Chrome และ Firefox อุดช่องโหว่รวม 114 รายการ: เบราว์เซอร์ที่ใช้เข้าเว็บธนาคารต้องอัปเดตวันนี้

เบราว์เซอร์ที่คุณเปิดใช้โอนเงินธนาคาร เข้า LINE Web ทำงาน หรือเช็คอีเมลทุกวัน มีช่องโหว่รวม 114 รายการที่เพิ่งถูกแก้ไขในอัปเดตล่าสุดของ Google Chrome และ Mozilla Firefox (SecurityWeek) Chrome เวอร์ชัน 155.0.8059.79/.80 สำหรับเดสก์ท็อปแก้ไข 37 ช่องโหว่ความปลอดภัย รวมถึง 7 ช่องโหว่ระดับวิกฤต (SecurityWeek) (HKCERT) ส่วน Firefox 158 แก้ไข 77 ช่องโหว่ (SecurityWeek) และยังเปิดตัว Firefox Enterprise 158 สำหรับองค์กรด้วย (Firefox Enterprise) Chrome สำหรับ Android ก็ได้รับอัปเดตเดียวกันนี้ (Chrome Android)

เรื่องนี้ไม่ใช่แค่ตัวเลข แต่เป็นกุญแจที่เปิดบ้านคุณทุกวัน ถ้าช่องโหว่เหล่านี้ถูกโจมตี เงินในบัญชี ภาพถ่ายลูก หรือข้อมูลงานอาจรั่วไหลได้ง่าย ๆ โดยไม่ต้องติดไวรัสใหม่

สรุป 30 วินาที: เกิดอะไรขึ้น

Google และ Mozilla ประกาศอัปเดตเบราว์เซอร์พร้อมกันเมื่อช่วงต้นสัปดาห์ที่ผ่านมา Chrome เดสก์ท็อปเวอร์ชัน 155.0.8059.79/.80 (Windows, macOS) และ 155.0.8059.79 (Linux) แก้ไข 37 ช่องโหว่ โดย 7 รายการเป็นระดับ critical ที่เกี่ยวกับ memory corruption เช่น buffer overflow ใน ANGLE และ use-after-free ในหลายส่วนของเบราว์เซอร์ (SecurityWeek) (CIS) Firefox 158 แก้ไข 77 ช่องโหว่ ส่วนใหญ่เป็น use-after-free, sandbox escape และ privilege escalation (SecurityWeek)

Mozilla ยังเปิดตัว Firefox Enterprise 158 เป็นครั้งแรก สำหรับบริษัทที่มีข้อกำหนดเรื่องความปลอดภัย การกำกับดูแล และการปฏิบัติตามกฎระเบียบ (Firefox Enterprise) Chrome สำหรับ Android ได้รับอัปเดต 155.0.8059.79 ที่รวมแพตช์ความปลอดภัยเดียวกับเวอร์ชันเดสก์ท็อป (Chrome Android)

จากแหล่งข่าวทั้งหมด ไม่มีรายงานว่าช่องโหว่เหล่านี้ถูกโจมตีในโลกจริง (CIS)

ทำไมเรื่องนี้เกี่ยวกับคุณ

ทุกเช้าคุณเปิด Chrome หรือ Firefox เพื่อเช็คยอดเงินธนาคาร โอนเงินให้ลูกค้า สั่งของผ่านเว็บ หรือคุยงานผ่าน LINE Web ถ้าเบราว์เซอร์มีจุดอ่อน โจรไซเบอร์อาจใช้เว็บไซต์ธรรมดา ๆ หลอกให้คุณเข้าไปแล้วขโมยข้อมูลได้โดยไม่ต้องให้คุณกดอะไรพิเศษ

สำหรับคนทำงานออฟฟิศที่ใช้เบราว์เซอร์จัดการเอกสาร ระบบเงินเดือน หรืออีเมลบริษัท ช่องโหว่ระดับ critical อาจทำให้ข้อมูลลูกค้ารั่วได้ สำหรับพ่อแม่ที่ให้ลูกใช้แท็บเล็ตเล่นเกมหรือเรียนออนไลน์ การอัปเดตนี้ช่วยลดความเสี่ยงที่ลูกจะเจอเว็บหลอกลวงโดยไม่รู้ตัว ส่วนเจ้าของร้านเล็ก ๆ ที่ใช้เบราว์เซอร์เช็คยอดขายผ่าน Shopee หรือ Lazada ก็เสี่ยงเหมือนกันถ้าไม่รีบอัปเดต

