อัปเดตความปลอดภัยเดือนกรกฎาคม: สรุปแพตช์สำคัญจาก Apple, Google, Microsoft และยักษ์ใหญ่ซอฟต์แวร์
ในช่วงฤดูร้อนที่ผ่านมา ยักษ์ใหญ่ด้านเทคโนโลยีอย่าง Apple, Google และ Microsoft รวมถึงบริษัทซอฟต์แวร์ระดับองค์กรต่างเร่งปล่อยอัปเดตความปลอดภัยอย่างต่อเนื่อง เพื่อปิดช่องโหว่ร้ายแรงที่ถูกนำไปใช้ในการโจมตีจริง โดยเฉพาะช่องโหว่ประเภท Zero-day (ช่องโหว่ที่ผู้พัฒนาทราบหลังจากถูกโจมตีแล้วและยังไม่มีแพตช์แก้ไขในตอนแรก) ซึ่งสร้างความเสี่ยงอย่างมากต่อผู้ใช้งานทั่วโลก
สรุปการอัปเดตจากผู้ผลิตอุปกรณ์และระบบปฏิบัติการหลัก
Apple: การแก้ไขที่ซับซ้อนใน iOS และ macOS
Apple มีการเคลื่อนไหวที่น่าสนใจในเดือนกรกฎาคม โดยเริ่มจากการปล่อย Rapid Security Response (การตอบสนองด้านความปลอดภัยแบบเร่งด่วน) ซึ่งเป็นการอัปเดตเฉพาะจุดเพื่อแก้ปัญหา WebKit ที่ถูกโจมตี แม้ในช่วงแรกเวอร์ชัน iOS 16.5.1 (a) จะสร้างปัญหาให้บางเว็บไซต์ใช้งานไม่ได้ แต่ Apple ได้แก้ไขอย่างรวดเร็วในเวอร์ชัน (c)
ต่อมา Apple ได้ปล่อย iOS 16.6 ซึ่งรวมการแก้ไขความปลอดภัยถึง 25 รายการ รวมถึงช่องโหว่ CVE-2023-37450 ใน WebKit และช่องโหว่ใน Kernel (แกนกลางของระบบปฏิบัติการที่ควบคุมการทำงานของฮาร์ดแวร์) อีก 11 จุด ซึ่งหนึ่งในนั้นเกี่ยวข้องกับสปายแวร์ "Triangulation" ที่สามารถโจมตีแบบ Zero-click หรือการโจมตีโดยที่ผู้ใช้ไม่ต้องกดลิงก์ใดๆ
นอกจากนี้ยังมีการอัปเดตสำหรับอุปกรณ์รุ่นเก่าและระบบอื่นๆ เช่น iOS 15.7.8, iPadOS 16.6, Safari 16.6 และ macOS เวอร์ชันต่างๆ (Ventura, Monterey, Big Sur) รวมถึง tvOS และ watchOS
Microsoft: การรับมือกับช่องโหว่จำนวนมหาศาล
ในรอบ Patch Tuesday ของ Microsoft มีการแก้ไขช่องโหว่สูงถึง 132 รายการ อย่างไรก็ตาม มีจุดที่ต้องระวังคือ CVE-2023-36884 ซึ่งยังไม่มีแพตช์แก้ไขเบ็ดเสร็จในขณะนั้น โดย Microsoft แนะนำให้ใช้วิธีบรรเทาผลกระทบ (Mitigation) แทน เนื่องจากพบว่ากลุ่มอาชญากรไซเบอร์ชาวรัสเซียได้นำช่องโหว่นี้ไปใช้โจมตีแล้ว
ช่องโหว่ Zero-day อื่นๆ ที่ถูกแก้ไข ได้แก่ CVE-2023-32046 ในส่วนประกอบ MSHTML ที่ช่วยให้ผู้โจมตียกระดับสิทธิ์ได้, CVE-2023-36874 ในบริการรายงานข้อผิดพลาดของ Windows ที่อาจทำให้ผู้โจมตีได้สิทธิ์ผู้ดูแลระบบ (Admin) และ CVE-2023-32049 ในฟีเจอร์ Windows SmartScreen
Google: การป้องกัน Android และ Chrome
สำหรับ Android มีการแก้ไขช่องโหว่หลายสิบจุด โดยมี 3 รายการที่ถูกโจมตีแบบจำกัดกลุ่มเป้าหมาย ที่ร้ายแรงที่สุดคือ CVE-2023-2136 ซึ่งเป็นช่องโหว่ Remote Code Execution (RCE) หรือการรันโค้ดจากระยะไกล โดยมีคะแนนความรุนแรง (CVSS) สูงถึง 9.6 และไม่ต้องอาศัยการโต้ตอบจากผู้ใช้
นอกจากนี้ยังมีปัญหาในไดรเวอร์ GPU Arm Mali (CVE-2023-26083 และ CVE-2021-29256) ซึ่งเคยถูกใช้ส่งสปายแวร์ไปยังอุปกรณ์ Samsung ในช่วงปลายปี 2022 โดยอัปเดตนี้ครอบคลุมทั้ง Google Pixel และ Samsung Galaxy บางรุ่น
ในส่วนของเบราว์เซอร์ Chrome 115 ได้แก้ไขช่องโหว่ 20 รายการ โดยมี 4 รายการที่มีผลกระทบสูง เช่น ปัญหา Use-after-free (การเข้าถึงหน่วยความจำที่ถูกคืนค่าไปแล้ว) ใน WebRTC และ Tab Groups รวมถึงปัญหาการเข้าถึงหน่วยความจำเกินขอบเขตใน Mojo
