Google ออกแพตช์ Android เดือนพฤศจิกายน ปิดช่องโหว่วิกฤตแบบไม่ต้องกด และแก้ SMS of Death

ลองนึกภาพว่ามือถือของคุณวางอยู่เฉย ๆ บนโต๊ะ ไม่ได้เปิดแอป ไม่ได้กดลิงก์ใด แต่ก็ยังอาจถูกสั่งรันโค้ดจากระยะไกลได้ นี่คือความร้ายแรงของช่องโหว่ตัวหนักที่สุดในประกาศความปลอดภัย Android ประจำเดือนพฤศจิกายน 2026 ที่ Google เพิ่งเผยแพร่ และ Samsung ออกประกาศแพตช์ของตัวเองตามมาในวันถัดไป

รอบนี้ Google ปิดช่องโหว่ 216 รายการ ในจำนวนนี้ 23 รายการอยู่ในระดับวิกฤต (Critical) ซึ่งเป็นระดับสูงสุดของ Google ตัวที่ร้ายที่สุดอยู่ในส่วนกลางของ Android ที่ทำหน้าที่ดึงภาพออกจากไฟล์สื่อ Google ระบุว่าผู้โจมตีอาจใช้มันรันโค้ดในเครื่องโดยเจ้าของไม่ต้องทำอะไรเลย (zero-click) ข่าวดีคือประกาศไม่ได้ระบุว่ามีช่องโหว่ใดถูกนำไปใช้โจมตีจริง และ Google ไม่เปิดเผยวิธีโจมตี

ในรายการยังมีชื่อที่ผู้อ่าน ReadEval คุ้นเคย คือบั๊ก "SMS of Death" ที่ใช้ SMS ซึ่งไม่โผล่ในกล่องข้อความทำให้ระบบโทรของเครื่องล่มจนสายหลุด Google จัดให้เป็นช่องโหว่ระดับวิกฤตและแก้แล้วอย่างเป็นทางการในแพตช์เดือนนี้ ปิดคำถามที่ค้างมาว่าตัวแก้อยู่ในเดือนไหน แต่มือถือที่ยังใช้ Android รุ่นเก่าซึ่งหมดรอบรับแพตช์แล้วไม่อยู่ในรายการที่ได้รับการแก้

วิธีรู้ว่าเครื่องคุณได้ตัวแก้หรือยัง คือดู "ระดับแพตช์ความปลอดภัย" ในหน้าการตั้งค่า ซึ่งเป็นวันที่ คล้ายสติกเกอร์บอกวันเข้าศูนย์ครั้งล่าสุดบนกระจกรถ ต่างกันตรงที่เดือนนี้มีสองวันที่ให้เทียบ วันหนึ่งหมายถึงซ่อมตัวระบบ Android แล้ว อีกวันหมายถึงซ่อมครบรวมชิ้นส่วนจากผู้ผลิตชิป และสติกเกอร์นี้ไม่ได้บอกว่าซ่อมบั๊กเฉพาะของแต่ละยี่ห้อครบแล้วหรือยัง

ประกาศของ Google ไม่ได้แปลว่าเครื่องคุณจะได้แพตช์ทันที Samsung ส่งให้รุ่นเรือธงก่อน รุ่นกลางและรุ่นประหยัดหลายรุ่นได้เป็นรายไตรมาส ยี่ห้ออื่นอย่าง Xiaomi, OPPO และ vivo ก็ต้องนำไปปรับเข้ากับระบบของตัวเองก่อนเช่นกัน ให้คุณเข้าหน้าอัปเดตซอฟต์แวร์แล้วกดตรวจหาอัปเดต ถ้ามีให้ลงทันที วิธีเช็กแยกตามยี่ห้อ วันที่ที่ควรเห็น และเหตุที่แต่ละยี่ห้อได้ไม่พร้อมกันอยู่ด้านล่าง

