กระดาษพิมพ์แผ่นเดียวบนโต๊ะโลหะในห้องโทนเขียวเข้ม หมึกดำล้นออกจากกรอบสี่เหลี่ยมเล็กๆ บนกระดาษจนไหลเลยขอบลงโต๊ะ โคมไฟสีอำพันส่องจุดที่ล้น และมีโทรศัพท์จอดับวางข้างๆ
securityappleiosmacoszero-daycve-2026-86950

Apple อุดช่องโหว่ CoreGraphics แล้ว แต่มี PDF สาธิตทำระบบล่ม ใครยังไม่อัปเดตควรทำตอนนี้

น้องกายEngineering

Apple ปล่อยอัปเดต 26.7.1 เมื่อวันที่ 28 กันยายน 2026 เพื่ออุดช่องโหว่ประมวลผลไฟล์ที่อาจถูกใช้โจมตีบุคคลเป้าหมายแล้ว ตามประกาศ Apple ครับ

ตอนนี้มีตัวอย่าง PDF ที่ทำให้ระบบล่มเผยแพร่แล้วด้วย แต่ยังไม่ได้สาธิตการสั่งรันโค้ดของผู้โจมตี ตามรายงาน The Hacker News วันที่ 1 ตุลาคม ถ้าคุณใช้ iPhone, iPad หรือ Mac และยังไม่ได้อัปเดตตั้งแต่ปลายกันยายน เรื่องนี้ควรอยู่ในรายการที่ทำวันนี้ครับ

เกิดอะไรขึ้น (สรุป 30 วินาที)

ช่องโหว่นี้มีรหัส CVE-2026-86950 ซึ่งเป็นหมายเลขสำหรับอ้างถึงปัญหาเดียวกันให้ตรงกันทุกฝ่าย อยู่ใน CoreGraphics ส่วนของระบบ Apple ที่จัดการกราฟิกและการวาดภาพ รวมถึงรูปกับ PDF ตามSecurity Affairs จึงเป็นปัญหาที่ส่วนประมวลผลเอกสาร ไม่ได้จำกัดอยู่ที่ชื่อแอปแชตแอปหนึ่ง

Apple ระบุว่าการประมวลผลไฟล์ที่สร้างมาอย่างจงใจอาจนำไปสู่ arbitrary code execution หมายถึงทำให้เครื่องรันคำสั่งที่ผู้โจมตีเลือกได้ Apple รับทราบรายงานว่าปัญหานี้อาจถูกใช้ในการโจมตีที่ซับซ้อนมากต่อบุคคลเป้าหมายเฉพาะ บน iOS ก่อนรุ่น 27 ถ้อยคำนี้ไม่ได้บอกว่าผู้ใช้ทุกคนถูกโจมตี และไม่ได้เปิดเผยจำนวนเหยื่อ

คำว่า zero-day คือช่องโหว่ที่ถูกใช้โจมตีก่อนมีแพตช์ให้ผู้ใช้ป้องกันได้ แพตช์ก็คืออัปเดตที่แก้ข้อบกพร่อง สำหรับข่าวนี้ Apple มีแพตช์แล้ว จึงไม่ควรอ่านคำว่า zero-day แล้วเข้าใจว่าทำอะไรไม่ได้ครับ ประกาศ Appleระบุว่าปัญหาการเขียนข้อมูลเกินพื้นที่ที่จัดไว้ถูกแก้ด้วยการตรวจขอบเขตให้ดีขึ้น และให้เครดิต Meta Product Security

ลำดับข่าวสำคัญคือ Apple ออกแพตช์ก่อน จากนั้น Calif เผยแพร่งานวิจัย The Great Glyph Grift เมื่อวันที่ 30 กันยายน งานนี้วิเคราะห์การเปลี่ยนแปลงของแพตช์ และมี PoC หรือ proof of concept ตัวอย่างสาธิตว่าช่องโหว่เกิดขึ้นได้จริง โดยทำให้ macOS และ iOS ล่ม ไม่ใช่หลักฐานว่ามีเครื่องมือโจมตีสมบูรณ์แจกให้ใช้แล้ว

อีกสัญญาณคือ CISA หน่วยงานความมั่นคงไซเบอร์ของสหรัฐฯ เพิ่มช่องโหว่นี้ใน KEV หรือ Known Exploited Vulnerabilities รายการช่องโหว่ที่มีการใช้โจมตีจริง ตามSecurity Affairs ตัวรายการดูได้ที่แค็ตตาล็อก KEV ของ CISA การอยู่ในรายการนี้ช่วยแยกเรื่องที่ต้องจัดการจากปัญหาที่มีเพียงการคาดการณ์บนกระดาษ

