Apple แก้ไขช่องโหว่ Zero-day ที่ถูกใช้ในการโจมตีที่ ‘ซับซ้อนอย่างยิ่งยวด’

Apple ได้ออกอัปเดตความปลอดภัยเพื่อแก้ไขช่องโหว่ Zero-day ที่ถูกใช้ในการโจมตีที่ ‘ซับซ้อนอย่างยิ่งยวด’ โดยพุ่งเป้าไปที่บุคคลเฉพาะเจาะจง ช่องโหว่ CVE-2026-20700 เป็นช่องโหว่การรันโค้ดโดยพลการใน dyld ซึ่งเป็น Dynamic Link Editor ที่ใช้ในระบบปฏิบัติการของ Apple.

Severity: วิกฤต

System Impact:

• iOS (iPhone 11 และใหม่กว่า, แก้ไขใน iOS 18.7.5)
• iPadOS (iPad Pro 12.9 นิ้ว (รุ่นที่ 3 และใหม่กว่า), iPad Pro 11 นิ้ว (รุ่นที่ 1 และใหม่กว่า), iPad Air (รุ่นที่ 3 และใหม่กว่า), iPad (รุ่นที่ 8 และใหม่กว่า), iPad mini (รุ่นที่ 5 และใหม่กว่า), แก้ไขใน iPadOS 18.7.5)
• macOS (อุปกรณ์ Mac ที่ใช้ macOS Tahoe, แก้ไขใน macOS Tahoe 26.3)
• tvOS (แก้ไขใน tvOS 26.3)
• watchOS (แก้ไขใน watchOS 26.3)
• visionOS (แก้ไขใน visionOS 26.3)

Technical Attack Steps:

1. ช่องโหว่ CVE-2026-20700 เป็นช่องโหว่การรันโค้ดโดยพลการใน dyld (Dynamic Link Editor) ของระบบปฏิบัติการ Apple
2. ผู้โจมตีที่มีความสามารถในการเขียนหน่วยความจำ (memory write capability) อาจสามารถรันโค้ดโดยพลการบนอุปกรณ์ที่ได้รับผลกระทบได้
3. ช่องโหว่นี้ถูกใช้ในการโจมตีร่วมกับช่องโหว่ CVE-2025-14174 และ CVE-2025-43529 ที่ Apple ได้แก้ไขไปแล้วเมื่อเดือนธันวาคม

Recommendations:

Short Term:

• ผู้ใช้ควรติดตั้งอัปเดตความปลอดภัยล่าสุดโดยเร็วที่สุด ได้แก่ iOS 18.7.5, iPadOS 18.7.5, macOS Tahoe 26.3, tvOS 26.3, watchOS 26.3 และ visionOS 26.3 เพื่อป้องกันอุปกรณ์ของตน

Long Term:

Source: https://www.bleepingcomputer.com/news/security/apple-fixes-zero-day-flaw-used-in-extremely-sophisticated-attacks/