กุญแจ HTTPS มีค่าแค่ 4: eMudhra ถอนใบรับรอง 8 ใบ เบราว์เซอร์เร่งบล็อก

eMudhra ถอนใบรับรองตัวกลาง 8 ใบ หลังพบว่ากุญแจลับทั้งหมดมีค่าน้อยกว่า 256 และหนึ่งในนั้นมีค่าเพียง 4 ทำให้คนอื่นไล่ลองตัวเลขแค่ 256 ค่าเพื่อหากุญแจได้ เรื่องนี้เปิดความเสี่ยงให้มีการปลอมใบรับรองของเว็บไซต์จริงและดักการสื่อสารที่เข้ารหัสอยู่ได้ ตามรายงานของ BleepingComputer

สำหรับคนที่เปิดเว็บธนาคาร ซื้อของ หรือทำงานผ่านเว็บ ประเด็นอยู่ที่ความเชื่อถือของ HTTPS ซึ่งเป็นการเชื่อมต่อเว็บแบบเข้ารหัส เมื่อหลักฐานที่ใช้ยืนยันตัวเว็บไซต์ถูกปลอมได้ การเชื่อมต่อที่ดูน่าเชื่อถือก็อาจพาเราไปสื่อสารกับผู้สวมรอยได้ อย่างไรก็ดี ข่าวนี้ยังไม่มีหลักฐานว่ามีผู้ใช้กุญแจดังกล่าวโจมตีจริง และผู้ทำเบราว์เซอร์รายใหญ่เริ่มบล็อกแล้ว รายงานของ BleepingComputer ระบุทั้งความเสี่ยงและข้อจำกัดของหลักฐานไว้ชัดเจนครับ

สรุป 30 วินาที: เกิดอะไรขึ้น

นักวิจัยชื่อ Wayne พบปัญหาเมื่อวันที่ 17 ตุลาคม 2026 ระหว่างตรวจข้อมูลใบรับรองที่เปิดเผยต่อสาธารณะ กุญแจที่มีปัญหาถูกสร้างตั้งแต่เดือนเมษายน 2025 และ eMudhra อธิบายว่าเกิดจากข้อผิดพลาดในสคริปต์ หรือชุดคำสั่งอัตโนมัติที่ใช้สร้างกุญแจ ตามรายงานของ BleepingComputer

Mozilla บล็อกใบรับรองผ่าน OneCRL ซึ่งเป็นระบบส่งรายการเพิกถอนให้ Firefox ตั้งแต่วันที่ 17 ตุลาคม โดยการป้องกันส่วนนี้ไม่ต้องอัปเดตหรือเปิดเบราว์เซอร์ใหม่ Google Chrome บล็อกตัวกลาง 6 ใบที่ได้รับอนุญาตให้ออกใบรับรอง TLS ซึ่งเป็นเทคโนโลยีเข้ารหัสการเชื่อมต่อใน HTTPS ในวันเดียวกัน ส่วน Apple เพิ่มการป้องกันวันที่ 19 ตุลาคม ตาม BleepingComputer

วันที่ 20 ตุลาคม Mozilla ยังออก Firefox 158.0.1 และอัปเดตสาย ESR ซึ่งเป็นสายรุ่นที่ดูแลต่อเนื่องระยะยาว เพื่อป้องกันผู้ใช้ที่ตั้งค่าแล้วรับรายการเพิกถอนก่อนหน้าไม่ได้ แต่โปรแกรมที่เก็บรายการใบรับรองของตัวเองหรือไม่ตรวจการเพิกถอนอาจยังเชื่อถือใบรับรองชุดนี้จนกว่าจะอัปเดต นี่คือเหตุผลที่งานยังไม่จบแค่หน้าเบราว์เซอร์ ตาม BleepingComputer

ทำไมเรื่องนี้เกี่ยวกับคุณ

ใบรับรองที่มีปัญหาเชื่อมโยงไปยังรากความเชื่อถือที่ระบบของ Mozilla, Microsoft, Apple และ Chrome ยอมรับ รวมถึงรายการความเชื่อถือที่ซอฟต์แวร์อื่นนำไปใช้ต่อ จึงเป็นปัญหาที่ข้ามยี่ห้ออุปกรณ์และข้ามโปรแกรมได้ ตามบทสรุปของ Simon Willison