ทำไมเรื่องนี้เกี่ยวกับคุณ

คุณไม่ต้องเป็นคนเขียนโปรแกรมก็เจอ PDF ได้ครับ ตัวอย่างในชีวิตประจำวันมีทั้งเอกสารงาน ใบเสนอราคา หรือไฟล์ที่คนส่งเข้ากลุ่มครอบครัว จุดที่เกี่ยวกับข่าวนี้คือระบบต้องประมวลผลไฟล์เพื่อแสดงเนื้อหา และงานของ Califระบุว่า PDF ที่ฝังฟอนต์ดัดแปลงสามารถกระตุ้นข้อบกพร่องระหว่างการวาดเอกสารได้ ชื่อไฟล์ที่ดูธรรมดาจึงไม่ใช่หลักฐานว่าเนื้อหาภายในปลอดภัย

ที่ต้องระวังเพิ่มคือการแสดงตัวอย่างไฟล์ The Hacker Newsรายงานว่าชุดทดสอบของนักวิจัยใช้เส้นทางสร้างภาพย่อของ ImageIO ซึ่งเป็นส่วนประมวลผลภาพที่แอปใช้ตอนพรีวิวไฟล์แนบที่ได้รับ ข้อมูลนี้ชี้ให้เห็นว่าการประมวลผลอาจเกี่ยวกับขั้นตอนดูตัวอย่างด้วย แต่ยังไม่ยืนยันว่าแอปทุกตัวจะกระตุ้นบั๊กเองทันทีที่ได้รับข้อความ

แล้วการอ่าน PDF กลายเป็นการเขียนข้อมูลผิดที่ได้อย่างไร? ต้องดูขั้นตอนวาดตัวอักษรครับ ไม่ต้องอ่านโค้ดก็เข้าใจเหตุผลที่อัปเดตสำคัญได้

ทำงานยังไง (ตักน้ำแกงใส่ชามที่วัดเล็กเกินไป)

Calif อธิบายว่าปัญหาเริ่มจากความผิดพลาดในการแปลงหน่วย ซึ่งเกิดจากการปรับโค้ดให้มีประสิทธิภาพโดยคอมไพเลอร์ คอมไพเลอร์คือเครื่องมือแปลงโค้ดของนักพัฒนาให้เครื่องทำงานได้ การปรับให้เร็วขึ้นครั้งนี้ทำให้การคำนวณพื้นที่หน่วยความจำที่ต้องใช้วาดตัวอักษรคลาดเคลื่อน

คำว่า glyph หมายถึงรูปตัวอักษรที่ระบบต้องวาดให้เห็นบนจอ เมื่อประมวลผลฟอนต์ที่ถูกดัดแปลง CoreGraphics ประเมินว่าต้องใช้หน่วยความจำน้อยกว่าความเป็นจริง จึงจัดพื้นที่เล็กเกินไป แล้วเขียนข้อมูลออกนอกพื้นที่นั้น ตามงานวิจัย Calif ลำดับนี้คือคำนวณขนาดผิด จัดพื้นที่ไม่พอ และเกิดการเขียนเกินขอบเขต

นึกถึงร้านข้าวแกงแถวบ้านครับ คนตักวัดปริมาณน้ำแกงผิด เลยหยิบชามเล็กเกินไป พอตักตามปริมาณจริง น้ำแกงก็ล้นลงโต๊ะ ชามคือพื้นที่หน่วยความจำที่จัดไว้ ส่วนน้ำแกงคือข้อมูลที่ระบบเขียน ชามไม่ได้ขยายตามน้ำแกงเอง น่าเสียดายที่คอมพิวเตอร์ก็ไม่มีป้าร้านข้าวแกงคอยเปลี่ยนชามให้ทันครับ

การเขียนล้นแบบนี้เรียกว่า out-of-bounds write หรือการเขียนข้อมูลออกนอกขอบเขตที่อนุญาต ในโปรแกรม ข้อมูลที่ล้นอาจไปกระทบข้อมูลส่วนอื่น จึงเป็นปัญหาความปลอดภัย ไม่ใช่แค่ตัวอักษรแสดงเพี้ยน Appleระบุผลกระทบที่เป็นไปได้ถึงขั้นรันโค้ดตามใจผู้โจมตี และแก้ด้วยการตรวจขอบเขตให้ดีขึ้น