สรุปประเด็นสำคัญ

• ประกาศของ Google: Android Security Bulletin เดือนพฤศจิกายน 2026 เผยแพร่ 2 พ.ย. 2026 มีช่องโหว่ 216 รายการ (ReadEval นับจากตารางในประกาศ) ระดับวิกฤต 23 รายการ ที่เหลือเป็นระดับสูง (High) ทั้งหมด
• ตัวร้ายที่สุด: CVE-2026-58868 ในส่วน Framework อาจทำให้รันโค้ดจากระยะไกลได้โดยผู้ใช้ไม่ต้องทำอะไร ประกาศไม่ได้ระบุว่ามีช่องโหว่ใดถูกใช้โจมตีจริง
• SMS of Death แก้แล้ว: CVE-2026-58882 อยู่ในประกาศเดือนนี้ ระดับวิกฤต แก้ที่ระดับแพตช์ 2026-11-01 สำหรับ Android 14, 15, 16 และ 17
• สองวันที่: 2026-11-01 แก้ส่วนของตัวระบบ Android ส่วน 2026-11-05 แก้ครบทุกข้อรวมเคอร์เนลและชิป ควรให้เครื่องแสดง 2026-11-05 ขึ้นไป
• Samsung: SMR-NOV-2026 (3 พ.ย. 2026) ใส่แพตช์ตามประกาศของ Google 178 รายการ วิกฤต 20 รายการ รวม SMS of Death และเพิ่มช่องโหว่เฉพาะของ Samsung อีก 24 รายการ
• Pixel: ณ วันที่ 3 พ.ย. 2026 หน้า Pixel Update Bulletin เดือนพฤศจิกายนยังไม่ขึ้น
• ไทย: ยังไม่มีข้อมูลยืนยันว่าเครื่องที่ขายในไทยจะได้แพตช์นี้เมื่อไร

แพตช์เดือนนี้มีอะไรบ้าง

ประกาศของ Google แบ่งช่องโหว่เป็นสองระดับแพตช์ (security patch level) ReadEval นับรายการ CVE จากตารางในประกาศฉบับ 1.0 ได้ดังนี้

ที่มา: Android Security Bulletin—November 2026 (ReadEval นับเอง)

ประเภทของช่องโหว่ที่ประกาศใช้มีสี่แบบ คือ รันโค้ดจากระยะไกล (RCE) ยกระดับสิทธิ์ (EoP) ข้อมูลรั่ว (ID) และทำให้เครื่องหรือบริการล่ม (DoS) รายการที่ประกาศระบุประเภทไว้ส่วนใหญ่เป็นแบบยกระดับสิทธิ์ ส่วนรายการของผู้ผลิตชิปไม่ได้ระบุประเภท

ระดับความรุนแรงของ Google ประเมินจากผลที่เลวร้ายที่สุด โดยสมมติว่าระบบป้องกันของ Android ถูกปิดหรือถูกหลบได้ ประกาศจึงไม่ได้แปลว่าทุกช่องโหว่ระดับวิกฤตจะโจมตีได้ง่ายในเครื่องจริง Google ระบุว่าแจ้งผู้ผลิตมือถือล่วงหน้าอย่างน้อยหนึ่งเดือนก่อนเผยแพร่ และจะส่งโค้ดแก้ไขเข้าโครงการโอเพนซอร์ส AOSP ภายใน 48 ชั่วโมงหลังประกาศ

ช่องโหว่ระดับวิกฤตตัวไหนน่ากังวลที่สุด

Google เขียนในย่อหน้าแรกของประกาศว่า ช่องโหว่ที่ร้ายแรงที่สุดคือช่องโหว่ระดับวิกฤตในส่วน Framework ที่ "อาจนำไปสู่การรันโค้ดจากระยะไกลโดยไม่ต้องมีสิทธิ์เพิ่มเติม และไม่ต้องให้ผู้ใช้โต้ตอบ" ในตาราง Framework มีช่องโหว่ระดับวิกฤตเพียงตัวเดียว คือ CVE-2026-58868 บันทึก CVE ที่ Google เป็นผู้ออก ระบุว่าเป็นความผิดพลาดด้านหน่วยความจำในโค้ด FrameDecoder.cpp ซึ่งเป็นส่วนที่ดึงเฟรมภาพออกจากไฟล์สื่อ

