Apple ส่งแพตช์ถึง iPhone XS และ XR อายุ 8 ปี อุดช่องโหว่ที่อาจถูกใช้เจาะเป้าหมาย

วันที่ 26 ตุลาคม 2018 คือวันแรกที่ iPhone XR วางขาย ครบ 8 ปีพอดีในวันเดียวกันของปีนี้ Apple ส่งอัปเดตไปให้มันและ iPhone XS ซึ่งเป็นรุ่นพี่น้องกัน เพื่ออุดช่องโหว่ที่ Apple ยอมรับว่าอาจถูกใช้เจาะเครื่องของบุคคลที่ถูกเล็งเป็นเป้าหมายไปแล้ว ในการโจมตีที่บริษัทเรียกว่า "ซับซ้อนอย่างยิ่ง"

ช่องโหว่นี้อยู่ใน CoreGraphics ส่วนของระบบที่ทำหน้าที่วาดทุกอย่างที่คุณเห็นบนจอ ทั้งรูป ตัวอักษร และเอกสาร PDF ลองนึกถึงเจ้าหน้าที่ที่คัดลอกแบบฟอร์มลงสมุด ถ้ามีคนจงใจกรอกข้อมูลยาวเกินช่อง แล้วเจ้าหน้าที่เขียนต่อจนล้นทับบรรทัดถัดไป ข้อความที่ล้นอาจไปทับคำสั่งที่เขียนไว้ตรงนั้น ปัญหาแบบนี้เรียกว่าการเขียนข้อมูลเกินขอบเขต (out-of-bounds write) ผลคือไฟล์ที่ถูกแต่งมาอย่างตั้งใจอาจทำให้ผู้โจมตีสั่งรันโค้ดบนเครื่องได้ ต่างจากภาพเปรียบเทียบตรงที่ผู้โจมตีต้องคุมให้ได้ด้วยว่าข้อมูลจะล้นไปทับอะไร ซึ่งยากกว่ามาก ทีมความปลอดภัยของ Meta เป็นผู้พบช่องโหว่นี้

ปัญหาคือ Apple แก้ช่องโหว่นี้ให้ iPhone 11 ขึ้นไปตั้งแต่ปลายเดือนกันยายน แต่ iPhone XS และ XR ซึ่งไปต่อ iOS รุ่นใหม่ไม่ได้ ต้องรออีกราว 4 สัปดาห์ ระหว่างนั้นนักวิจัยกลุ่มหนึ่งเผยแพร่ไฟล์ PDF สาธิตที่ทำให้โปรแกรมบนเครื่องที่ยังไม่แพตช์ล่มได้ แม้ยังไม่ถึงขั้นยึดเครื่อง ส่วนหน่วยงานความมั่นคงไซเบอร์ของสหรัฐฯ ก็จัดช่องโหว่นี้ไว้ในรายการที่ถูกโจมตีจริงแล้ว

ควรกังวลแค่ไหน Apple ระบุว่าเป็นการโจมตีแบบเจาะจงตัวบุคคล ไม่ใช่หว่านแห คนส่วนใหญ่จึงไม่น่าจะเป็นเป้าหมาย แต่ทางป้องกันมีทางเดียวคือการอัปเดต และยิ่งวิธีโจมตีถูกเผยแพร่มากขึ้น เครื่องที่ไม่อัปเดตก็ยิ่งน่าห่วง ถ้าคุณหรือคนในบ้านยังใช้ iPhone XS หรือ XR อยู่ ควรกดอัปเดตวันนี้

วิธีทำคือเปิด Settings > General > Software Update แล้วกดติดตั้ง iPhone XS, XS Max และ XR จะได้ iOS 18.7.11 เครื่อง iPhone 11 ขึ้นไปที่ยังใช้ iOS 26 จะได้ 26.7.2 ส่วนเครื่องที่ใช้ iOS 27 แล้วจะได้ 27.2 ซึ่งออกวันเดียวกัน ตารางรุ่นเครื่อง วิธีเช็กเวอร์ชันทีละขั้น และไทม์ไลน์อยู่ด้านล่าง