ผลต่อชีวิตประจำวันคือ เราต้องแยกคำว่า “เว็บเปิดได้” ออกจากคำว่า “โปรแกรมเลิกเชื่อถือใบรับรองที่มีปัญหาแล้ว” เพราะรายงานระบุว่าซอฟต์แวร์บางชนิดยังเชื่อถือได้หากรายการใบรับรองของมันไม่เปลี่ยน ผมจึงแนะนำให้คนที่ใช้เครื่องทำงานหรือจัดการเงินตรวจอัปเดตให้ครบ โดยอิงข้อจำกัดนี้จาก BleepingComputer

สำหรับร้านเล็กหรือสำนักงานในไทยที่ใช้เครื่องมือเหล่านี้ ก็ควรให้ผู้ดูแลตรวจเช่นกัน แต่แหล่งข้อมูลที่ให้มายังไม่ได้ระบุว่ามีองค์กรไทยหรือผู้ใช้ไทยรายใดได้รับผลกระทบ สิ่งที่ยืนยันได้คือความเสี่ยงต่อซอฟต์แวร์ที่ยังเชื่อถือใบรับรอง และยังไม่มีหลักฐานการนำกุญแจไปใช้โจมตี ตาม BleepingComputer จึงไม่ควรตีความว่าทุกคนที่เคยเข้าเว็บธนาคารถูกดักข้อมูลไปแล้ว

คนทำงานไอทีมีภาระเพิ่มอีกส่วน เพราะการเชื่อมต่อเว็บไม่ได้เกิดเฉพาะตอนคนคลิกหน้าเว็บ ประกาศสำหรับผู้ใช้ Python เตือนถึงโปรแกรมฝั่งที่เชื่อมต่อด้วย TLS รวมถึงการติดต่อ python.org และ pypi.org ซึ่งเป็นบริการในระบบนิเวศ Python และแนะนำให้อัปเดตแพ็กเกจพร้อมสร้างอิมเมจคอนเทนเนอร์ใหม่ หรือชุดซอฟต์แวร์ที่เตรียมไว้ใช้สร้างสภาพแวดล้อมทำงาน ตาม Python.org

ทำงานยังไง

CA ย่อมาจาก Certificate Authority คือหน่วยงานออกใบรับรองดิจิทัลที่โปรแกรมใช้ประกอบการยืนยันตัวเว็บไซต์ ส่วนใบรับรองตัวกลาง หรือ intermediate certificate คือใบรับรองที่ได้รับความเชื่อถือสืบต่อจากใบรับรองราก แล้วใช้รับรองใบอื่นต่อได้ กรณีนี้ตัวกลางของ eMudhra เชื่อมถึงรากที่ระบบใหญ่หลายรายเชื่อถือ จึงทำให้ปัญหากระทบโปรแกรมที่ใช้ความเชื่อถือนั้นต่อ ตาม Simon Willison และ BleepingComputer

กุญแจลับ หรือ private key คือข้อมูลลับที่ใช้สร้างลายเซ็นดิจิทัลเพื่อรับรองใบรับรอง กรณีนี้ใช้กุญแจแบบ P-384 ซึ่งเป็นชื่อรูปแบบกุญแจเข้ารหัส แต่ค่าลับที่สร้างขึ้นกลับน้อยกว่า 256 ทุกใบ ผู้ค้นพบจึงไม่ต้องเผชิญตัวเลือกจำนวนมหาศาล แค่ทดสอบตัวเลข 256 ค่าก็หาค่าลับได้ตามรายงานเหตุการณ์ที่ BleepingComputer นำมาอธิบาย

ลองนึกถึงสำนักงานออกบัตรประชาชนที่ตรายางปลอมง่ายจนเด็กก็แกะได้ ร้านค้าที่เชื่อตรานี้ต้องประกาศไม่รับบัตรล็อตนั้น การถอนใบรับรองทำหน้าที่คล้ายประกาศดังกล่าว แต่ร้านแต่ละแห่งต้องได้รับประกาศด้วย ถ้าโปรแกรมยังใช้รายการความเชื่อถือเก่า หรือไม่ตรวจว่ามีการถอนใบรับรอง ก็อาจยังยอมรับของที่ควรถูกปฏิเสธอยู่ นี่เป็นภาพเปรียบเทียบของปัญหาที่ BleepingComputer ระบุเรื่องโปรแกรมที่มีคลังใบรับรองของตัวเอง