ช่องโหว่ระดับวิกฤตที่ระดับแพตช์ 2026-11-01 มีทั้งหมด 8 รายการ

ที่มา: Android Security Bulletin—November 2026 (ตัดรุ่นย่อย 16-qpr2 ออกเพื่อให้อ่านง่าย)

ส่วนระดับแพตช์ 2026-11-05 มีช่องโหว่ระดับวิกฤต 15 รายการ อยู่ในเคอร์เนล 6 รายการ ชิป MediaTek 8 รายการ และ Qualcomm ส่วนปิดซอร์ส 1 รายการ เครื่องจะได้รับผลกระทบหรือไม่ขึ้นกับชิปที่ใช้ เช่น ช่องโหว่ของ MediaTek ไม่เกี่ยวกับเครื่องที่ใช้ชิปยี่ห้ออื่น

ถูกโจมตีจริงหรือยัง: ประกาศเดือนนี้ไม่มีข้อความระบุว่าช่องโหว่ใดถูกนำไปใช้โจมตีจริง และ ReadEval ไม่พบรายงานการโจมตีจากแหล่งอื่น ณ วันที่เขียน

SMS of Death แก้แล้วหรือยัง

แก้แล้ว ReadEval เคยรายงานเรื่อง SMS ที่มองไม่เห็นทำระบบโทรของมือถือ Android ล่ม ซึ่งตอนนั้นแหล่งข้อมูลยังไม่ตรงกันว่าตัวแก้อยู่ในแพตช์เดือนไหน ประกาศเดือนพฤศจิกายนตอบคำถามนี้แล้ว

• รหัส: CVE-2026-58882 อยู่ในตาราง System ประเภท DoS ระดับวิกฤต
• เป็นตัวเดียวกันแน่หรือ: บันทึก CVE ระบุว่าปัญหาอยู่ในฟังก์ชัน decodeWapPdu ของ WapPushOverSms.java ตรงกับชื่อ commit "Fix remote DoS in decodeWapPdu" ใน AOSP ที่ ReadEval อ้างถึงในข่าวก่อนหน้า
• ระดับแพตช์ที่มีตัวแก้: 2026-11-01 ขึ้นไป
• รุ่น Android: 14, 15, 16 และ 17 ประกาศไม่ได้ระบุ Android 12 และ 13 เครื่องที่ค้างอยู่สองรุ่นนี้จึงไม่ได้ตัวแก้ผ่านช่องทางปกติ
• Samsung: อยู่ในรายการระดับวิกฤตที่ SMR-NOV-2026 ใส่แพตช์แล้ว
• อัปเดตระบบ Google Play ช่วยไหม: ไม่ ช่องโหว่นี้ไม่อยู่ในรายการที่ส่งผ่านโมดูลของ Google Play จึงต้องรออัปเดตระบบจากผู้ผลิต

Samsung แก้อะไรบ้าง และรุ่นไหนได้ก่อน

Samsung เผยแพร่ประกาศ SMR-NOV-2026 เมื่อ 3 พ.ย. 2026 SMR (Security Maintenance Release) คือแพตช์ความปลอดภัยรายเดือนของ Samsung ReadEval นับรายการในประกาศได้ดังนี้

ที่มา: Samsung Mobile Security, SMR-NOV-2026

ช่องโหว่เฉพาะของ Samsung ที่เปิดเผยเดือนนี้มีทั้งใน bootloader, แอปโทรศัพท์ (Samsung Dialer), แอปรายชื่อ (Samsung Contacts) และแอปข้อความ (Samsung Messages) ส่วนใหญ่เป็นแบบที่ผู้โจมตีต้องมีแอปหรือสิทธิ์อยู่ในเครื่องก่อน (local)

