Microsoft Edge แก้ 24 ช่องโหว่ Chromium ในประกาศ 2026-Nov

พอดีไล่ฟีดเจอ Microsoft ออกประกาศ November 2026 Early Security Updates ลงวันที่ 4 พฤศจิกายน 2026 เลยเปิดรายละเอียดดู ชุดนี้ระบุช่องโหว่ Chromium ที่ส่งผลถึง Microsoft Edge รวม 24 รายการ มีทั้งความผิดพลาดในการใช้หน่วยความจำและการตรวจข้อมูลนำเข้า ประเด็นสำหรับคนดูแลเครื่องคือ ต้องตรวจรุ่นของเบราว์เซอร์ให้ตรงกับ build ที่แก้ในประกาศ

เกิดอะไรขึ้น

Edge ใช้ Chromium เป็นส่วนประกอบ ชุดอัปเดตนี้แก้ทั้งการอ้างอิงข้อมูลผิด (Incorrect reference resolution) และการใช้หน่วยความจำที่คืนไปแล้ว (Use after free) ยังมี Memory corruption, การตรวจข้อมูลนำเข้าผิด (Improper input validation), จำนวนเต็มล้น (Integer overflow) และการอ่านเกินขอบเขต (Out of bounds read)

ข้อผิดพลาดเหล่านี้เกี่ยวข้องกับการจัดการข้อมูลและขอบเขตหน่วยความจำ ตัวอย่างเช่น Use after free ทำให้โปรแกรมยังอ้างถึงพื้นที่ที่เลิกใช้งานไปแล้ว ส่วน Out of bounds read คือการอ่านเลยขอบเขตที่กำหนด ผลกระทบต้องดูแยกตาม CVE ไม่ควรเหมารวมว่าทุกรายการทำให้ผู้โจมตีควบคุมเครื่องได้

คะแนน CVSS 3.1 ในประกาศอยู่ระหว่าง 4.3–9.6 ทุก vector ระบุว่าโจมตีผ่านเครือข่ายได้ ผู้โจมตีไม่ต้องมีสิทธิ์ในระบบก่อน แต่ต้องอาศัยการกระทำของผู้ใช้ หลายรายการอาจทำให้ข้อมูลรั่ว ถูกแก้ไข หรือบริการหยุดทำงาน โดยผลกระทบแต่ละด้านอยู่ในระดับ High ตาม vector ส่วนวิธีโจมตีไม่ได้แจกแจงไว้ในประกาศชุดนี้

ระดับความรุนแรงของ Microsoft กับคะแนน CVSS ควรอ่านแยกกัน: CVE-2026-76024 ถูกจัดเป็น Critical แม้คะแนนเป็น 6.5 ขณะที่ CVE-2026-119272 เป็น Moderate คะแนน 4.3 รายการอื่นเป็น Important รวมถึง CVE-2026-76027 ที่ได้ 4.3 เช่นกัน

กลุ่มคะแนน 9.6 คือ CVE-2026-118309, CVE-2026-118321, CVE-2026-119261 และ CVE-2026-119263 ส่วนรายการที่เหลือนอกเหนือจากกลุ่มนี้และสามรายการข้างต้น ได้คะแนน 8.8

ใครโดนและรุ่นที่แก้

ผลิตภัณฑ์ที่ระบุคือ Microsoft Edge (Chromium-based) เอกสารไม่ได้แยกช่วงรุ่นที่ได้รับผลกระทบตามระบบปฏิบัติการ แต่ให้ FixedBuild แยกตาม CVE ดังนี้

รุ่น 156.0.4314.56 ยังไม่รวมการแก้ไขทั้งหมดในชุดนี้ ต้องอัปเดตถึง 156.0.4314.58 และตรวจเลข build เต็ม อย่าดูเฉพาะเลขรุ่นหลักของเบราว์เซอร์

ต้องทำอะไร

เปิดเมนูของ Edge แล้วเลือก Help and feedback ตามด้วย About Microsoft Edge ตามขั้นตอนที่ Microsoft ระบุ ตรวจเลขรุ่นและดำเนินการอัปเดตให้ถึง build ที่ครอบคลุมรายการทั้งหมด หากเบราว์เซอร์ขอให้เปิดใหม่ ให้ทำให้ครบแล้วกลับมาตรวจเลขรุ่นอีกครั้ง

สำหรับเครื่องที่จัดการจากส่วนกลาง แนะนำให้ตรวจผลการติดตั้งจากรุ่นที่ใช้งานจริง พร้อมตรวจว่าเครื่องใดค้างอยู่ที่ build เดิม การส่งนโยบายอัปเดตสำเร็จอย่างเดียว ยังไม่ใช่หลักฐานว่าเบราว์เซอร์ทุกเครื่องรับแพตช์ครบแล้ว เอกสารชุดนี้ไม่ได้ระบุ workaround ให้ใช้แทนการอัปเดต

ส่วนตัวผมแนะนำให้อัปเดตโดยเร็ว โดยเฉพาะเครื่องที่ใช้เปิดเว็บจากภายนอกเป็นประจำ เพราะมีหลายรายการที่คะแนน CVSS สูง ที่มา: November 2026 Early Security Updates และ ข้อมูลประกาศทางการผ่าน MSRC API หากมีรายละเอียดที่ต้องขยายจากประกาศนี้ เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