สิ่งที่ทำให้เหตุการณ์นี้หนักคือผู้โจมตีอาจใช้กุญแจที่หาได้ไปปลอมใบรับรองสำหรับเว็บไซต์ที่มีอยู่จริง แล้วสวมรอยเพื่อดักการสื่อสารที่เข้ารหัสได้ ไม่ได้หมายความว่าการเข้ารหัสทุกชนิดพังพร้อมกัน แต่หมายถึงหลักฐานยืนยันตัวตนในสายความเชื่อถือนี้มีปัญหา ความเป็นไปได้ในการสวมรอยและดักข้อมูลเป็นความเสี่ยงที่รายงานไว้ใน BleepingComputer โดยยังไม่มีหลักฐานว่ามีการทำเช่นนั้นจริง

จุดสังเกต: อัปเดตระบบแล้ว pip อาจยังเชื่อใบรับรองเดิม

จุดที่ผมอยากให้ฝ่ายไอทีอ่านช้าลงนิดหนึ่งคือ pip เครื่องมือสำหรับติดตั้งแพ็กเกจ Python ซึ่งเป็นชุดซอฟต์แวร์ที่นำมาใช้ในโปรแกรมต่อได้ ในกระทู้ Python.org Christian Heimes อธิบายว่า pip โหลดใบรับรองจาก certifi ที่บรรจุมาด้วยเสมอ เพิ่มเติมจากรายการของระบบ ดังนั้น pip ที่ต่ำกว่า 26.2.2 ยังเชื่อถือกลุ่มใบรับรองที่มีปัญหา แม้ระบบปฏิบัติการจะเลิกเชื่อถือแล้วก็ตาม

certifi คือชุดรายการใบรับรอง CA สำหรับโปรแกรม Python ส่วน trust store คือคลังใบรับรองที่โปรแกรมยอมรับ การแก้รายการในระบบจึงไม่เพียงพอสำหรับ pip กรณีนี้ และคำอธิบายในกระทู้ระบุว่าการอัปเดต pip เป็นวิธีแก้ที่เชื่อถือได้ การตั้งค่าเพิ่มใบรับรองเองไม่ได้ทำให้รายการที่ติดมากับ pip หายไป ตาม Python.org

อีกจุดคือ virtual environment หรือสภาพแวดล้อม Python ที่แยกไว้สำหรับแต่ละงาน ประกาศแนะนำให้อัปเดต pip และ uv ซึ่งเป็นเครื่องมือจัดการงานและแพ็กเกจ Python ในสภาพแวดล้อมเดิมทุกแห่ง ส่วนการสร้างสภาพแวดล้อมใหม่ก็มีข้อกังวลในกระทู้ว่าอาจได้รับ pip รุ่นเดิมที่มากับ Python จึงมีคำแนะนำชั่วคราวให้อัปเดต pip หลังสร้างใหม่ด้วย ตาม Python.org งานนี้ปุ่มอัปเดตเดียวอาจยังเก็บงานไม่ครบครับ

เรื่องเงิน / ผลกระทบ

ผลกระทบที่ระบุได้จากข่าวคือความเสี่ยงต่อการสวมรอยเว็บไซต์และดักการสื่อสาร ส่วนจำนวนผู้เสียหาย มูลค่าความเสียหาย หรือบัญชีที่ถูกเข้าถึงยังไม่มีข้อมูลในแหล่งที่ให้มา eMudhra ระบุว่าใบรับรองตัวกลางที่ได้รับผลกระทบส่วนใหญ่ไม่เคยใช้ในระบบใช้งานจริง และไม่พบหลักฐานว่าใช้เพื่อออกใบรับรองให้ผู้ใช้ปลายทาง ตาม BleepingComputer

ในมุมการจัดการงาน ผมแนะนำให้กันเวลาสำหรับตรวจรายการซอฟต์แวร์ อัปเดต และตรวจผลหลังแก้ มากกว่ารอให้มีหลักฐานความเสียหายก่อน เพราะข้อเท็จจริงที่ยืนยันแล้วคือกุญแจอ่อนแอตั้งแต่เดือนเมษายน 2025 และซอฟต์แวร์บางส่วนต้องแก้รายการความเชื่อถือของตัวเอง ตาม BleepingComputer ส่วนต้นทุนเวลาและค่าใช้จ่ายของแต่ละองค์กรยังประเมินเป็นตัวเลขจากข่าวนี้ไม่ได้