ประกาศบอกว่าแพตช์นี้ออกให้ "รุ่นเรือธงหลัก" และหน้ารายชื่อรุ่นของ Samsung แบ่งเครื่องเป็นกลุ่มรับแพตช์รายเดือน รายไตรมาส และรายครึ่งปี

• รายเดือน (ตัวอย่าง): Galaxy S23 ถึง S26 รวมรุ่น FE, Galaxy Z Fold5 ถึง Z Fold8 และ Z Flip5 ถึง Z Flip8
• รายไตรมาส (ตัวอย่าง): Galaxy S22, Galaxy A16, Galaxy A26 5G, Galaxy A36 5G และ Galaxy Tab S9
• Samsung ระบุว่าเวลาที่ได้รับ "อาจต่างกันตามตลาด ผู้ให้บริการเครือข่าย และรุ่น" และการอัปเกรดระบบปฏิบัติการอาจทำให้แพตช์ตามแผนช้าลง

ตัวเลขของ Samsung ไม่ตรงกับของ Google แบบหนึ่งต่อหนึ่ง เพราะ Samsung ตัดรายการที่ไม่เกี่ยวกับเครื่องตัวเองออก (เช่น ชิปที่ Samsung ไม่ใช้) และรายการของ Samsung มีบางรหัสที่ไม่อยู่ในประกาศเดือนนี้ของ Google

Pixel ล่ะ

Pixel ได้แพตช์จาก Google โดยตรง และ Google จะประกาศรายละเอียดใน Pixel Update Bulletin แยกต่างหาก แต่ ณ วันที่ 3 พ.ย. 2026 หน้าของเดือนพฤศจิกายนยังเปิดไม่ได้ (ล่าสุดเป็นของเดือนตุลาคม) หน้าช่วยเหลือของ Pixel ระบุว่าอัปเดต "ทยอยปล่อย ขึ้นกับผู้ให้บริการและรุ่น" และ "อาจใช้เวลาไม่กี่สัปดาห์กว่าจะถึงเครื่องของคุณ"

วิธีเช็กระดับแพตช์ความปลอดภัย

ชื่อเมนูภาษาไทยอาจต่างจากด้านล่างเล็กน้อยตามรุ่นและเวอร์ชันระบบ ถ้าหาไม่เจอ ให้พิมพ์ "แพตช์" หรือ "security patch" ในช่องค้นหาของแอปการตั้งค่า

Pixel และ Android ทั่วไป (ตามหน้าช่วยเหลือของ Google)

1. เปิดแอป การตั้งค่า (Settings)
2. แตะ เกี่ยวกับโทรศัพท์ (About phone) แล้วแตะ เวอร์ชัน Android (Android version)
3. ดูบรรทัด การอัปเดตความปลอดภัยของ Android (Android security update) และ การอัปเดตระบบ Google Play (Google Play system update)

หาอัปเดตบน Pixel: การตั้งค่า > ระบบ > การอัปเดตซอฟต์แวร์ (Settings > System > Software update)

Samsung Galaxy (ตามหน้าช่วยเหลือของ Samsung)

1. เปิด การตั้งค่า > อัปเดตซอฟต์แวร์ (Settings > Software update)
2. แตะ อัปเดตล่าสุด (Last update) จะเห็นวันที่อัปเดตครั้งล่าสุดและระดับแพตช์ความปลอดภัย
3. หาอัปเดตใหม่: แตะ ดาวน์โหลดและติดตั้ง (Download and install) บางรุ่นต้องแตะ ดาวน์โหลดเลย หรือ ติดตั้งเลย ต่อ

อีกทางหนึ่งคือ การตั้งค่า > ความปลอดภัยและความเป็นส่วนตัว > อัปเดต > อัปเดตความปลอดภัย (Settings > Security and privacy > Updates > Security update) Samsung ระบุว่าเครื่องที่ล็อกกับผู้ให้บริการเครือข่ายอาจได้ช้ากว่าเครื่องที่ไม่ได้ล็อก