สรุปประเด็นสำคัญ

• ช่องโหว่อะไร: CVE-2026-86950 ใน CoreGraphics เป็นการเขียนข้อมูลเกินขอบเขต (out-of-bounds write) Apple ระบุว่า "การประมวลผลไฟล์ที่ถูกสร้างขึ้นโดยเจตนาร้ายอาจนำไปสู่การรันโค้ดตามอำเภอใจ" ผู้พบคือ Meta Product Security ส่วน CISA ให้คะแนนความรุนแรง (CVSS) 8.8 จาก 10 หรือระดับสูง
• ถูกใช้โจมตีแล้วหรือยัง: Apple บอกว่า "อาจ" ถูกใช้ในการโจมตีที่ซับซ้อนอย่างยิ่งต่อบุคคลเฉพาะรายบน iOS ก่อน iOS 27 ส่วน CISA ใส่ไว้ในรายการช่องโหว่ที่ถูกโจมตีจริง (KEV) ตั้งแต่ 29 ก.ย. 2026
• รอบนี้ใหม่ตรงไหน: เครื่องรุ่นใหม่ได้แพตช์ใน iOS 26.7.1 ตั้งแต่ 28 ก.ย. 2026 รอบ 26 ต.ค. 2026 คือการนำแพตช์เดียวกันย้อนไปใส่ในสายเก่า (backport) ให้ถึง iPhone XS, XS Max, XR และ iPad รุ่นที่ 7 ผ่าน iOS/iPadOS 18.7.11
• ต้องทำอะไร: อัปเดตเป็นรุ่นล่าสุดที่เครื่องรองรับ คือ 18.7.11, 26.7.2 หรือ 27.2 ตามตารางด้านล่าง

ช่องโหว่นี้ทำงานอย่างไร

CoreGraphics เป็นชุดคำสั่งของ Apple สำหรับวาดภาพกราฟิกสองมิติ ตัวอักษร และภาพต่าง ๆ ซึ่ง BleepingComputer ระบุว่าใช้ร่วมกันทั้งใน iOS, iPadOS, macOS, watchOS และ tvOS ประกาศของ Apple บอกเพียงว่าปัญหาคือการเขียนข้อมูลเกินขอบเขต และแก้ด้วย "การตรวจขอบเขตที่ดีขึ้น" BleepingComputer จัดเป็นช่องโหว่ zero-day คือช่องโหว่ที่ถูกนำไปใช้โจมตีตั้งแต่ก่อนผู้ผลิตจะมีแพตช์

รายละเอียดที่ลึกกว่านั้นมาจากนักวิจัยภายนอก ไม่ใช่จาก Apple ตามรายงานของ The Hacker News (1 ต.ค. 2026) นักวิจัย Dion Blazakis, Josh Maine และ Anna Groza จากบริษัท Calif วิเคราะห์แพตช์แล้วเผยแพร่ไฟล์ PDF สาธิต (PoC) บน GitHub เมื่อ 30 ก.ย. 2026 ไฟล์นี้ฝังฟอนต์ TrueType ที่ตั้งพิกัดตัวอักษรให้ใหญ่ผิดปกติ จนระบบคำนวณกรอบของตัวอักษรเล็กเกินจริง แล้วเขียนข้อมูลล้นออกนอกพื้นที่ที่จองไว้ Security Affairs อธิบายว่าต้นเหตุคือการแปลงตัวเลขทศนิยมเป็นจำนวนเต็มที่ล้น และสองฟังก์ชันจัดการตัวเลขที่ล้นต่างกัน

สิ่งที่ควรรู้คือ PoC นี้ทำได้แค่ทำให้โปรแกรมล่ม (crash) Calif เขียนว่าการต่อยอดไปถึงการรันโค้ด "เป็นงานอีกเรื่องหนึ่งเลย" และบริษัทไม่ได้ตัวอย่างการโจมตีจริงมาวิเคราะห์ จึงบอกไม่ได้ว่าผู้โจมตีทำจนครบขั้นได้อย่างไร

ต้องเปิดไฟล์เองไหม หรือแค่ได้รับก็โดน

ยังไม่มีคำตอบที่ยืนยันได้ Apple ใช้คำว่า "การประมวลผลไฟล์" โดยไม่บอกว่าไฟล์มาถึงเครื่องทางไหน และไม่บอกว่าผู้ใช้ต้องกดอะไรหรือไม่