ทำงานยังไง

ช่องโหว่ส่วนใหญ่เป็นปัญหาในหน่วยความจำของโปรแกรม เช่น “use-after-free” ที่หมายถึงโปรแกรมลบข้อมูลออกจากหน่วยความจำแล้วแต่ยังมีส่วนอื่นของโปรแกรมไปใช้ข้อมูลชิ้นนั้นอยู่ ทำให้แฮกเกอร์สามารถแทรกโค้ดของตัวเองเข้าไปได้ (SecurityWeek) (CIS) Buffer overflow คือการที่ข้อมูลล้นออกจากพื้นที่ที่จัดสรรไว้ เหมือนน้ำล้นจากแก้วจนทำให้ระบบเสียหาย

Firefox Enterprise 158 เพิ่มเครื่องมือสำหรับบริษัท เช่น การจัดการนโยบายจากศูนย์กลาง (Admin Console) ที่ติดตั้งในเซิร์ฟเวอร์ของบริษัทเอง การตรวจสอบสภาพอุปกรณ์ก่อนให้พนักงานล็อกอิน (device posture) การป้องกันการรั่วไหลของข้อมูล (DLP) โดยบล็อกการคัดลอก วาง หรือพิมพ์ในเว็บที่กำหนด การใส่ลายน้ำ (watermark) บนหน้าเว็บ敏感 การโหมดล็อกดาวน์ (Lockdown Mode) ที่ปิดฟีเจอร์เสี่ยง ๆ บนเว็บไม่น่าเชื่อถือ และการเข้ารหัสข้อมูลโปรไฟล์ (Firefox Enterprise)

ทำงานยังไงแบบบ้าน ๆ
ลองนึกถึงบ้านคุณเหมือนร้านข้าวตามสั่งที่เปิดประตูต้อนรับลูกค้าทุกวัน กุญแจบ้านรุ่นเก่ามีรอยร้าวตรงลูกกุญแจ โจรแค่สอดลวดบาง ๆ ก็ไขได้ ช่างบอกว่า “เปลี่ยนกุญแจบ้านหลังช่างบอกว่ากุญแจรุ่นนี้มีจุดอ่อน” คุณก็รีบเปลี่ยนทันที เพราะไม่อยากให้คนแปลกหน้าเดินเข้ามาในบ้านกลางดึกใช่ไหมครับ อัปเดตเบราว์เซอร์ก็เหมือนเปลี่ยนกุญแจบ้านนั่นแหละ

จุดหักมุม: Firefox Enterprise เปิดตัวพร้อมแพตช์ใหญ่

จุดที่น่าสนใจคือ Mozilla ไม่ได้แค่แก้บั๊ก แต่เปิดตัว Firefox Enterprise 158 เป็นเวอร์ชันพิเศษสำหรับองค์กรที่ต้องการควบคุมข้อมูลเองทั้งหมด ไม่ต้องพึ่งระบบคลาวด์ของ Google หรือ Apple (Firefox Enterprise) มันใช้เครื่องยนต์ Gecko ของตัวเองและให้บริษัทติดตั้งคอนโซลจัดการเอง ทำให้ข้อมูลไม่ต้องออกไปนอกองค์กร

เรื่องเงิน / ผลกระทบ

ถ้าไม่รีบอัปเดต อาจเจอความเสียหายทางการเงินโดยตรง เช่น บัญชีธนาคารถูกโอนเงินออกโดยไม่รู้ตัว ข้อมูลบัตรเครดิตถูกขโมย หรือข้อมูลธุรกิจรั่วไหลทำให้ลูกค้าไม่ไว้ใจ สำหรับธุรกิจขนาดเล็ก ค่าใช้จ่ายในการกู้คืนระบบหรือจ้างผู้เชี่ยวชาญอาจสูงถึงหลักแสน

สำหรับองค์กรใหญ่ Firefox Enterprise ช่วยลดต้นทุนการพึ่งพาผู้ขายรายเดียว ลดความเสี่ยงจากการรั่วไหลของข้อมูล และให้การมองเห็นการเคลื่อนไหวของข้อมูลดีขึ้น (Firefox Enterprise) แต่สำหรับผู้ใช้ทั่วไป ผลกระทบหลักคือความเสี่ยงด้านความปลอดภัยและความสะดวกที่ต้องรีบอัปเดต

ข้อมูลที่ยังไม่ชัด และจุดที่แหล่งข่าวพูดไม่ตรงกัน

SecurityWeek บอกว่า Chrome อัปเดตนี้แก้ 37 ช่องโหว่ (SecurityWeek) แต่ Chrome Releases บอกว่าอัปเดต Stable ก่อนหน้านี้ (เวอร์ชัน 155 ตัวแรก) แก้ถึง 247 ช่องโหว่ (Chrome Releases Desktop) ซึ่งเป็นการอัปเดตแยกต่างหากที่เราเคยเขียนไว้ที่ /blog/chrome-155-247-security-fixes-update-now/ ส่วนอัปเดต 155.0.8059.79/.80 นี้เป็น point release ที่เน้นแพตช์เพิ่มเติม