Xiaomi, Redmi และ POCO (ตามหน้าช่วยเหลือของ Xiaomi)

หน้าช่วยเหลือของ Xiaomi สำหรับ Xiaomi 14T Pro และ Redmi 13C ให้ขั้นตอนดังนี้

1. เปิด การตั้งค่า (Settings)
2. แตะ ลายนิ้วมือ ข้อมูลใบหน้า และการล็อกหน้าจอ (Fingerprints, face data, and screen lock)
3. แตะ ความเป็นส่วนตัว (Privacy) แล้วแตะ อัปเดตความปลอดภัย (Security update)
4. แตะ ตรวจหาอัปเดต (Check for update)

รุ่นอื่นอาจวางเมนูต่างกัน วันที่ของแพตช์ดูได้ที่ การตั้งค่า > เกี่ยวกับโทรศัพท์ ตามวิธีของ Google ข้างบน

OPPO

หน้าทางการของ OPPO ที่ ReadEval เข้าถึงได้ไม่ได้ระบุเมนูดูวันที่แพตช์ ให้ใช้วิธีของ Google ข้างบน (เมนูเกี่ยวกับโทรศัพท์อาจใช้ชื่อใกล้เคียงกัน) หรือค้นหาคำว่า "แพตช์" ในช่องค้นหาของแอปการตั้งค่า OPPO ระบุในหน้านโยบายว่าสมาร์ตโฟนได้รับแพตช์ความปลอดภัยอย่างน้อย 3 ปี

vivo (ตามหน้าของ vivo)

เปิด การตั้งค่า > อัปเดตระบบ (Settings > System update) เพื่อหาอัปเดตและดูบันทึกของเวอร์ชันระบบที่ใช้อยู่

ควรเห็นวันที่ไหน

ตามประกาศของ Google ผู้ผลิตที่ตั้งวันที่ 2026-11-01 ต้องใส่แพตช์ของระดับนั้นครบ รวมถึงแพตช์ของทุกประกาศก่อนหน้า ส่วนวันที่ 2026-11-05 ต้องใส่ครบทุกข้อที่เกี่ยวกับเครื่อง

ทำไมแต่ละยี่ห้อได้แพตช์ไม่พร้อมกัน

• Google แจ้งล่วงหน้า แต่ผู้ผลิตต้องทำเอง: Google แจ้งผู้ผลิตอย่างน้อยหนึ่งเดือนก่อนประกาศ แต่แต่ละยี่ห้อต้องนำแพตช์ไปใส่ในระบบของตัวเอง (One UI, HyperOS, ColorOS, Funtouch OS/OriginOS) ทดสอบกับแต่ละรุ่น แล้วจึงปล่อย
• รายเดือนหรือรายไตรมาส: Samsung และ vivo ระบุชัดว่าบางรุ่นได้รายเดือน บางรุ่นได้รายไตรมาส ReadEval ประเมินว่ารุ่นรายไตรมาสอาจไม่เห็นวันที่ของเดือนพฤศจิกายนเลย แต่ได้แพตช์ที่ใหม่กว่าในรอบถัดไปแทน
• ประเทศ รุ่น และผู้ให้บริการเครือข่าย: Samsung, OPPO และ vivo ต่างระบุว่าเวลาส่งแพตช์ต่างกันตามประเทศหรือภูมิภาคและรุ่น และผู้ให้บริการเครือข่ายบางรายมีรอบของตัวเอง
• การอัปเกรดระบบ: OPPO และ Samsung เขียนว่าการอัปเกรดระบบปฏิบัติการอาจทำให้แพตช์ของเดือนนั้นช้าลง
• ชิปต่างกัน: ระดับ 2026-11-05 รวมแพตช์จากผู้ผลิตชิปหลายราย ซึ่งแต่ละรุ่นใช้ไม่เหมือนกัน Google อธิบายว่าประกาศมีสองระดับเพื่อให้ผู้ผลิตแก้ส่วนที่เหมือนกันในทุกเครื่องได้เร็วขึ้น และสนับสนุนให้แก้ครบแล้วใช้วันที่ล่าสุด

