คำตอบการวิจัย
ประเด็นสำคัญ Google ออกอัปเดตความปลอดภัย Chrome 151 สองระลอก แก้ช่องโหว่รวม 411 จุด โดยมี 13 จุดอยู่ในระดับวิกฤต และหนึ่งในนั้นคือ zero day ของ V8 ที่มีรายงานว่าถูกนำไปโจมตีแล้ว [1][6][9][12] เครื่องมือ fuzzing, sanitizer และระบบอัตโนมัติภายใน Google พบช่องโหว่ส่วนใหญ่ ขณะที่นักวิจัยภายนอกค้นพบ 12 จาก 41 ช่องโหว่ในอัปเดตวันที่ 7 สิงหาคม [1][23][24] กรณี Chrome 151 ชี้ว่า AI เหมาะกับการค้นหาบั๊กตามรูปแบบในวงกว้าง แต่นักวิจัยมนุษย์ยังมีบทบาทสำคัญในการมองหาช่องโหว่เชิงตรรกะ การโจมตีแบบเชื่อมโยงหลายส่วน และกรณีสุดขอบที่ระบบอัตโนมัติคาดไม่ถึง What critical security vulnerabilities did Google address in the Chrome 151 update, how many flaws were patched across desktop and Android p Chrome 151's two security updates patched 411 vulnerabilities, including 13 critical bugs and one actively exploited zero-day. AI พรอมต์ Create a landscape editorial hero image for this Studio Global article: What critical security vulnerabilities did Google address in the Chrome 151 update, how many flaws were patched across desktop and Android p. Article summary: Here is the full picture of the Chrome 151 security update.. Topic tags: general, general web, documentation. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com ภายในเวลาประมาณสองสัปดาห์ Google ออกอัปเดตความปลอดภัยสำหรับ Chrome 151 สองระลอก แก้ช่องโหว่ที่มีการบันทึกไว้รวม 411 จุด โดยเป็นช่องโหว่ระดับวิกฤต 13 จุด
การอัปเดตวันที่ 29 กรกฎาคม แก้ไขช่องโหว่ 370 จุด รวมระดับวิกฤต 7 จุด ส่วนการอัปเดตวันที่ 7 สิงหาคมแก้เพิ่มอีก 41 จุด ซึ่งมีช่องโหว่ระดับวิกฤต 6 จุด
คนยังถาม คำตอบสั้น ๆ สำหรับ "Chrome 151 อุดช่องโหว่กว่า 400 จุด: ทำไมแฮ็กเกอร์มนุษย์ยังหา “บั๊กสำคัญ” ที่ AI มองไม่เห็น" คืออะไร Google ออกอัปเดตความปลอดภัย Chrome 151 สองระลอก แก้ช่องโหว่รวม 411 จุด โดยมี 13 จุดอยู่ในระดับวิกฤต และหนึ่งในนั้นคือ zero day ของ V8 ที่มีรายงานว่าถูกนำไปโจมตีแล้ว [1][6][9][12]
ประเด็นสำคัญที่ต้องตรวจสอบก่อนคืออะไร? Google ออกอัปเดตความปลอดภัย Chrome 151 สองระลอก แก้ช่องโหว่รวม 411 จุด โดยมี 13 จุดอยู่ในระดับวิกฤต และหนึ่งในนั้นคือ zero day ของ V8 ที่มีรายงานว่าถูกนำไปโจมตีแล้ว [1][6][9][12] เครื่องมือ fuzzing, sanitizer และระบบอัตโนมัติภายใน Google พบช่องโหว่ส่วนใหญ่ ขณะที่นักวิจัยภายนอกค้นพบ 12 จาก 41 ช่องโหว่ในอัปเดตวันที่ 7 สิงหาคม [1][23][24]
