Chromium ช่องโหว่ XML ถูกโจมตีจริง CVE-2026-125350
ผู้ใช้และผู้ดูแลเครื่องที่ติดตั้ง Chrome หรือเบราว์เซอร์ Chromium รุ่นที่ได้รับผลกระทบควรเร่งติดตั้งแพตช์และเปิดโปรแกรมใหม่ทันที
1-minute summary
- Symptom / problem
- หน้าเว็บที่สร้างมาเป็นพิเศษอาจใช้ช่องโหว่ XML เพื่อรันโค้ดภายใน sandbox ของเบราว์เซอร์ได้ และมีการโจมตีจริงแล้ว
- Who should read
- ผู้ใช้ทั่วไปและผู้ดูแลระบบที่มี Chrome หรือเบราว์เซอร์ซึ่งใช้ Chromium รุ่นที่ได้รับผลกระทบ
- Fix in short
- อัปเดต Chrome ตามแพลตฟอร์มและช่องทางรุ่นในตาราง แล้วเปิดเบราว์เซอร์ใหม่ ส่วนผลิตภัณฑ์อื่นให้ใช้แพตช์จากผู้ผลิตของตน
พอดีไล่ฟีด CISA KEV เจอช่องโหว่ CVE-2026-125350 ใน Google Chromium ตรงส่วนประมวลผล XML เรื่องนี้ควรรีบจัดการ เพราะ Google ยืนยันว่ามีการใช้โจมตีจริงแล้ว ผู้ใช้ Chrome ต้องเช็กว่าได้รับแพตช์ครบและเปิดเบราว์เซอร์ใหม่หลังอัปเดต ตาม Chrome Releases
ใครต้องทำอะไร
- ผู้ใช้ทั่วไป: อัปเดต Chrome บนคอมพิวเตอร์หรือ Android เป็นรุ่นที่แก้แล้วและเปิดโปรแกรมใหม่ทันที ส่วนเบราว์เซอร์ Chromium อื่นให้ตรวจอัปเดตจากผู้ผลิต
- ผู้ดูแลระบบ: ตรวจเครื่องที่ติดตั้ง Chrome หรือ Chromium รุ่นที่ได้รับผลกระทบ เร่งกระจายแพตช์และยืนยันรุ่นที่เปิดใช้งานจริงหลังอัปเดต
เกิดอะไรขึ้น
ปัญหาเป็น use-after-free ในส่วน XML ของ Chrome คือโปรแกรมยังใช้หน่วยความจำที่คืนไปแล้ว ผู้โจมตีอาจสร้างหน้า HTML เพื่อใช้ช่องโหว่นี้ เมื่อเบราว์เซอร์เปิดหน้านั้น โค้ดของผู้โจมตีอาจทำงานได้ ภายใน sandbox ซึ่งจำกัดสิทธิ์ของเบราว์เซอร์ไว้ ระเบียนไม่ได้ระบุว่าช่องโหว่นี้ออกจาก sandbox ได้ด้วยตัวเอง ดูคำอธิบายใน ระเบียน CVE
Google จัดความรุนแรงเป็น High ส่วนข้อมูลที่ CISA เพิ่มในระเบียน CVE ให้คะแนน CVSS 3.1 เท่ากับ 8.8 โดยการโจมตีต้องอาศัยการกระทำของผู้ใช้ เช่น เปิดหน้าเว็บที่เตรียมไว้
CISA เพิ่มรายการนี้เข้า KEV เมื่อ 10 พฤศจิกายน 2026 และระบุวันครบกำหนดแก้เป็น 24 พฤศจิกายน 2026 ตาม ฟีด KEV ทางการ กำหนดดังกล่าวเป็นกรอบของ CISA สำหรับหน่วยงานรัฐบาลกลางสหรัฐฯ ที่อยู่ภายใต้ข้อกำหนด ส่วนองค์กรอื่นควรใช้ข้อมูลว่ามีการโจมตีจริงเป็นเหตุให้เร่งแพตช์ ไม่ควรรอจนถึงวันครบกำหนด
ใครโดนและรุ่นที่แก้
คำอธิบายใน CVE ระบุ Chrome ก่อน 157.0.8103.50 ส่วนประกาศผู้ผลิตแยกรุ่นแก้ตามแพลตฟอร์มและช่องทางดังนี้
| ผลิตภัณฑ์ / ช่องทางรุ่น | รุ่นที่ได้รับผลกระทบในสายนั้น | รุ่นที่มีแพตช์ |
|---|---|---|
| Chrome Stable บน Linux | ก่อน 157.0.8103.50 | 157.0.8103.50 |
| Chrome Stable บน Windows / macOS | ก่อนรุ่นแก้ที่ประกาศ | 157.0.8103.50 หรือ 157.0.8103.51 |
| Chrome บน Android | ก่อน 157.0.8103.50 | 157.0.8103.50 |
| Chrome Extended Stable บน Windows / macOS | ก่อน 156.0.8078.96 ในสาย Extended Stable | 156.0.8078.96 |
รุ่น Desktop อ้างอิง Stable Channel Update ส่วน ประกาศ Android ระบุว่าได้รับแพตช์ความปลอดภัยชุดเดียวกับ Desktop และ Extended Stable ระบุ CVE นี้ในรายการที่แก้แล้ว ทั้งสามประกาศลงวันที่ 9 พฤศจิกายน 2026
CISA ระบุว่าช่องโหว่นี้อาจกระทบเบราว์เซอร์ที่ใช้ Chromium รวมถึง Microsoft Edge และ Opera ด้วย เลขรุ่นในตารางเป็นของ Chrome เท่านั้น ผู้ใช้ผลิตภัณฑ์อื่นต้องตรวจรุ่นแก้จากผู้ผลิตแต่ละราย
ต้องทำอะไร
บนคอมพิวเตอร์ ให้เปิดเมนู ความช่วยเหลือ > เกี่ยวกับ Google Chrome รอโปรแกรมตรวจอัปเดต แล้วกดเปิดใหม่ตามที่แจ้ง จากนั้นตรวจเลขรุ่นอีกครั้ง บน Android ให้อัปเดตผ่าน Google Play แล้วเปิดแอปใหม่
ถ้าใช้ Debian หรือ Ubuntu และติดตั้ง google-chrome-stable จากคลัง Google ไว้แล้ว ให้อัปเดตเฉพาะแพ็กเกจนี้ได้
sudo apt update
sudo apt install --only-upgrade google-chrome-stable
เมื่อคำสั่งทำงานเสร็จ ให้เปิด Chrome ใหม่และตรวจรุ่นอีกครั้ง หากใช้ Chromium จากดิสทริบิวชัน ให้รับแพตช์จากดิสทริบิวชันนั้น ชื่อแพ็กเกจและเลขรุ่นอาจต่างจาก Chrome ประกาศ Google ไม่ได้ให้วิธีเลี่ยงช่องโหว่นี้ชั่วคราวไว้ ให้ใช้การอัปเดตเป็นหลัก
ส่วนตัวผมให้เรื่องนี้เป็นงานเร่งแพตช์ทันที เพราะมีการใช้โจมตีจริงแล้ว ที่มา: CISA KEV — Google Chromium Use-After-Free Vulnerability และ CVE-2026-125350 (ระเบียน CVE ทางการ) พร้อมประกาศ Chrome Releases ที่ลิงก์ไว้ด้านบน หากมีรายละเอียดจากผู้ผลิตเพิ่ม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first