สำหรับทีมที่ใช้ Python งานอัปเดตมีทั้งแพ็กเกจ สภาพแวดล้อมที่แยกไว้ และอิมเมจคอนเทนเนอร์ที่ต้องสร้างใหม่ตามประกาศ นั่นทำให้การบอกว่า “เครื่องหลักอัปเดตแล้ว” ยังไม่ใช่หลักฐานว่าทุกงานได้รับการแก้ครบ ขอบเขตงานเหล่านี้ระบุใน Python.org ผมจึงมองว่าควรเก็บรายการว่าแก้ที่ไหนแล้วไว้ตรวจต่อด้วย

ข้อมูลที่ยังไม่ชัด และจุดที่แหล่งข่าวพูดไม่ตรงกัน

คำว่าใบรับรองถูก compromise ในข่าวหมายถึงกุญแจไม่อาจถือเป็นความลับที่ปลอดภัยได้แล้ว แต่ไม่ได้ยืนยันว่ามีผู้โจมตีใช้กุญแจนั้นกับเหยื่อจริง eMudhra บอกว่าไม่พบหลักฐานการออกใบรับรองให้ผู้ใช้ปลายทาง ขณะที่รายงานชี้ว่ามีโอกาสถูกนำไปใช้ตั้งแต่สร้างกุญแจในเดือนเมษายน 2025 สองประโยคนี้พูดถึงคนละเรื่องและอยู่ร่วมกันได้ ตาม BleepingComputer

ตัวเลข 8 ใบที่ถอน กับ 6 ใบที่ Chrome บล็อก ไม่ใช่จำนวนเดียวกันที่รายงานขัดกัน ทั้งหมดมี 8 ใบ แต่ข่าวเจาะจงว่า 6 ใบที่ Chrome บล็อกได้รับอนุญาตให้ออกใบรับรอง TLS ตาม BleepingComputer จึงไม่ควรสรุปต่อเองว่า Chrome ตกหล่นอีกสองใบ

ส่วนรุ่น certifi มีรายละเอียดที่ต้องอ่านเชิงอรรถ ประกาศที่กระทู้ Python อ้างถึงกล่าวถึง 2026.10.18 แต่ผู้ประกาศแนะนำ 2026.10.19 เพื่อให้เข้ากันได้กับใบรับรองราก emSign ที่ไม่ได้รับผลกระทบ ตาม Python.org ขณะที่ Simon Willison และตารางของ BleepingComputer ระบุ 2026.10.19 ตรงกัน

eMudhra อธิบายว่าชุดคำสั่งสร้างกุญแจอ่อนแอขึ้นมาอีกชุด แล้วเลือกผิดเพราะป้ายชื่อคล้ายกับชุดที่สร้างถูกต้อง บางใบถูกส่งให้ Sectigo ลงนามรับรองร่วมด้วย ข้อมูลเรื่องสาเหตุนี้เป็นคำชี้แจงของบริษัทที่ BleepingComputer รายงาน ไม่ควรขยายความว่าเป็นผลตรวจสอบอิสระทุกขั้นตอน

สถานะ Node.js และ Debian ในตารางข่าวยังเป็น Pending หรือรอการอัปเดต จึงยังไม่มีเลขรุ่นแก้ไขให้ยืนยันจากชุดข้อมูลนี้ เช่นเดียวกับวันออกอัปเดตที่แน่นอน และข่าวไม่ได้แจกแจงรุ่นระบบปฏิบัติการ Apple ที่ได้รับการป้องกันครบทุกเครื่อง ตาม BleepingComputer หากกำลังดูแลระบบอยู่ต้องตรวจสถานะล่าสุดกับผู้ผลิตต่อ โดยบทความนี้ยึดข้อมูลที่ให้มาถึงวันที่ 21 ตุลาคม 2026