ฉันควรทำอย่างไรต่อไปในทางปฏิบัติ? กรณี Chrome 151 ชี้ว่า AI เหมาะกับการค้นหาบั๊กตามรูปแบบในวงกว้าง แต่นักวิจัยมนุษย์ยังมีบทบาทสำคัญในการมองหาช่องโหว่เชิงตรรกะ การโจมตีแบบเชื่อมโยงหลายส่วน และกรณีสุดขอบที่ระบบอัตโนมัติคาดไม่ถึง
Chrome 151 แก้ช่องโหว่อะไรบ้าง
อัปเดตวันที่ 29 กรกฎาคม: แก้ 370 จุด ระดับวิกฤต 7 จุด อัปเดตระลอกแรกเปิดตัวสำหรับ Windows, macOS และ Linux ในเวอร์ชัน Chrome 151.0.7922.71/.72 และมีการเผยแพร่รุ่นที่เกี่ยวข้องสำหรับ Android ด้วย
ช่องโหว่ระดับวิกฤตในชุด CVE-2026-17650 ถึง CVE-2026-17656 ครอบคลุมปัญหาหลักดังนี้
ช่องโหว่แบบ use-after-free ใน Compositing, Views, Skia และ Ozone
ช่องโหว่จากการตรวจสอบข้อมูลที่ไม่น่าเชื่อถือไม่เพียงพอใน Dawn และ ANGLE ซึ่งเป็นชั้นแปลคำสั่งกราฟิกของ Chrome
ช่องโหว่ประเภท race condition ในส่วนประกอบ Updater
หนึ่งในช่องโหว่ที่ได้รับการแก้ไขคือ CVE-2026-11645 ซึ่งเป็นปัญหาอ่านและเขียนข้อมูลนอกขอบเขตใน V8 เอนจิน JavaScript ของ Chrome มีคะแนน CVSS 8.8 และถูกเพิ่มไว้ในบัญชี Known Exploited Vulnerabilities หรือ KEV ของหน่วยงาน CISA ก่อนการปล่อยแพตช์ ซึ่งหมายความว่ามีรายงานว่าช่องโหว่นี้ถูกนำไปใช้โจมตีจริงแล้ว
อัปเดตวันที่ 7 สิงหาคม: แก้เพิ่ม 41 จุด ระดับวิกฤต 6 จุด ช่องโหว่ระดับวิกฤต 6 จุดประกอบด้วย
ช่องโหว่แบบ use-after-free 5 จุดใน WebGL, Aura, Skia และ Views
ช่องโหว่เขียนข้อมูลนอกขอบเขต หรือ out-of-bounds write ใน ANGLE
ในบรรดาช่องโหว่ระดับสูงอีก 35 จุด มี 24 จุดเป็นช่องโหว่ด้านความปลอดภัยของหน่วยความจำ ซึ่งอาจนำไปสู่ข้อมูลเสียหาย โปรแกรมล่ม หรือการรันโค้ดที่ผู้โจมตีกำหนดได้
หมายเหตุเรื่องตัวเลข 411 จุด รายงานบางฉบับในช่วงปลายเดือนมิถุนายนระบุว่า Chrome 151 เคยแก้ช่องโหว่ 382 จุด รวมระดับวิกฤต 15 จุด แต่รายละเอียดไม่สอดคล้องกันทั้งหมด และยังไม่ชัดเจนว่าตัวเลขดังกล่าวเกี่ยวข้องกับแพตช์ก่อนเข้าสู่ stable channel หรือมีการนับรายการที่ทับซ้อนกันหรือไม่
บทความนี้จึงใช้ตัวเลขจากการอัปเดต stable channel สองระลอกที่มีการรายงานตรงกันมากกว่า คือ 370 จุดและ 41 จุด รวม 411 จุด