CIS Advisory ระบุ CVE บางตัวที่แตกต่างจาก SecurityWeek เล็กน้อย และยังไม่มีตัวเลขรางวัลบั๊กทั้งหมดชัดเจน Google บอกว่าจะไม่จ่ายเงินรางวัลให้บั๊ก 15 รายการที่รายงานโดย Xinyang Ge ด้วยความช่วยเหลือจาก Claude (SecurityWeek)

ไม่มีแหล่งใดระบุราคาหรือกำหนดการอัปเดตในประเทศไทยอย่างชัดเจน และยังไม่มีรายงานการถูกโจมตีจริงในป่า (CIS)

แล้วเราควรทำอะไร

สำหรับคนทั่วไป (พนักงานออฟฟิศ พ่อแม่ นักเรียน)

1. เปิด Chrome แล้วไปที่เมนู (สามจุดมุมขวาบน) > Help > About Google Chrome รอให้มันเช็คและติดตั้งอัปเดตแล้วรีสตาร์ท (HKCERT)
2. สำหรับ Firefox ไปที่เมนู > Help > About Firefox
3. บน Android เปิด Play Store ค้น “Chrome” แล้วกดอัปเดต (Chrome Android)
4. เปิดใช้งาน “อัปเดตอัตโนมัติ” ในเบราว์เซอร์ทุกตัว

สำหรับเจ้าของธุรกิจขนาดเล็ก

1. อัปเดตเบราว์เซอร์ในเครื่องทุกเครื่องที่ใช้รับเงินหรือเช็คออร์เดอร์
2. สอนพนักงานให้เช็คเวอร์ชันเบราว์เซอร์ทุกสัปดาห์
3. ใช้ password manager และเปิด 2FA ทุกบัญชี

สำหรับทีม IT และองค์กร

1. ทดสอบ Firefox Enterprise 158 ในสภาพแวดล้อมทดลองก่อน (Firefox Enterprise)
2. ใช้เครื่องมือจัดการ rollout แบบ staged สำหรับ Chrome
3. ตั้ง policy บังคับให้เบราว์เซอร์อัปเดตภายใน 7 วัน
4. เปิดใช้งาน device posture, DLP และ watermarking ถ้าใช้ Firefox Enterprise

ผมมองว่า…

ผมมองว่า การอัปเดตเบราว์เซอร์ไม่ได้เป็นเรื่องน่าเบื่ออีกต่อไปแล้ว มันคือการเปลี่ยนกุญแจบ้านหลังรู้ว่ามีช่องโหว่ ไม่ใช่เรื่องของคนเก่งด้านไอทีเท่านั้น แต่คือเรื่องความปลอดภัยของเงินและข้อมูลส่วนตัวที่ทุกคนต้องดูแล

ปิดท้าย: สิ่งที่ต้องจับตา

สัปดาห์นี้ต้องจับตาว่า Firefox Enterprise จะได้รับการตอบรับจากบริษัทไทยมากน้อยแค่ไหน และจะมีช่องโหว่ใหม่ใน Chrome 155 ตัวถัดไปหรือไม่ เพราะ Google เพิ่งประกาศเพิ่มเงินรางวัลบั๊กบางประเภทด้วย นอกจากนี้ ควรติดตามว่าแอปธนาคารและเว็บไซต์รัฐบาลจะปรับให้รองรับการจัดการนโยบายจาก Firefox Enterprise เร็วแค่ไหน

Recap

• อัปเดต Chrome เป็น 155.0.8059.79/.80 (เดสก์ท็อป) หรือ 155.0.8059.79 (Android) ทันที
• อัปเดต Firefox เป็น 158 หรือ Firefox ESR ล่าสุด
• ลองพิจารณา Firefox Enterprise สำหรับองค์กรที่ต้องการควบคุมข้อมูลเอง
• เปิดใช้งานการอัปเดตอัตโนมัติและตรวจสอบเวอร์ชันทุกสัปดาห์
• ใช้หลักการ least privilege (อย่าใช้บัญชีแอดมินประจำวัน)
• เปิด 2FA และใช้ password manager สำหรับทุกบัญชีที่เข้าผ่านเบราว์เซอร์
• ทีม IT ควรทดสอบและ rollout แบบ staged