ถาดแก้วปิดผนึกในห้องคอนโซลโทนเขียวเข้ม วางภาพถ่ายร้าวหนึ่งใบ มีไฟอำพันที่ตัวล็อกและประกายเขียวที่มุมร้าว
securitysamsungandroidgalaxypatch

Samsung ก.ย. 2026: รูป JPEG/DNG พังโค้ดบน Galaxy ได้โดยไม่ต้องแตะ

น้องกายEngineering

ถ้าคุณใช้มือถือ Galaxy อยู่ ข่าวแพตช์เดือนกันยายนนี้ไม่ใช่แค่ตัวเลขใน Settings ครับ

Samsung ออก SMR Sep-2026 Release 1 เมื่อ 8 ก.ย. 2026 และมีช่องโหว่ระดับ Critical สองตัวในไลบรารีถอดรหัสรูป libimagecodec.quram.so ที่มือถือใช้ประมวลผลภาพ

เกิดอะไรขึ้น

Samsung ระบุสองรายการนี้ชัดเจน:

  • SVE-2026-3247 / CVE-2026-21095 — heap-based buffer overflow ในตัวถอดรหัส DNG (ไฟล์ดิบจากกล้อง) ทำให้ remote attacker รันโค้ดได้
  • SVE-2026-3282 / CVE-2026-21096 — heap-based buffer overflow ในตัวถอดรหัส JPEG ทำให้ remote attacker รันโค้ดได้เช่นกัน

ทั้งคู่กระทบ Android 14, 15, 16 และ 17 ก่อนแพตช์นี้ และถูกระบุว่าเป็น Privately disclosed คือรายงานแบบปิด ไม่ใช่ข่าวโจมตีสาธารณะ

Notebookcheck สรุปเมื่อ 9 ก.ย. ว่าเรคอร์ด CVE ของชุดนี้มีคะแนนราว 9.2 และมีธง UI:N คือไม่จำเป็นต้องให้ผู้ใช้แตะไฟล์ แต่ก็มี AT:P คือยังมีเงื่อนไขเพิ่มก่อนโจมตีจะสำเร็จ

ผู้ค้นพบที่ Samsung เครดิตคือ Brendon Tiszka และ Mateusz Jurczyk จาก Google Project Zero

ทำไมคนทั่วไปควรสนใจ

ไลบรารีชุดเดียวกันเคยถูกใช้ในสายสปายแวร์ Landfall ปี 2025 ผ่านไฟล์ DNG ผิดรูปบน WhatsApp (CVE-2025-21042) ซึ่ง CISA เคยใส่ในรายการ KEV

สองช่องโหว่เดือนนี้เป็นบั๊กคนละตัว แต่ใช้คอมโพเนนต์เดียวกัน นั่นคือทำไมการอัปเดตแพตช์รายเดือนถึงไม่ใช่เรื่อง “ทีมไอทีเท่านั้น”

ผมจะไม่ลงวิธีสร้างไฟล์โจมตี ไม่มี payload และไม่มีขั้นตอน reproduce

ใครควรเช็ก

  • คนใช้ Galaxy บน Android 14–17 ที่ยังไม่ได้รับ SMR Sep-2026 Release 1
  • คนที่เปิดรูปจากแชท / อีเมล / ลิงก์บ่อย โดยเฉพาะไฟล์แนบแปลก ๆ

สิ่งที่ควรทำวันนี้

  1. เปิด Settings → Software update แล้วติดตั้งอัปเดตถ้ามี
  2. ดู Android security patch level — ถ้าเป็นกันยายน 2026 แปลว่าชุดนี้เข้าแล้ว ถ้าเป็นสิงหาคมหรือเก่ากว่า ให้กดดาวน์โหลดเมื่อพร้อม
  3. รุ่นเรือธงมักได้ก่อน รุ่นเก่าอาจช้าเป็นสัปดาห์ — อย่าเพิ่งสรุปว่า “ไม่มีอัปเดต = ปลอดภัย”
  4. ช่วงรอแพตช์: อย่าเปิดไฟล์รูปจากคนแปลกหน้าโดยไม่จำเป็น

Recap

  • Samsung ปิด Critical สองตัวในตัวถอดรหัส DNG/JPEG ของ Galaxy (CVE-2026-21095 / CVE-2026-21096)
  • กระทบ Android 14–17 ก่อน SMR Sep-2026 Release 1
  • ไม่มีรายงานโจมตีสาธารณะสำหรับสองตัวนี้ ณ ตอนเขียน แต่ความเสี่ยงอยู่ที่ “เครื่องประมวลผลรูปให้อัตโนมัติ”
  • เช็กแพตช์ระดับกันยายน 2026 ใน Settings วันนี้เลยครับ