ใครเป็นผู้ค้นพบช่องโหว่ ข้อมูลจากการเปิดเผยแพตช์แสดงให้เห็นภาพการทำงานร่วมกันระหว่างทีมความปลอดภัยของ Google กับนักวิจัยภายนอกอย่างชัดเจน
วิธีค้นพบ อัปเดต 29 กรกฎาคม (370 จุด) อัปเดต 7 สิงหาคม (41 จุด) ทีมภายใน Google ผ่าน fuzzing และเครื่องมืออัตโนมัติ ประมาณ 349 จุด ประมาณ 29 จุด นักวิจัยภายนอกผ่านโครงการ bug bounty ประมาณ 21–24 จุด 12 จุด เงินรางวัล bug bounty ที่มีการรายงาน รวม 58,500 ดอลลาร์ 5,000 ดอลลาร์ และรางวัล 500 ดอลลาร์อีก 2 รายการ
AI และระบบอัตโนมัติถนัดอะไร ทีมความปลอดภัยของ Google ใช้เครื่องมือหลายประเภท เช่น AddressSanitizer, MemorySanitizer และ Control Flow Integrity เพื่อตรวจจับรูปแบบความเสียหายของหน่วยความจำและพฤติกรรมผิดปกติในเส้นทางการทำงานของโค้ด
ระบบ fuzzing สมัยใหม่ยังใช้เทคนิคจากแมชชีนเลิร์นนิงเพื่อชี้นำการทดสอบไปยังส่วนของโค้ดที่ซับซ้อนหรือมีความเสี่ยงสูง เครื่องมือเหล่านี้เหมาะอย่างยิ่งกับการค้นหาช่องโหว่ที่มีรูปแบบซ้ำ ๆ เช่น
use-after-free
buffer overflow
การเข้าถึงข้อมูลนอกขอบเขต
การใช้หน่วยความจำที่ยังไม่ได้กำหนดค่า
จุดแข็งของระบบอัตโนมัติคือ “ปริมาณและความครอบคลุม” มันสามารถทดลองอินพุตจำนวนมหาศาลและตรวจสอบเส้นทางการทำงานของโปรแกรมได้ต่อเนื่อง จึงค้นพบช่องโหว่จำนวนมากที่มนุษย์อาจไม่มีทางตรวจสอบได้ครบในเวลาเดียวกัน
แล้วมนุษย์ค้นพบสิ่งที่ AI พลาดอย่างไร นักวิจัยด้านความปลอดภัยไม่ได้เพียงสุ่มป้อนข้อมูลให้โปรแกรม แต่ยังพยายามคิดในมุมของผู้โจมตี เช่น จะเชื่อมโยงส่วนประกอบหลายตัวเข้าด้วยกันได้หรือไม่ จะทำให้เหตุการณ์สองอย่างเกิดขึ้นพร้อมกันได้อย่างไร หรือมีลำดับการทำงานเฉพาะที่ทำให้ระบบเข้าสู่สถานะผิดปกติหรือไม่
ช่องโหว่ที่ค้นพบโดยนักวิจัยภายนอกใน Chrome 151 สะท้อนความจำเป็นของการใช้เหตุผลลักษณะนี้ ทั้งการวิเคราะห์ปฏิสัมพันธ์ระหว่างหลายส่วนประกอบ การหาจังหวะของ race condition และการไล่เส้นทางการทำงานในกรณีสุดขอบที่ fuzzing อาจไม่สามารถกระตุ้นได้
ผลลัพธ์ที่เห็นชัดที่สุดอยู่ในอัปเดตวันที่ 7 สิงหาคม ซึ่งนักวิจัยภายนอกเป็นผู้ค้นพบ 12 จาก 41 ช่องโหว่ หรือเกือบหนึ่งในสามของชุดแพตช์ แม้จำนวนจะน้อยกว่าช่องโหว่ที่ทีม Google ค้นพบ แต่หลายรายการมีความรุนแรงสูงและมีความสำคัญเชิงกลยุทธ์
Chrome หันมาใช้ Rust เพื่อป้องกันช่องโหว่ตั้งแต่ต้นทาง นอกจากการอุดช่องโหว่ที่พบแล้ว Chrome 151 ยังมีการเปลี่ยนแปลงเชิงป้องกัน โดย Google ปรับเอนจินแยกวิเคราะห์ XML ให้ใช้การเขียนโปรแกรมด้วย Rust ซึ่งเป็นภาษาที่ออกแบบมาให้มีความปลอดภัยด้านหน่วยความจำ สำหรับกรณีใช้งานทั่วไปที่ไม่จำเป็นต้องใช้ XSLT
