Google Pixel โมเด็มข้ามการตรวจสิทธิ์ CVE-2026-58704 ถูกโจมตีจริง
ผู้ใช้ Google Pixel ที่ได้รับผลกระทบควรตรวจระดับแพตช์และติดตั้งอัปเดตทันที เพราะช่องโหว่นี้ถูกใช้โจมตีจริงแล้ว
1-minute summary
- Symptom / problem
- ข้อผิดพลาดทางตรรกะในโมเด็มมือถือเปิดทางให้ข้ามการตรวจสิทธิ์และยกระดับสิทธิ์ได้
- Who should read
- ผู้ใช้ Google Pixel ที่มีส่วนประกอบโมเด็มได้รับผลกระทบ โดยประกาศไม่ได้แจกแจงชื่อรุ่นรายเครื่อง
- Fix in short
- ติดตั้งอัปเดตจาก Google ให้มี security patch level 2026-09-05 หรือใหม่กว่า แล้วรีสตาร์ตและตรวจซ้ำ
พอดีไล่ฟีด CISA KEV เจอประกาศ Google Pixel เรื่อง CVE-2026-58704 เป็นช่องโหว่ข้ามการตรวจสิทธิ์ในโมเด็มมือถือ CISA เพิ่มเข้ารายการช่องโหว่ที่ถูกใช้โจมตีจริงเมื่อ 16 กันยายน 2026 และกำหนดให้แก้ภายใน 19 กันยายน 2026 ส่วน Google ออกประกาศแพตช์เมื่อ 15 กันยายน 2026 โดยระบุว่ามีสัญญาณว่าช่องโหว่นี้อาจถูกใช้โจมตีแบบจำกัดวงและเจาะจงเป้าหมาย
เกิดอะไรขึ้น
ปัญหาอยู่ใน Cellular Modem หรือส่วนที่จัดการการสื่อสารผ่านเครือข่ายมือถือ โค้ดมีข้อผิดพลาดด้านตรรกะที่อาจเปิดให้ผู้โจมตีข้ามการตรวจสิทธิ์ แล้วทำงานด้วยสิทธิ์ที่สูงขึ้นได้ Google จัดเป็น Elevation of Privilege หรือ EoP ระดับ High ในส่วนประกอบ Modem
คำอธิบายใน ระเบียน CVE ของ Google ระบุว่าผู้โจมตีอาจยกระดับสิทธิ์จากระยะใกล้หรือเครือข่ายข้างเคียงได้ ไม่ต้องมีสิทธิ์รันโค้ดเพิ่มเติมมาก่อน และไม่ต้องให้ผู้ใช้กดหรือทำอะไร การเลี่ยงลิงก์แปลก ๆ เลยไม่เพียงพอที่จะรับมือช่องโหว่นี้ ควรตรวจและติดตั้งแพตช์แทนการรอให้อุปกรณ์แสดงอาการ
ผลกระทบที่ประกาศระบุคือการยกระดับสิทธิ์ แต่ไม่ได้เปิดเผยขั้นตอนโจมตีและขอบเขตสิทธิ์ที่ได้อย่างครบถ้วน เลยไม่ควรสรุปว่าโจมตีแล้วจะยึดเครื่องได้ทุกส่วน ประกาศ Pixel ระบุความรุนแรงเป็น High แต่ไม่ได้ให้ตัวเลข CVSS
ใครโดนและรุ่นที่แก้
ประกาศ Google ครอบคลุมอุปกรณ์ Pixel ที่ยังได้รับการสนับสนุน ให้ตรวจการแก้ไขจากระดับแพตช์ความปลอดภัย ประกาศไม่ได้แจกแจงเลขรุ่น Android หรือเลขเฟิร์มแวร์โมเด็มแยกตามเครื่อง
| อุปกรณ์ / ส่วนประกอบ | เกณฑ์ที่แก้แล้วตามประกาศ Google |
|---|---|
| Google Pixel ที่อยู่ในขอบเขตประกาศ / Modem | security patch level 2026-09-05 หรือใหม่กว่า |
Google ระบุว่าอุปกรณ์ที่ยังได้รับการสนับสนุนทั้งหมดจะได้รับอัปเดตระดับนี้ แต่ไม่ได้ให้รายชื่อรุ่นที่ได้รับผลกระทบจาก CVE นี้โดยเฉพาะ ให้ตรวจประกาศและระดับแพตช์ของเครื่องนั้น ชื่อ Android รุ่นหลักอย่างเดียวบอกไม่ได้ว่าแก้แล้ว อ่านรายละเอียดได้ใน Pixel Update Bulletin—September 2026
ต้องทำอะไร
เปิด Settings แล้วเข้า About phone > Android version เพื่อดูค่า Android security update จากนั้นกลับไปที่ Settings > System > Software updates หรือ System update ตรวจหาอัปเดตและทำตามคำแนะนำบนหน้าจอ เมื่อติดตั้งเสร็จ ให้รีสตาร์ตเพื่อให้อัปเดตมีผล แล้วตรวจซ้ำว่าระดับแพตช์เป็น 2026-09-05 หรือใหม่กว่า ขั้นตอนอ้างอิงจาก คู่มืออัปเดต Android ของ Google
ผู้ดูแลอุปกรณ์หลายเครื่องควรจดระดับแพตช์ที่ตรวจได้หลังรีสตาร์ต แยกเครื่องที่อัปเดตแล้วออกจากเครื่องที่ยังรอ อย่าปิดงานเพียงเพราะดาวน์โหลดเสร็จ หากเครื่องไม่ได้รับอัปเดต ให้ตรวจว่ายังได้รับการสนับสนุนหรือไม่ และสอบถามผู้ผลิต
ประกาศ Google ไม่ได้ให้ workaround เฉพาะสำหรับ CVE นี้ แนวทางที่ระบุคือรับอัปเดตความปลอดภัยของอุปกรณ์
CISA ให้ใช้มาตรการตามผู้ผลิต พร้อมปฏิบัติตาม BOD 26-04 และข้อกำหนดตรวจหาร่องรอยการโจมตี (Forensics Triage Requirements) ที่ลิงก์ไว้ใน KEV หากไม่มีมาตรการแก้ไข ให้ยุติการใช้ผลิตภัณฑ์ กำหนดแก้ใน KEV คือ 19 กันยายน 2026 ผู้ดูแลควรตรวจว่าข้อกำหนดใดใช้กับหน่วยงานของตน สำหรับองค์กรไทย ใช้ข้อมูลนี้ช่วยจัดลำดับงานแพตช์ได้ ตรวจรายการต้นทางที่ CISA KEV: CVE-2026-58704 หรือ ชุดข้อมูลทางการของ CISA
ส่วนตัวผมแนะนำให้ผู้ใช้ Pixel ที่ได้รับผลกระทบเร่งแพตช์ทันที เพราะมีการโจมตีจริงแล้ว ที่มา: CVE-2026-58704 (https://www.cve.org/CVERecord?id=CVE-2026-58704) และ Pixel Update Bulletin—September 2026 หากมีรายละเอียดเพิ่มเติมจากผู้ผลิต เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first