การอัปเดตระบบ Google Play ช่วยได้แค่ไหน

เครื่อง Android 10 ขึ้นไปบางเครื่องได้รับแพตช์บางส่วนผ่าน "การอัปเดตระบบ Google Play" ซึ่ง Google ส่งตรงโดยไม่ต้องรอผู้ผลิต ประกาศเดือนนี้ระบุว่าโมดูลที่ส่งทางนี้ครอบคลุม Media Codecs, MediaProvider, Profiling, Telephonycore และ WiFi รวม 17 CVE หนึ่งในนั้นคือ CVE-2026-58876 ที่เป็นระดับวิกฤต

แต่รายการนี้ไม่มี CVE-2026-58868 และไม่มี SMS of Death (CVE-2026-58882) วันที่ของการอัปเดตระบบ Google Play จึงบอกไม่ได้ว่าเครื่องได้ตัวแก้ทั้งสองแล้ว ให้ดูที่ การอัปเดตความปลอดภัยของ Android เป็นหลัก

เครื่องที่ขายในไทยได้เมื่อไร

ยังไม่ยืนยัน ประกาศของ Samsung เป็นประกาศระดับโลก และ Samsung ระบุว่าเวลาที่ได้ต่างกันตามตลาด ReadEval ไม่พบประกาศของ Samsung, Xiaomi, OPPO หรือ vivo ที่บอกวันส่งแพตช์เดือนพฤศจิกายนให้เครื่องที่ขายในไทย วิธีที่แน่นอนที่สุดคือดูวันที่ในเครื่องของคุณเองตามขั้นตอนข้างบน

ข้อมูลที่ยังไม่ตรงกัน

• SMS of Death แก้ในเดือนไหน: Android Headlines (2 พ.ย. 2026) เขียนว่าแก้แล้วในแพตช์เดือนตุลาคม 2026 ตรงกับที่ผู้ค้นพบเคยระบุ แต่ประกาศเดือนตุลาคมของ Google ไม่มีรหัสนี้ และประกาศเดือนพฤศจิกายนระบุไว้ที่ระดับ 2026-11-01 ReadEval ยึดประกาศของ Google คือ 2026-11-01 ขึ้นไป เครื่องที่แสดงแพตช์เดือนตุลาคมอาจมีตัวแก้แล้วหรือไม่ก็ได้ ขึ้นกับผู้ผลิต
• ตัวถอดภาพหรือ Framework: ข้อมูลเบื้องต้นจากตัวติดตาม CVE ภายนอกบอกว่า CVE-2026-58868 อยู่ใน FrameDecoder ประกาศของ Google จัดไว้ในหมวด Framework ส่วนบันทึก CVE ที่ Google ออกระบุ FrameDecoder.cpp สองข้อมูลจึงไม่ขัดกัน แต่ Google ยังไม่ได้บอกว่าผู้โจมตีส่งไฟล์เข้ามาทางช่องทางใด
• จำนวนช่องโหว่: ตัวเลข 216 และ 23 เป็นการนับของ ReadEval จากตาราง CVE ในประกาศ Google ไม่ได้บอกจำนวนรวมเอง สื่ออื่นอาจนับต่างออกไปหากนับรายการของ Pixel หรือของผู้ผลิตเพิ่ม
• คำแนะนำของ Xiaomi: หน้าคำถามที่พบบ่อยของ Xiaomi เขียนว่าผู้ใช้ "ไม่ต้องกังวลว่าจะถูกโจมตี" แม้ระดับแพตช์ยังไม่ใช่ล่าสุด เพราะระบบมีกลไกป้องกันของตัวเอง ReadEval เห็นว่าวันที่ของแพตช์ยังเป็นสิ่งเดียวที่ผู้ใช้ตรวจสอบเองได้ จึงยังแนะนำให้อัปเดตเมื่อมี