แล้วเราควรทำอะไร

คนทั่วไป คนทำงาน ผู้ปกครอง และนักเรียน

1. ตรวจอัปเดตเบราว์เซอร์และระบบปฏิบัติการของโทรศัพท์หรือคอมพิวเตอร์ที่ใช้ ผมแนะนำให้เปิดเบราว์เซอร์ใหม่หลังติดตั้งอัปเดตเพื่อเก็บขั้นตอนให้ครบ แต่ต้องแยกให้ออกว่า OneCRL ของ Firefox ป้องกันตั้งแต่วันที่ 17 ตุลาคมโดยไม่ต้องรีสตาร์ตอยู่แล้ว ส่วน Firefox 158.0.1 และอัปเดต ESR วันที่ 20 ตุลาคมช่วยกรณีที่รับรายการเพิกถอนก่อนหน้าไม่ได้ ตาม BleepingComputer
2. ถ้าพบคำเตือนใบรับรอง ผมแนะนำให้หยุดก่อน และให้ผู้ดูแลเว็บหรือฝ่ายไอทีตรวจ ไม่ควรข้ามคำเตือนเพียงเพื่อเข้าใช้งานต่อ เพราะเหตุการณ์นี้เกี่ยวกับความเชื่อถือในการยืนยันตัวเว็บไซต์โดยตรง ความเสี่ยงการปลอมเว็บไซต์ระบุไว้ใน BleepingComputer
3. หากเป็นเครื่องสำนักงาน ให้แจ้งฝ่ายไอทีว่าใช้งานโปรแกรมอะไรบ้างนอกจากเบราว์เซอร์ การเปิดเว็บได้ตามปกติยังตอบไม่ได้ว่าโปรแกรมอื่นแก้แล้ว เพราะซอฟต์แวร์ที่มีคลังใบรับรองของตัวเองอาจต้องอัปเดตแยก ตาม BleepingComputer

ฝ่ายไอทีสำนักงานและผู้ดูแลระบบ

1. ตรวจและอัปเดต ca-certificates ซึ่งเป็นแพ็กเกจรายการใบรับรองที่เชื่อถือบน Linux ตามรุ่นระบบที่ใช้งาน Simon Willison เน้นว่าผู้ใช้ Linux ต้องอัปเดตแพ็กเกจนี้ ส่วนตาราง BleepingComputer ระบุ Debian เป็น Pending จึงต้องติดตามแยกตามผู้ดูแลระบบนั้น
2. สร้างอิมเมจคอนเทนเนอร์ใหม่เพื่อรับใบรับรองระบบชุดล่าสุดตามประกาศ Python.org ผมแนะนำให้ตรวจรายการอิมเมจที่ใช้งานจริงด้วย เพื่อให้การแก้ครอบคลุมงานที่ยังรันอยู่
3. ตรวจแอปที่บรรจุคลังใบรับรองมาด้วย รวมถึงเครื่องมือเรียกเว็บอัตโนมัติ ข่าวเตือนเฉพาะว่า curl ที่ติดมากับ macOS อาจยังเชื่อใบรับรองที่มีปัญหา เพราะชุดใบรับรองของมันไม่ตรวจข้อมูลการเพิกถอน ตาม BleepingComputer จึงควรตรวจพฤติกรรมของเครื่องมือแต่ละตัวให้ชัด

นักพัฒนา Go, Python, Node.js และ Electron

1. ใช้รุ่นแก้ไขที่ระบุในตารางด้านล่างเป็นรายการตรวจ โดยตัวเลขคัดตามตาราง BleepingComputer สถานะ Pending หมายถึงข่าวยังไม่ให้รุ่นแก้ไข ไม่ได้แปลว่าโปรแกรมนั้นปลอดภัยแล้ว

ซอฟต์แวร์	รุ่นแก้ไข / สถานะตามข่าว
Go	1.27.3, 1.26.10
Python certifi	2026.10.19
pip	26.2.2
uv	0.13.4
curl CA bundle	2026-10-20
Electron	44.9.1, 43.8.1, 42.11.16
Node.js	Pending
Debian ca-certificates	Pending

2. ฝั่ง Python ให้อัปเดต pip และ uv ในทุกสภาพแวดล้อมที่มีอยู่ พร้อมตรวจ certifi อย่าหยุดที่อัปเดตใบรับรองระบบ เพราะ pip รุ่นต่ำกว่า 26.2.2 ยังใช้ certifi ที่บรรจุมาด้วย ตาม Python.org
3. หากต้องเริ่มอัปเดตจากเครื่องมือที่ยังใช้ใบรับรองเก่า ให้อ่านวิธีติดตั้งอย่างปลอดภัยในประกาศต้นทาง กระทู้แนะนำใช้เบราว์เซอร์ที่ได้รับการป้องกันตรวจค่าตรวจสอบไฟล์ ซึ่งเป็นค่าที่ใช้เทียบว่าไฟล์ดาวน์โหลดตรงกับไฟล์ที่ตั้งใจแจก ก่อนติดตั้ง ส่วน uv มีทางเลือกใช้รายการใบรับรองของระบบ แต่ตั้งอยู่บนเงื่อนไขว่าระบบอัปเดตแล้ว ตาม Python.org
4. สำหรับ Go ใช้รุ่น 1.27.3 หรือ 1.26.10 ตามสายที่ดูแล ส่วนทีม Node.js ให้ติดตามสถานะที่ยัง Pending ในข่าว และทีม Electron ตรวจรุ่นที่ใช้อยู่กับรายการข้างต้น ตาม BleepingComputer ผมแนะนำให้บันทึกผลตรวจแต่ละแอปเพื่อส่งต่องานได้ครบ

