แจ้งเตือนช่องโหว่ความปลอดภัย Out of Bounds Write ใน Google Chromium V8 (CVE-2026-87491)
CISA KEV: Google Chromium V8 Out of Bounds Write Vulnerability in Google Chromium V8 (CVE-2026-87491)
ศูนย์รักษาความมั่นคงปลอดภัยไซเบอร์ มหาวิทยาลัยพะเยา ขอแจ้งเตือนช่องโหว่ความปลอดภัยรหัส CVE-2026-87491 ในระบบ Google Chromium V8 ซึ่งเป็นช่องโหว่ประเภท Out of Bounds Write ที่เปิดทางให้ผู้ไม่หวังสามารถโจมตีจากระยะไกลผ่านการสร้างหน้าเว็บ HTML อันตราย เพื่อรันคำสั่งอันไม่พึงประสงค์ภายใน Sandbox ได้ ช่องโหว่นี้ส่งผลกระทบต่อเบราว์เซอร์หลายตัวที่ใช้เอนจิ้น Chromium เช่น Google Chrome, Microsoft Edge และ Opera
รายละเอียดช่องโหว่ความปลอดภัย (Vulnerability Details)
รหัสช่องโหว่ (CVE ID): CVE-2026-87491
ผลิตภัณฑ์ที่ได้รับผลกระทบ: Google Chromium V8 รวมถึงเบราว์เซอร์ที่ใช้ Chromium เป็นพื้นฐาน เช่น Google Chrome, Microsoft Edge และ Opera
ลักษณะของช่องโหว่: ช่องโหว่ความปลอดภัยแบบ Out of Bounds Write ในระบบ Google Chromium V8 เกิดจากการจัดการหน่วยความจำที่ไม่รัดกุมเพียงพอ
กลไกการโจมตี (Exploitation Mechanism): ผู้ไม่ประสงค์ดีสามารถใช้ประโยชน์จากช่องโหว่นี้โดยการหลอกล่อให้ผู้ใช้งานเข้าชมหน้าเว็บไซต์ HTML ที่ถูกสร้างขึ้นมาเป็นพิเศษ (Crafted HTML page) ซึ่งจะนำไปสู่การเขียนข้อมูลเกินขอบเขตหน่วยความจำที่จัดสรรไว้ ส่งผลให้ผู้โจมตีสามารถเรียกใช้งานและรันคำสั่งอันตราย (Arbitrary Code Execution) ภายใน Sandbox ของเบราว์เซอร์ได้สำเร็จ
ผลกระทบต่อองค์กร: หากถูกโจมตีสำเร็จ อาจทำให้ระบบความปลอดภัยของเบราว์เซอร์ถูกเจาะทะลุ ส่งผลกระทบต่อความลับ ความถูกต้อง และความพร้อมใช้งานของข้อมูลผู้ใช้งาน ตลอดจนอุปกรณ์ปลายทางที่ใช้งานเว็บเบราว์เซอร์ดังกล่าว
แนวทางการปฏิบัติและบรรเทาผลกระทบ (Mitigation Recommendations)
- ดำเนินการอัปเดตแพตช์: ปรับปรุงและอัปเดตเว็บเบราว์เซอร์ที่ใช้เอนจิ้น Chromium (เช่น Google Chrome, Microsoft Edge, Opera) ให้เป็นเวอร์ชันล่าสุดตามคำแนะนำของผู้พัฒนาทันที เพื่อปิดช่องโหว่ความปลอดภัยดังกล่าว
- ปฏิบัติตามมาตรฐานความปลอดภัย: ดำเนินการตามแนวทางปฏิบัติด้านความปลอดภัยของหน่วยงานกำกับดูแล เช่น CISA BOD 26-04 ว่าด้วยการจัดลำดับความสำคัญในการอัปเดตความปลอดภัยตามระดับความเสี่ยง รวมถึงข้อกำหนดด้านการตรวจสอบหลักฐานทางดิจิทัล (Forensics Triage Requirements) หากจำเป็น
- ประเมินความเสี่ยงและสินทรัพย์: ผู้ดูแลระบบควรทำการตรวจสอบและประเมินสินทรัพย์ไอทีภายในองค์กรที่มีการใช้งานเบราว์เซอร์ดังกล่าว และเร่งรัดกระบวนการอัปเดตให้แล้วเสร็จตามกำหนดการแก้ไขปัญหา (Federal Remediation Due Date: 2026-09-23)
- จำกัดการใช้งานและการเข้าถึง: พิจารณาระงับการใช้งานเบราว์เซอร์ที่ไม่สามารถอัปเดตแพตช์ได้ทันที หรือจำกัดการเข้าถึงเว็บไซต์ที่ไม่น่าเชื่อถือเพื่อลดความเสี่ยงจากการถูกโจมตีผ่านหน้าเว็บ