แนวทางนี้สอดคล้องกับทิศทางของอุตสาหกรรมซอฟต์แวร์ที่พยายามย้ายส่วนประกอบสำคัญจากโค้ดที่เสี่ยงต่อปัญหาหน่วยความจำไปสู่ภาษา memory-safe มากขึ้น
อย่างไรก็ตาม Rust ไม่ได้แก้ปัญหาได้ทุกชนิด เพราะช่องโหว่ด้านตรรกะ การออกแบบ และสิทธิ์การเข้าถึงยังเกิดขึ้นได้ แม้โค้ดจะปลอดภัยจาก memory corruption ก็ตาม เพียงแต่การใช้ Rust ช่วยลดช่องโหว่บางกลุ่ม เช่น use-after-free และ buffer overflow ได้ตั้งแต่ต้นทาง
บทเรียนจาก Chrome 151: AI ไม่ได้แทนที่มนุษย์ แต่ช่วยขยายพลังการค้นหา Chrome 151 เป็นกรณีศึกษาที่ชัดเจนของแนวคิด “ทำงานเสริมกัน ไม่ใช่แทนที่กัน”
AI และระบบอัตโนมัติเก่งเรื่องปริมาณ สามารถตรวจสอบโค้ดและทดลองกรณีต่าง ๆ ในระดับที่มนุษย์ทำได้ยาก โดยเฉพาะช่องโหว่ด้านหน่วยความจำที่มีรูปแบบให้ตรวจจับ มนุษย์เก่งเรื่องความคิดสร้างสรรค์และมุมมองฝ่ายตรงข้าม นักวิจัยสามารถตั้งคำถามกับการออกแบบ เชื่อมโยงหลายส่วนประกอบ และมองหาลำดับเหตุการณ์ที่ไม่ได้เกิดขึ้นในการทดสอบปกติ รูปแบบที่มีประสิทธิภาพที่สุดคือมนุษย์กำกับระบบอัตโนมัติ ให้ AI ช่วยกวาดหาช่องโหว่ที่รู้จักในวงกว้าง ขณะที่นักวิจัยใช้เวลาไปกับช่องโหว่เชิงตรรกะ ช่องโหว่ที่นำไปโจมตีต่อเนื่องได้ และกรณี “ไม่คาดคิด” ซึ่งไม่สามารถกำหนดเป็นรูปแบบตรวจจับล่วงหน้าได้ ดังนั้น ตัวเลข 411 แพตช์ไม่ได้เป็นหลักฐานว่า AI กำลังทำให้นักวิจัยมนุษย์หมดความจำเป็น ตรงกันข้าม มันแสดงให้เห็นว่าระบบอัตโนมัติช่วยเพิ่มขนาดของตาข่ายค้นหา ส่วนมนุษย์ยังจำเป็นสำหรับการคิดแบบสร้างสรรค์และเป็นปฏิปักษ์ต่อระบบอย่างแท้จริง
ผู้ใช้ควรทำอะไร Chrome บนคอมพิวเตอร์มักอัปเดตโดยอัตโนมัติ แต่ผู้ใช้สามารถตรวจสอบได้ที่ การตั้งค่า > เกี่ยวกับ Chrome และควรใช้เวอร์ชัน 151.0.7922.108/.109 หรือใหม่กว่า สำหรับเดสก์ท็อป
ผู้ใช้ Android ควรตรวจสอบการอัปเดต Chrome ผ่านการตั้งค่าหรือ Google Play โดยรุ่นที่เกี่ยวข้องกับการอัปเดตระลอกแรกคือ 151.0.7922.71/.72
เนื่องจาก CVE-2026-11645 มีรายงานว่าอยู่ในบัญชีช่องโหว่ที่ถูกโจมตีจริงของ CISA แล้ว การเลื่อนการอัปเดตออกไปจึงไม่ใช่เรื่องที่ควรทำ โดยเฉพาะผู้ที่ใช้ Chrome ทำธุรกรรม เข้าสู่ระบบบริการสำคัญ หรือเปิดไฟล์และเว็บไซต์จากแหล่งที่ไม่คุ้นเคย
thehackernews.com
Three Recent Chrome Releases Fix 1442 Flaws, More ...