การอัปเดตเบราว์เซอร์และซอฟต์แวร์ระดับองค์กร
Mozilla Firefox
Firefox 115 ได้ปล่อยแพตช์แก้ไขช่องโหว่ความรุนแรงสูงหลายจุด รวมถึงปัญหา Use-after-free (CVE-2023-37201, CVE-2023-37202) และปัญหาความปลอดภัยของหน่วยความจำใน Firefox 114 และ Thunderbird ซึ่งหากผู้โจมตีมีความพยายามมากพอ อาจสามารถรันโค้ดอันตรายในเครื่องเหยื่อได้
Citrix, SAP และ Oracle
ซอฟต์แวร์ระดับองค์กรเผชิญกับความเสี่ยงสูงเช่นกัน โดย Citrix พบช่องโหว่ CVE-2023-3519 ใน NetScaler ADC และ Gateway ซึ่งเป็น RCE ที่ไม่ต้องยืนยันตัวตน มีคะแนน CVSS สูงถึง 9.8 และถูกใช้โจมตีโครงสร้างพื้นฐานสำคัญในสหรัฐฯ
SAP ปล่อยแพตช์ 16 รายการ โดยจุดที่อันตรายที่สุดคือ CVE-2023-36922 (CVSS 9.1) ซึ่งเป็นช่องโหว่ OS command injection ที่ยอมให้ผู้โจมตีที่ยืนยันตัวตนแล้วส่งคำสั่งควบคุมระบบปฏิบัติการได้
สุดท้าย Oracle แก้ไขช่องโหว่มากถึง 508 รายการ โดยมี 57 รายการที่สามารถโจมตีผ่านเครือข่ายได้โดยไม่ต้องใช้รหัสผ่าน ซึ่งช่องโหว่ CVE-2023-20862 มีความรุนแรงระดับ 9.8 Oracle ย้ำว่าลูกค้าจำนวนมากถูกโจมตีเพราะละเลยการติดตั้งแพตช์ที่ปล่อยออกมาแล้ว
| ผู้ผลิต/ซอฟต์แวร์ | รหัส CVE | ประเภท/ผลกระทบ | ระดับความรุนแรง (CVSS) |
|---|---|---|---|
| Citrix NetScaler | CVE-2023-3519 | Unauthenticated RCE | 9.8 |
| Oracle | CVE-2023-20862 | Remote Exploitation | 9.8 |
| Google Android | CVE-2023-2136 | Remote Code Execution | 9.6 |
| SAP | CVE-2023-36922 | OS Command Injection | 9.1 |
ข้อเท็จจริงสำคัญ
- Zero-day คือช่องโหว่ที่ถูกค้นพบและโจมตีจริงก่อนที่ผู้พัฒนาจะออกแพตช์แก้ไข
- RCE (Remote Code Execution) เป็นหนึ่งในช่องโหว่ที่อันตรายที่สุด เพราะยอมให้ผู้โจมตีรันคำสั่งจากระยะไกลได้
- Apple ใช้ระบบ Rapid Security Response เพื่อแก้ไขช่องโหว่เร่งด่วนโดยไม่ต้องรออัปเดตเวอร์ชันใหญ่
- ความประมาท ในการไม่อัปเดตซอฟต์แวร์ (โดยเฉพาะในระดับองค์กรอย่าง Oracle) เป็นสาเหตุหลักที่ทำให้การโจมตีสำเร็จ
คำถามที่พบบ่อย
ทำไมต้องรีบอัปเดตแม้จะไม่มีฟีเจอร์ใหม่?
เพราะการอัปเดตความปลอดภัยมักเป็นการปิดช่องโหว่ที่แฮกเกอร์รู้จักแล้ว หากไม่อัปเดต อุปกรณ์ของคุณจะตกเป็นเป้าหมายของการโจมตีที่ใช้ช่องโหว่เหล่านั้นได้ทันที
ช่องโหว่ Zero-day คืออะไรและน่ากลัวอย่างไร?
คือช่องโหว่ที่ผู้พัฒนาไม่เคยทราบมาก่อนจนกระทั่งมีการโจมตีเกิดขึ้น ทำให้ไม่มีเกราะป้องกันในช่วงแรก ผู้ใช้งานจึงมีความเสี่ยงสูงจนกว่าแพตช์แก้ไขจะถูกปล่อยออกมา
การโจมตีแบบ Zero-click ใน iOS คืออะไร?
เป็นการโจมตีที่ร้ายแรงมาก เพราะผู้ใช้ไม่จำเป็นต้องคลิกลิงก์หรือดาวน์โหลดไฟล์ใดๆ มัลแวร์สามารถเข้าสู่เครื่องได้เองผ่านช่องโหว่ของระบบ เช่น กรณีสปายแวร์ Triangulation
หากไม่สามารถอัปเดตแพตช์ได้ทันทีควรทำอย่างไร?
สำหรับผู้ใช้ทั่วไป ควรหลีกเลี่ยงการเข้าเว็บไซต์ที่ไม่น่าเชื่อถือ ส่วนผู้ดูแลระบบองค์กร ควรทำตามคำแนะนำการบรรเทาผลกระทบ (Mitigation steps) ที่ผู้ผลิตระบุไว้ เช่น กรณีของ Microsoft CVE-2023-36884