แต่ตัวอย่างสาธิตที่เปิดเผยตอนนี้ทำให้ระบบล่ม ยังไม่ได้สาธิตการยึดการทำงานของเครื่องครับ The Hacker Newsย้ำว่าการเปลี่ยนบั๊กนี้ให้เป็น exploit หรือวิธีโจมตีที่ใช้งานได้ เป็นงานอีกขั้นที่ยังไม่ได้แสดงใน PoC สาธารณะ ความต่างนี้สำคัญมากเวลาคุณอ่านพาดหัวที่พูดถึงการรันโค้ด

ระบบล่มหมายถึงการทำงานสะดุดหรือหยุดลง ส่วนการรันโค้ดของผู้โจมตีหมายถึงเขาควบคุมให้เครื่องทำสิ่งที่เลือกได้ ทั้งสองอย่างไม่เท่ากัน แต่ผลสาธิตแบบแรกก็ช่วยเปิดเผยตำแหน่งและเงื่อนไขของปัญหา เหตุผลที่ควรรีบอัปเดตจึงเป็นการลดโอกาสก่อนมีคนพัฒนาการโจมตีต่อ ไม่ใช่คำยืนยันว่าการโจมตีต่อยอดสำเร็จแล้ว

ข้อมูลที่ยังไม่ชัด และจุดที่แหล่งข่าวพูดไม่ตรงกัน

เหตุผลให้รีบ กับเหตุผลให้ระวังการสรุปเกินหลักฐาน

ฝั่งที่สนับสนุนความเร่งด่วนมีทั้งประกาศ Appleที่รับทราบรายงานการโจมตีบุคคลเป้าหมาย และรายงาน Security Affairsเรื่องการเพิ่มลง KEV รายงานหลังระบุคะแนน CVSS 8.8 ซึ่งเป็นคะแนนประเมินความรุนแรงทางเทคนิค คะแนนนี้ไม่ใช่เปอร์เซ็นต์โอกาสที่เครื่องของคุณจะถูกโจมตี

อีกด้านหนึ่ง The Hacker Newsให้ข้อจำกัดที่ห้ามมองข้าม ทั้งเรื่อง PoC ที่ทำได้เพียงระบบล่ม และการไม่มีคำยืนยันว่า WhatsApp เป็นช่องทางส่งไฟล์โจมตี นี่เป็นเสียงทักท้วงการตีความหลักฐานเกินขอบเขต ไม่ใช่การบอกว่าบั๊กไม่มีอันตรายครับ

WhatsApp เป็นช่องทางโจมตีจริงหรือเปล่า

นักวิจัย Calif ได้แก่ Dion Blazakis, Josh Maine และ Anna Groza หันไปดู WhatsApp เพราะ Meta ได้รับเครดิตในช่องโหว่ ตามThe Hacker News ข่าวรายงานว่า WhatsApp รุ่น 26.38.74 เพิ่มการตรวจฟอนต์ฝังใน PDF ที่น่าสงสัย ส่วนรุ่นที่ใช้เปรียบเทียบคือ 26.37.73 การตรวจอยู่ในตัวสแกนไฟล์แนบชื่อ Kaleidoscope

แต่ Calif เรียกสิ่งนี้ว่าเป็นหลักฐานแวดล้อม และข้อความอ้างว่า WhatsApp เป็นช่องทางโจมตีถูกนำออกจากโพสต์หลังเผยแพร่ 85 นาที ตามThe Hacker News การเพิ่มตัวตรวจในแอปกับการพิสูจน์ว่าแอปนั้นถูกใช้ส่งการโจมตีเป็นคนละข้อสรุป เราจึงไม่ควรเล่าเหมือนรู้ช่องทางแน่นอนแล้ว

The Hacker Newsระบุว่า WhatsApp ไม่มีประกาศเชื่อมโยงช่องโหว่นี้ และ Meta ไม่ตอบคำถามของสำนักข่าว ขณะที่Security Affairsระบุว่า Apple ยังไม่ยืนยันวิธีส่งไฟล์โจมตี การเลือกเลิกใช้แอปใดแอปหนึ่งจึงยังไม่มีหลักฐานรองรับว่าแก้ความเสี่ยงทั้งหมดได้

เครื่องรุ่นใหม่ คนโจมตี และมาตรการเสริม

ยังไม่รู้ว่าใครเป็นผู้โจมตีและมีเหยื่อกี่คนครับ Appleให้ข้อมูลเพียงว่ามีรายงานการใช้โจมตีที่ซับซ้อนมากต่อบุคคลเป้าหมายเฉพาะ คำว่าเฉพาะเป้าหมายบอกลักษณะรายงานที่ได้รับ ไม่ได้ให้รายชื่อกลุ่มคนที่ปลอดภัยแน่นอน หรือยืนยันว่าประเทศไทยมีหรือไม่มีผู้ได้รับผลกระทบ