ผมมองว่า…

ผมมองว่า บทเรียนนี้ไม่ใช่การเลิกเชื่อ HTTPS แต่คือการดูแลให้โปรแกรมได้รับข้อมูลความเชื่อถือที่ถูกต้องต่อเนื่อง นี่เป็นความเห็นของผมจากข้อเท็จจริงที่ผู้ทำเบราว์เซอร์บล็อกได้แล้ว ขณะที่เครื่องมือบางตัวต้องอัปเดตคลังใบรับรองของตัวเอง ตามรายงาน BleepingComputer ความปลอดภัยในกรณีนี้จึงต้องตามไปถึงโปรแกรมที่ใช้งานจริง

ผมยังเห็นว่าคำว่า “ไม่พบหลักฐานการใช้โจมตี” ควรช่วยให้เราสื่อสารโดยไม่ทำให้คนตกใจเกินเหตุ พร้อมกับลงมือแก้สิ่งที่ยืนยันแล้ว eMudhra ระบุว่าไม่พบหลักฐานการออกใบรับรองให้ผู้ใช้ปลายทาง แต่กุญแจอ่อนแอมีอยู่จริงและเริ่มมีมาตั้งแต่เดือนเมษายน 2025 ตาม BleepingComputer สองข้อมูลนี้ควรอยู่ในรายงานสถานะฉบับเดียวกัน

ปิดท้าย: สิ่งที่ต้องจับตา

สิ่งที่ต้องติดตามต่อคือรุ่นแก้ไขของซอฟต์แวร์ที่ตารางยังระบุ Pending โดยเฉพาะ Node.js และ Debian รวมถึงการนำอัปเดตไปถึงแอปที่มีคลังใบรับรองของตัวเอง ตามสถานะใน BleepingComputer ส่วนฝั่ง Python กระทู้ระบุว่ามีการรวมการแก้ไขเกี่ยวกับ pip ที่ติดมากับ Python แล้ว และมีแผนออกอัปเดตความปลอดภัยโดยเร็วเท่าที่เหมาะสม แต่ยังไม่มีวันแน่นอนในข้อมูลที่ให้มา ตาม Python.org

สำหรับคนใช้ทั่วไป ผมแนะนำให้จบงานที่การตรวจอัปเดตและส่งต่อให้ฝ่ายไอทีเมื่อเจอคำเตือน สำหรับทีมเทคนิค ให้ถือว่ารายการโปรแกรมที่ยังต้องแก้สำคัญพอ ๆ กับรายการที่แก้แล้ว เพราะข้อเตือนร่วมกันของแหล่งข่าวคือโปรแกรมที่พกรายการใบรับรองของตัวเองต้องได้รับการอัปเดตด้วย ตาม Simon Willison และ Python.org

Recap

• เข้าใจว่า eMudhra ถอนใบรับรองตัวกลาง 8 ใบ เพราะกุญแจลับอ่อนแอ ตาม BleepingComputer
• แยกความเสี่ยงออกจากเหตุโจมตีจริง ซึ่งข่าวยังไม่มีหลักฐานยืนยัน ตาม BleepingComputer
• ตรวจอัปเดตเบราว์เซอร์ โดย Firefox มีรุ่น 158.0.1 และอัปเดต ESR ตาม BleepingComputer
• ให้ฝ่ายไอทีตรวจ ca-certificates บน Linux ตามคำแนะนำของ Simon Willison
• อัปเดต pip เป็นอย่างน้อย 26.2.2 และ certifi เป็น 2026.10.19 ตาม Python.org
• ตรวจทุกสภาพแวดล้อม Python และสร้างอิมเมจคอนเทนเนอร์ใหม่ตาม Python.org
• ตรวจรุ่น Go และ Electron พร้อมติดตาม Node.js และ Debian ที่ยัง Pending ตาม BleepingComputer
• ตรวจแอปที่มีคลังใบรับรองของตัวเองก่อนสรุปว่าแก้ครบแล้ว ตาม Simon Willison