Chrome 156 แก้ CVE ระดับ Critical อย่างน้อย 6 รายการ: ต้องตรวจเลข Build หลังอัปเดต

Google ประกาศ Chrome 156 Stable สำหรับ Windows, macOS และ Linux เมื่อ 20 ตุลาคม 2026 โดยระบุว่าอัปเดตนี้แก้ปัญหาความปลอดภัย 353 รายการ ในจำนวนนี้มี CVE ระดับ Critical อย่างน้อยหกรายการที่แสดงชื่อชัดเจนในประกาศ ได้แก่ CVE-2026-113341 ใน Skia, CVE-2026-113279 ใน Accessibility, CVE-2026-113072 ใน CSS, CVE-2026-113280 ใน Paint, CVE-2026-113271 ใน Accessibility และ CVE-2026-113303 ใน WebRTC การอัปเดตจะทยอยไปถึงผู้ใช้ในช่วงหลายวันหรือหลายสัปดาห์ จึงควรตรวจเวอร์ชันที่ติดตั้งจริง ไม่ถือว่าเครื่องได้รับแพตช์แล้วเพียงเพราะเปิด auto-update

อ่านประกาศโดยไม่สรุปเกินข้อมูล

Google อธิบายปัญหากลุ่มนี้สั้น ๆ ว่าเป็น memory corruption หรือ use-after-free ในส่วนประกอบต่างกัน แต่ไม่ได้เปิดรายละเอียดทุกกรณีทันที บริษัทระบุว่าอาจจำกัดการเข้าถึง bug tracker จนผู้ใช้ส่วนใหญ่ได้รับแพตช์ และอาจคงข้อจำกัดหากปัญหาอยู่ในไลบรารีที่ผลิตภัณฑ์อื่นยังแก้ไม่ครบ ดังนั้นข้อความว่า “Critical” เป็นระดับความรุนแรงตามผู้ผลิต ไม่ได้ยืนยันว่าทุก CVE มีการใช้โจมตีจริง หรือทุกตัวมีเส้นทาง remote code execution ที่เปิดเผยแล้ว

รุ่นที่ประกาศคือ 156.0.8078.47 สำหรับ Linux และ 156.0.8078.47 หรือ .48 สำหรับ Windows/Mac ผู้ดูแลควรอ่านเลขทั้งชุด ไม่เทียบเพียง major version 156 เพราะเครื่องที่ยังอยู่ build ก่อนหน้าอาจไม่ได้รับการแก้ไขเดียวกัน ในสภาพแวดล้อมที่ใช้ Chromium หรือเบราว์เซอร์ที่สร้างบน Chromium คนละช่องทาง ต้องรอและตรวจประกาศแพตช์จากผู้ผลิตเบราว์เซอร์นั้น ไม่สมมุติว่าเลขเวอร์ชันของ Chrome ตรงกัน

จัดลำดับการอัปเดตในองค์กร

เริ่มจากเครื่องที่ใช้เปิดเว็บภายนอกเป็นประจำ เครื่องของผู้ดูแลระบบ และเครื่องที่เข้าถึงข้อมูลสำคัญ เพราะเบราว์เซอร์ประมวลผลเนื้อหาจากหลายแหล่งที่องค์กรควบคุมไม่ได้ ตรวจ inventory ของ Chrome ผ่านเครื่องมือจัดการ endpoint แล้วแบ่งกลุ่มเครื่องที่ยังต่ำกว่า build ที่ประกาศ แจ้งผู้ใช้ให้ปิดและเปิดเบราว์เซอร์ใหม่หลังดาวน์โหลดอัปเดต เนื่องจากการมีไฟล์อัปเดตบนดิสก์ไม่รับประกันว่าโปรเซสที่กำลังรันใช้โค้ดใหม่

สำหรับ kiosk, VDI และ image กลาง ให้ปรับ golden image พร้อมตรวจ session ที่ยังค้างอยู่ หากระบบอนุญาตให้เลื่อนอัปเดตเพื่อทดสอบส่วนขยายหรือแอปภายใน ควรกำหนดกรอบเวลาและผู้อนุมัติชัดเจน แล้วทดสอบ SSO, certificate, extension และเว็บภายในที่สำคัญอย่างรวดเร็ว การเลื่อนโดยไม่กำหนดวันสิ้นสุดทำให้เครื่องค้างบน build เก่า แม้ทีมรักษาความปลอดภัยจะเห็นว่า policy เปิด auto-update อยู่

ตรวจผลและขอบเขตของข่าว

ตรวจจำนวนเครื่องที่เปลี่ยนเป็น build เป้าหมายเทียบกับจำนวนเครื่องทั้งหมด และแยกเครื่องที่ offline หรืออัปเดตล้มเหลวออกจากเครื่องที่อัปเดตสำเร็จ หากผู้ใช้รายงานปัญหาหลังเปลี่ยนเวอร์ชัน เก็บเลข build, ระบบปฏิบัติการ และรายการ extension ก่อนตัดสินใจ rollback ขณะเดียวกันควรติดตามประกาศเพิ่มเติมของ Google เพราะรายละเอียด CVE บางรายการอาจเปิดเผยภายหลัง

ข่าวนี้ครอบคลุม CVE ระดับ Critical ที่ผู้ผลิตระบุในรอบอัปเดตเดียว ไม่ใช่การอธิบายวิธีใช้ช่องโหว่ทีละรายการ ประเด็นปฏิบัติที่ยืนยันได้คือ Chrome 156 Stable มีแพตช์จำนวนมากและต้องตรวจให้แน่ใจว่าเครื่องปลายทางใช้งาน build ที่อัปเดตแล้วจริง

แหล่งข่าว: Chrome Releases วันที่ 20 ตุลาคม 2026