เรื่องเวอร์ชันต้องอ่านแยกกัน Apple กล่าวถึงรายงานการโจมตีบน iOS ก่อนรุ่น 27 ในประกาศ ส่วนThe Hacker Newsระบุว่า Apple ไม่ได้ใส่ iOS 27 และ macOS Golden Gate 27 ในรายการที่ได้รับผลกระทบ การไม่ได้อยู่ในรายการดังกล่าวไม่ควรถูกขยายเป็นคำรับรองว่าระบบนั้นปลอดภัยจากทุกช่องโหว่

คนที่อัปเดตไม่ได้ยังไม่มีวิธีแก้ชั่วคราวที่ระบุไว้ในข้อมูลข่าว และ Apple ยังไม่บอกว่า Lockdown Mode ซึ่งเป็นโหมดจำกัดการใช้งานบางส่วนเพื่อเพิ่มการป้องกันสำหรับคนเสี่ยงสูง จะขวางการโจมตีนี้ได้หรือไม่ ตามThe Hacker News การเลี่ยงไฟล์น่าสงสัยจึงเป็นมาตรการลดความเสี่ยงระหว่างรอ ไม่ใช่สิ่งที่พิสูจน์แล้วว่าทดแทนแพตช์ได้

แล้วเราควรทำอะไร

คนใช้ iPhone และ iPad ทั่วไป

เริ่มจากเปิด Settings > General > Software Update หรือการตั้งค่า > ทั่วไป > รายการอัปเดตซอฟต์แวร์ ดูว่าเครื่องเสนออัปเดตใด เป้าหมายคือรุ่น 26.7.1 หรือใหม่กว่า หรือ iOS 27 ถ้าเครื่องรองรับ อย่าหยุดแค่เห็นแจ้งเตือนหรือดาวน์โหลดแล้ว ให้ติดตั้งจนเสร็จและกลับมาตรวจรุ่นที่ติดตั้งจริงด้วยครับ แพตช์ที่อ้างถึงอยู่ในประกาศ Apple

Appleระบุว่าประกาศครอบคลุม iPhone 11 และใหม่กว่า ส่วน iPad มีรายการดังนี้ เครื่องนอกกลุ่มนี้ไม่ได้ถูกยืนยันว่าปลอดภัยครับ

  • iPad Pro ขนาด 12.9 นิ้ว ตั้งแต่รุ่นที่สามขึ้นไป
  • iPad Pro ขนาด 11 นิ้ว ตั้งแต่รุ่นแรกขึ้นไป
  • iPad Air ตั้งแต่รุ่นที่สามขึ้นไป
  • iPad ตั้งแต่รุ่นที่แปดขึ้นไป
  • iPad mini ตั้งแต่รุ่นที่ห้าขึ้นไป

คนใช้ Mac ทำงานเอกสาร

เปิด System Settings > General > Software Update หรือการตั้งค่าระบบ > ทั่วไป > รายการอัปเดตซอฟต์แวร์ ตรวจตามสายระบบที่เครื่องใช้อยู่ Security Affairsระบุแพตช์ของ Tahoe เป็น macOS Tahoe 26.7.1 ส่วนฝั่ง Sequoia เป็น macOS Sequoia 15.8.1 อย่าเทียบเลขข้ามสายแล้วตัดสินว่ารุ่นหนึ่งใหม่กว่าอีกสายโดยตรง

คนที่ช่วยดูมือถือพ่อแม่และคนในบ้าน

ชวนตรวจเครื่องไปด้วยกันครับ เริ่มจากดูรุ่นระบบ เปิดหน้าอัปเดต และช่วยติดตั้งให้จบ แยกให้เห็นว่าปุ่มอัปเดตแอปกับปุ่มอัปเดตระบบเป็นคนละเรื่อง จะได้ไม่เกิดคำตอบว่าเพิ่งอัปเดตไปแล้ว ทั้งที่เป็นแอปอื่น หากมีทั้ง iPhone และ iPad ให้ตรวจแยกเครื่อง การทำเครื่องหนึ่งเสร็จไม่ได้บอกสถานะอีกเครื่อง

นักข่าว นักกิจกรรม ผู้บริหาร และคนเสี่ยงสูง

จัดการแพตช์ก่อน แล้วพิจารณาปิดการดาวน์โหลดสื่ออัตโนมัติในแอปแชตที่ใช้ เพื่อลดการรับไฟล์โดยไม่ตั้งใจ ตัวเลือกนี้ควรถือเป็นมาตรการเสริม เพราะยังไม่รู้วิธีส่งการโจมตีจริง และหลักฐานเรื่อง WhatsApp ถูกถอนแล้วตามThe Hacker News อย่าตัดสินความปลอดภัยจากการตั้งค่าแอปเดียว

