"Chromium V8 สับสนชนิดข้อมูล ถูกโจมตีจริง CVE-2026-85046"

พอดีไล่ฟีด CISA KEV เจอ CVE-2026-85046 ใน Google Chromium V8 ซึ่งเพิ่มเข้ารายการวันที่ 4 กันยายน 2026 ผมเทียบกับประกาศ Google แล้วพบว่าเป็นระดับ High และมีการใช้โจมตีจริงแล้ว การเปิดหน้าเว็บที่ผู้โจมตีเตรียมไว้อาจทำให้รันโค้ดภายใน sandbox ได้ ผู้ดูแลควรตรวจผลการอัปเดตให้ครบ

เกิดอะไรขึ้น

ช่องโหว่นี้เป็น type confusion คือ V8 นำข้อมูลไปใช้ผิดชนิด เมื่อประมวลผลหน้า HTML ที่ผู้โจมตีสร้างขึ้น อาจทำให้รันโค้ดภายใน sandbox ได้ รายละเอียดอยู่ใน บันทึก CVE-2026-85046

ผลกระทบที่ประกาศระบุอยู่ภายใน sandbox ยังไม่ได้ระบุว่าช่องโหว่นี้เพียงตัวเดียวใช้หลุดจาก sandbox หรือยึดระบบปฏิบัติการได้ แต่มีการใช้โจมตีจริงแล้ว เลยควรเร่งแพตช์

Google จัดระดับความรุนแรงไว้ที่ High ส่วนข้อมูลเสริม CISA ADP ในบันทึก CVE ให้คะแนน CVSS 3.1 เท่ากับ 8.8 คะแนนนี้เป็นข้อมูลเสริมจาก CISA ไม่ใช่คะแนนที่ Google ใส่ไว้ในประกาศ Chrome โดยตรง Google ระบุว่าทราบว่ามี exploit ของช่องโหว่นี้อยู่ในการโจมตีจริง และยังจำกัดการเข้าถึงรายละเอียดบางส่วนจนกว่าผู้ใช้ส่วนใหญ่จะได้รับแพตช์ ตาม ประกาศ Stable Channel

ใครโดนและรุ่นที่แก้

บันทึก CVE ระบุว่า Google Chrome ก่อน 152.0.7977.82 ได้รับผลกระทบ ส่วนประกาศผู้ผลิตวันที่ 3 กันยายน 2026 แจกแจงรุ่นแก้ของ Stable บนเดสก์ท็อปดังนี้

CISA ระบุว่าเบราว์เซอร์ที่ใช้ Chromium เช่น Microsoft Edge และ Opera อาจได้รับผลกระทบด้วย ต้องตรวจรุ่นแก้จากผู้ผลิตแต่ละราย เพราะประกาศที่อ้างถึงไม่ได้ให้เลขรุ่นของผลิตภัณฑ์เหล่านี้ เลขรุ่น Chrome ใช้ตัดสิน Edge หรือ Opera โดยตรงไม่ได้ ดู ข้อมูล KEV ทางการของ CISA

ต้องทำอะไร

เริ่มจากตรวจชื่อผลิตภัณฑ์และรุ่นบนเครื่องที่ใช้งานจริง สำหรับ Chrome ให้เปิดหน้า “เกี่ยวกับ Google Chrome” ผ่านเมนูช่วยเหลือ ตรวจหาอัปเดต ติดตั้งรุ่นที่มีแพตช์หรือรุ่นใหม่กว่าที่ผู้ผลิตรองรับ แล้วเปิดเบราว์เซอร์ใหม่ตามที่โปรแกรมแจ้ง หลังจากนั้นกลับมาดูเลขรุ่นอีกครั้ง เพื่อยืนยันว่ากระบวนการที่กำลังทำงานใช้รุ่นที่แก้แล้ว

ในองค์กรควรตรวจผลจากรายการเครื่องปลายทางด้วย เพราะเครื่องที่ดาวน์โหลดแพตช์แล้วแต่ยังเปิดเบราว์เซอร์ค้างอยู่อาจยังไม่ได้เปลี่ยนไปใช้รุ่นใหม่ ส่วนผู้ใช้เบราว์เซอร์ฐาน Chromium ตัวอื่นควรตรวจทั้งประกาศแพตช์และสถานะการติดตั้งของผลิตภัณฑ์นั้นโดยตรง

CISA กำหนดวันครบกำหนดแก้ไขไว้ที่ 18 กันยายน 2026 พร้อมให้ดำเนินการตามคำแนะนำผู้ผลิต และหยุดใช้ผลิตภัณฑ์หากไม่มีมาตรการบรรเทาที่ใช้ได้ ประกาศ Google ที่อ้างถึงไม่ได้เสนอ workaround เฉพาะสำหรับช่องโหว่นี้ แนวทางหลักคือการติดตั้งอัปเดต ไม่ควรใช้การหลีกเลี่ยงเว็บที่ไม่น่าเชื่อถือแทนแพตช์

ส่วนตัวผมให้งานนี้อยู่ในคิวแพตช์เร่งด่วน เพราะถูกโจมตีจริงแล้ว และควรตรวจรุ่นหลังเปิดโปรแกรมใหม่ให้ครบ ที่มา: CISA KEV — CVE-2026-85046, บันทึก CVE และ Google Stable Channel Update for Desktop หากมีรายละเอียดจากผู้ผลิตเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