Apple ออก iOS/iPadOS 26.7.2 และ 27.2 แก้ WebKit 5 CVE ที่อาจรันโค้ด

Apple ออก iOS และ iPadOS 26.7.2/27.2 แก้ WebKit 5 CVE ที่อาจนำไปสู่การรันโค้ด

Apple เผยแพร่รายละเอียดด้านความปลอดภัยของ iOS 26.7.2, iPadOS 26.7.2, iOS 27.2 และ iPadOS 27.2 เมื่อวันที่ 26 ตุลาคม 2026 โดยมีช่องโหว่ WebKit หลายรายการที่อาจทำให้การประมวลผลเนื้อหาเว็บซึ่งผู้โจมตีสร้างขึ้นนำไปสู่การรันโค้ดได้ บทความนี้ติดตาม CVE-2026-112623, CVE-2026-112639, CVE-2026-112655, CVE-2026-112659 และ CVE-2026-112697 ซึ่งระเบียน CVE เผยแพร่ครั้งแรกในวันเดียวกัน การตรวจสอบครั้งนี้ไม่พบคำยืนยันจาก Apple ว่าช่องโหว่ห้ารายการนี้ถูกใช้โจมตีจริง จึงไม่ควรตีความคำว่า “อาจรันโค้ด” ว่าเกิดการยึดเครื่องแล้ว

ช่องโหว่กระทบส่วนใด

WebKit เป็นส่วนประมวลผลเนื้อหาเว็บในระบบนิเวศของ Apple หากผู้ใช้เปิดเว็บหรือเนื้อหาเว็บที่เป็นอันตราย โค้ดที่จัดการข้อมูลนั้นอาจพบข้อผิดพลาดด้านหน่วยความจำ Apple ระบุผลกระทบของ CVE ทั้งห้าว่า การประมวลผลเนื้อหาเว็บที่สร้างขึ้นเป็นพิเศษอาจนำไปสู่การรันโค้ดโดยพลการ อย่างไรก็ตาม ประกาศไม่ได้ระบุขั้นตอนโจมตีครบถ้วน ไม่ได้ระบุว่าเพียงเปิดหน้าเว็บจะข้ามทุกชั้นการป้องกันของระบบได้ และไม่ได้ยืนยันการโจมตีในวงกว้าง

Apple จัด CVE-2026-112623, CVE-2026-112639, CVE-2026-112655 และ CVE-2026-112697 เป็นปัญหา use-after-free ซึ่งเกี่ยวกับการใช้งานออบเจ็กต์หลังหน่วยความจำถูกปล่อย ส่วน CVE-2026-112659 เป็น type confusion หรือการตีความชนิดข้อมูลผิดพลาด บริษัทระบุว่าแก้กลุ่มแรกด้วยการปรับการจัดการหน่วยความจำ และแก้รายการหลังด้วยการปรับการจัดการหน่วยความจำให้ถูกต้องขึ้น ผู้ดูแลระบบไม่ควรนำชื่อเทคนิคเหล่านี้ไปอนุมานว่า CVE ทุกตัวมีเงื่อนไขโจมตีหรือระดับสิทธิ์ที่ได้เหมือนกัน เพราะประกาศของ Apple ให้รายละเอียดผลกระทบในระดับสูง

รุ่นที่ต้องตรวจและรุ่นแก้ไข

สำหรับ iPhone และ iPad Apple ระบุว่า CVE ทั้งห้าได้รับการแก้ใน iOS 26.7.2 และ iPadOS 26.7.2 รวมถึง iOS 27.2 และ iPadOS 27.2 ซึ่งออกวันที่ 26 ตุลาคม 2026 ดังนั้นผู้ที่ยังใช้รุ่นก่อนตัวแก้ไขในสาย 26.7 หรือ 27.2 ควรตรวจความพร้อมของอัปเดตบนอุปกรณ์จริง Apple แจกแจงอุปกรณ์ที่รองรับในประกาศแยกตามสายระบบ เช่น iPhone 11 และใหม่กว่าสำหรับประกาศ iOS 26.7.2; ให้ตรวจรายการอุปกรณ์ในหน้าประกาศก่อนสรุปว่าเครื่องรุ่นใดลงรุ่นไหนได้

