดตเบราว์เซอร์ใช้เวลาเพียงครู่เดียว แต่เป็นการปิดประตูให้กับช่องโหว่ที่ผู้โจมตีใช้อยู่แล้วก่อนที่ Google จะมีแพตช์พร้อม ช่องว่างระหว่างการถูกใช้ประโยชน์และการแพตช์คือเหตุผลที่การอัปเดต Chrome ให้ทันสมัยอยู่เสมอสมควรเป็นรายการถาวรในรายการตรวจสอบความมั่นคงทางดิจิทัลของคุณ