พิจารณา Lockdown Mode ถ้าลักษณะงานทำให้มีโอกาสถูกเจาะจงโจมตี และดูว่าข้อจำกัดของโหมดกระทบการทำงานที่จำเป็นอย่างไร แต่ต้องคงข้อจำกัดของข้อมูลไว้ด้วยว่า Apple ยังไม่ยืนยันว่าขวางช่องโหว่นี้ได้ ตามThe Hacker News การเปิดโหมดจึงไม่ใช่เหตุผลให้ข้ามอัปเดต

ทีม IT ที่ดูแลหลายเครื่อง

ใช้ MDM หรือระบบจัดการอุปกรณ์ขององค์กร กำหนดเวอร์ชันระบบขั้นต่ำให้ตรงกับแพตช์แต่ละสาย เริ่มจากรายชื่อเครื่องและเวอร์ชันที่ติดตั้งจริง แยก iPhone, iPad และ Mac เพื่อไม่ใช้เงื่อนไขเดียวผิดกลุ่ม จากนั้นติดตามเครื่องที่ยังไม่ถึงเกณฑ์ พร้อมระบุผู้รับผิดชอบและเหตุผลที่ค้าง

แจ้งผู้ใช้ให้รู้ขั้นตอนและช่วงที่ต้องหยุดใช้งานเพื่ออัปเดต แล้วตรวจสถานะหลังติดตั้ง อย่านับเฉพาะจำนวนคำสั่งที่ส่งไป เพราะคำสั่งอัปเดตกับเครื่องที่อัปเดตสำเร็จเป็นคนละข้อมูล สำหรับเครื่องที่ยังแก้ไม่ได้ ให้คุยเรื่องการรับไฟล์ที่จำเป็นระหว่างรอ และติดตามจนมีคำตอบ ไม่ปิดงานด้วยข้อความว่าแจ้งพนักงานแล้ว

ผมมองว่า เรื่องนี้ไม่ใช่การแข่งขันว่าใครเดาถูกว่า PDF มาจากแอปไหน แต่คือการทำให้เครื่องที่เราใช้ทุกวันได้รับแพตช์ที่มีแล้วครับ เรามีหลักฐานเพียงพอให้ลงมือแก้ระบบ ขณะเดียวกันก็มีข้อจำกัดเพียงพอให้หยุดก่อนกล่าวหาช่องทางส่งไฟล์หรือบอกว่าทุกคนโดนยึดเครื่องแล้ว

สิ่งที่ควรจับตาต่อมีสองเรื่อง คือ Apple หรือ WhatsApp จะยืนยันช่องทางส่งการโจมตีหรือไม่ และจะมีคำอธิบายเพิ่มหรือไม่ว่า Lockdown Mode ช่วยขวางกรณีนี้ได้แค่ไหน ปัจจุบันทั้งสองเรื่องยังไม่มีคำยืนยันตามThe Hacker News

วันนี้คุณจะเริ่มตรวจเวอร์ชันเครื่องของตัวเอง หรือช่วยตรวจมือถือของพ่อแม่ก่อนครับ?

Recap

  • เปิดหน้าอัปเดตระบบและตรวจเวอร์ชันที่ติดตั้งจริงของทุกเครื่องที่ใช้งาน
  • ตรวจ iPhone และ iPad ตามแพตช์ในประกาศ Apple ไม่สับสนกับการอัปเดตแอป
  • ตรวจ Mac แยกสาย Tahoe และ Sequoia ตามรายการแพตช์ที่ Security Affairs รายงาน
  • จำว่า PoC สาธารณะทำให้ระบบล่ม ยังไม่ได้แสดงการรันโค้ดของผู้โจมตี ตามThe Hacker News
  • ไม่เปิด PDF ที่ไม่คาดหมายจากคนไม่รู้จัก และช่วยคนในบ้านตรวจอัปเดต
  • ถ้าเสี่ยงสูง พิจารณาปิดดาวน์โหลดสื่ออัตโนมัติและ Lockdown Mode ควบคู่กับแพตช์
  • ถ้าดูแล IT ตรวจเครื่องค้างผ่าน MDM และติดตามจนยืนยันการติดตั้งสำเร็จ
  • รอข้อมูลยืนยันช่องทางโจมตี โดยไม่ถือข้อสันนิษฐานเรื่อง WhatsApp เป็นข้อเท็จจริง