ขอบเขตเวอร์ชันที่ต้องระวังคือ รุ่นที่ยังไม่มีการแก้ไขตามประกาศของ Apple ไม่ใช่การยืนยันว่า iOS ทุกเวอร์ชันย้อนหลังได้รับผลกระทบเหมือนกัน Apple ไม่ได้ให้เลขรุ่นเริ่มต้นที่ได้รับผลกระทบสำหรับ CVE ทั้งห้าในประกาศดังกล่าว ผู้ดูแลเครื่องจำนวนมากจึงควรใช้เวอร์ชันที่ติดตั้งจริงและรายการอัปเดตที่ Apple เสนอให้เครื่องนั้นเป็นเกณฑ์ นอกจากนี้ CVE บางตัวในชุดเดียวกันมีการแก้ใน Safari, macOS, tvOS, watchOS หรือ visionOS ด้วย แต่บทความนี้สรุปเฉพาะการตัดสินใจอัปเดต iPhone และ iPad; ผู้ดูแลแพลตฟอร์มอื่นควรอ่านประกาศเฉพาะระบบของตน

ลำดับเวลาและวิธีรับมือ

• 26 ตุลาคม 2026: Apple เผยแพร่ประกาศด้านความปลอดภัยของ iOS/iPadOS 26.7.2 และ 27.2 ซึ่งเป็นหลักฐานการเปิดเผยช่องโหว่ต่อสาธารณะครั้งแรกที่ตรวจยืนยันได้สำหรับห้ารายการนี้
• 26 ตุลาคม 2026: ระเบียน CVE-2026-112623, CVE-2026-112639, CVE-2026-112655, CVE-2026-112659 และ CVE-2026-112697 เผยแพร่ครั้งแรกในระบบ CVE Project ช่วงประมาณ 20:33–20:35 น. UTC
• 26 ตุลาคม 2026: Apple ระบุวันออกอัปเดตแก้ไข iOS/iPadOS 26.7.2 และ 27.2 เป็นวันเดียวกัน

ขั้นแรก ให้เปิดการตั้งค่าของ iPhone หรือ iPad เพื่อตรวจเลขเวอร์ชันระบบที่ติดตั้ง และดูว่ามี iOS/iPadOS 26.7.2 หรือ 27.2 สำหรับรุ่นนั้นหรือไม่ จากนั้นติดตั้งอัปเดตผ่านช่องทางของ Apple และยืนยันเลขเวอร์ชันหลังรีสตาร์ต องค์กรที่ดูแลเครื่องด้วยระบบ MDM ควรตรวจรายชื่อเครื่องที่ยังไม่ได้รับอัปเดต แยกตามรุ่นอุปกรณ์และสายระบบปฏิบัติการ แล้วเร่งให้เครื่องที่ใช้งานเปิดเว็บภายนอกได้รับอัปเดตตามนโยบายการเปลี่ยนแปลงขององค์กร

ระหว่างรออัปเดต ควรลดการเปิดลิงก์หรือเนื้อหาเว็บที่ไม่น่าเชื่อถือ และให้ผู้ใช้รายงานพฤติกรรมผิดปกติของเบราว์เซอร์ ข้อปฏิบัตินี้เป็นเพียงการลดโอกาสสัมผัสเนื้อหาอันตราย ไม่ได้ทดแทนการติดตั้งรุ่นที่ Apple ระบุว่าแก้ไขแล้ว หากยังไม่เห็นอัปเดต ให้ตรวจความเข้ากันได้ของรุ่นอุปกรณ์ พื้นที่ว่าง และนโยบาย MDM ก่อนตัดสินใจว่าเครื่องปลอดภัยแล้ว

แหล่งต้นทาง: ประกาศ Apple สำหรับ iOS/iPadOS 26.7.2, ประกาศ Apple สำหรับ iOS/iPadOS 27.2 และระเบียนของ CVE-2026-112623, CVE-2026-112639, CVE-2026-112655, CVE-2026-112659, CVE-2026-112697