CISA เตือนภัยช่องโหว่ Google Chromium 0-Day ที่ถูกใช้ในการโจมตีแล้ว

CISA ได้ออกคำเตือนเร่งด่วนเกี่ยวกับช่องโหว่ Zero-day ที่เพิ่งถูกค้นพบใน Google Chromium (CVE-2026-2441) ซึ่งถูกโจมตีอยู่ในปัจจุบัน ช่องโหว่นี้ส่งผลกระทบต่อเอ็นจิ้น CSS ของ Chromium และอาจอนุญาตให้ผู้โจมตีจากระยะไกลรันโค้ดอันตรายบนระบบของเหยื่อ การโจมตีเกิดจากสภาวะ Use-after-free ในการจัดการ CSS ของ Chromium ซึ่งอาจนำไปสู่การทุจริตของหน่วยความจำ (heap corruption) ผู้โจมตีสามารถใช้ช่องโหว่นี้ผ่านหน้าเว็บ HTML ที่สร้างขึ้นเป็นพิเศษ ซึ่งอาจทำให้ระบบถูกบุกรุกเมื่อผู้ใช้งานเข้าชมเว็บไซต์ที่เป็นอันตรายหรือถูกบุกรุก CISA ได้เพิ่ม CVE-2026-2441 ลงในรายการช่องโหว่ที่ถูกโจมตีแล้ว (Known Exploited Vulnerabilities – KEV) เน้นย้ำถึงความเร่งด่วนในการบรรเทาผลกระทบโดยทันที ช่องโหว่นี้อาจส่งผลกระทบต่อเว็บเบราว์เซอร์หลายตัวที่ใช้เอ็นจิ้น Chromium รวมถึง Google Chrome, Microsoft Edge, Brave และ Opera

Severity: วิกฤต

System Impact:

• Google Chromium CSS Engine
• Google Chrome
• Microsoft Edge
• Brave
• Opera

Technical Attack Steps:

1. ช่องโหว่ Use-after-free (CWE-416) ในเอ็นจิ้น CSS ของ Google Chromium
2. สภาวะดังกล่าวอาจนำไปสู่การทุจริตของหน่วยความจำ (Heap Corruption)
3. การโจมตีทำได้โดยผ่านหน้าเว็บ HTML ที่สร้างขึ้นเป็นพิเศษ (specially crafted HTML web pages)
4. ส่งผลให้ผู้โจมตีสามารถรันโค้ดจากระยะไกล (Remote Code Execution) บนระบบของเหยื่อ

Recommendations:

Short Term:

• ติดตั้งแพตช์ที่ Google ได้ปล่อยออกมาสำหรับเบราว์เซอร์ที่ใช้ Chromium ทันที
• หากไม่สามารถติดตั้งแพตช์ได้ทันที ให้พิจารณาปิดส่วนประกอบที่ได้รับผลกระทบชั่วคราว

Long Term:

• ตรวจสอบการตั้งค่า (configurations) ของ Chromium
• เพิ่มการตรวจสอบปลายทาง (endpoint monitoring) เพื่อหาสัญญาณของพฤติกรรมเบราว์เซอร์ที่น่าสงสัย (เช่น การเกิดขึ้นของกระบวนการที่ไม่รู้จักจากเซสชันเบราว์เซอร์)
• อัปเดตแอปพลิเคชันที่ใช้ Chromium ให้เป็นเวอร์ชันล่าสุดอยู่เสมอ

Source: https://cybersecuritynews.com/google-chromium-0-day-vulnerability/