• The Hacker News รายงานว่าชุดทดสอบของ Calif เรียกใช้ช่องทางสร้างภาพตัวอย่าง (thumbnail) แบบเดียวกับที่แอปใช้แสดงตัวอย่างไฟล์แนบที่ได้รับ แต่ไม่ได้บอกว่าการโจมตีจริงใช้ช่องทางนี้
• Security Affairs ชี้ว่า CoreGraphics วาดไฟล์อัตโนมัติในภาพตัวอย่างหรือหน้าพรีวิว จึง "อาจ" ไม่ต้องให้ผู้ใช้ทำอะไรนอกจากได้รับไฟล์ นี่เป็นความเป็นไปได้ ไม่ใช่สิ่งที่ Apple ยืนยัน
• ไม่มีแหล่งใดเปิดเผยชื่อผู้โจมตี บริษัทสปายแวร์ หรือร่องรอยการโจมตี (IOC) ที่ผู้ใช้ทั่วไปจะเอาไปตรวจเครื่องเองได้

เครื่องของฉันต้องได้เวอร์ชันไหน

ที่มา: หน้า Apple security releases, ประกาศความปลอดภัยของ iOS 18.7.11, 26.7.1, 26.7.2 และ 27.2 และบันทึก CVE-2026-86950

ข้อสังเกต: iPhone XS และ XR ไปต่อ iOS 26 ไม่ได้ เพราะ Apple ระบุว่า iOS 26 และ 27 รองรับ iPhone 11 ขึ้นไป เครื่องกลุ่มนี้จึงได้แพตช์ผ่านสาย iOS 18 ซึ่ง Apple ยังทยอยออกให้ (18.7.10 ออกเมื่อ 17 ส.ค. 2026 ก่อนรอบนี้) แต่ Apple ไม่ได้ประกาศว่าจะส่งแพตช์ให้สาย iOS 18 ไปถึงเมื่อไร

Apple ไม่ได้ระบุว่าอัปเดตเหล่านี้จำกัดเฉพาะบางประเทศ ส่วนจำนวนคนไทยที่ยังใช้ iPhone XS หรือ XR นั้นไม่มีตัวเลขที่ยืนยันได้

วิธีเช็กว่า iPhone ใช้ iOS เวอร์ชันไหน

ตามหน้าช่วยเหลือของ Apple

1. เปิด Settings (การตั้งค่า)
2. แตะ General (ทั่วไป)
3. แตะ About (เกี่ยวกับ)
4. ดูตัวเลขข้าง iOS Version (บน iPad คือ iPadOS Version)

ถ้าเห็น 18.7.11, 26.7.1 ขึ้นไป หรือ 27 ขึ้นไป แปลว่าเครื่องได้แพตช์ช่องโหว่ CoreGraphics ตัวนี้แล้ว แต่ยังควรอัปเดตเป็นรุ่นล่าสุดของสายตัวเองเพื่อรับแพตช์ตัวอื่นด้วย

วิธีอัปเดตทีละขั้น

ตามหน้า "Update your iPhone or iPad" ของ Apple

1. สำรองข้อมูลก่อน ผ่าน iCloud หรือคอมพิวเตอร์
2. เสียบสายชาร์จ และต่อ Wi-Fi
3. เปิด Settings > General > Software Update หน้านี้จะบอกเวอร์ชันที่ติดตั้งอยู่และอัปเดตที่มีให้
4. ถ้ามีอัปเดต แตะ Download and Install แล้วทำตามขั้นตอนบนจอ

iPhone 11 ขึ้นไปที่ยังใช้ iOS 26 จะเห็นสองตัวเลือก: ภาพตัวอย่างในหน้าช่วยเหลือของ Apple แสดงว่าอัปเดตของสาย iOS 26 อยู่ด้านบน ส่วนตัวเลือกอัปเกรดเป็น iOS 27 อยู่ท้ายหน้า ถ้ายังไม่อยากเปลี่ยนไป iOS 27 ก็เลือกอัปเดตด้านบน (26.7.2) ได้ ทั้งสองทางได้แพตช์ช่องโหว่นี้

ถ้าพื้นที่ไม่พอ: ระบบอาจขอลบแอปชั่วคราว ให้แตะ Continue แล้วแอปจะถูกติดตั้งกลับให้เองหลังอัปเดตเสร็จ ถ้าแตะ Cancel ต้องลบข้อมูลเองให้พอแล้วลองใหม่

ถ้าไม่เห็นอัปเดต: Apple ระบุว่าการเชื่อมต่อผ่าน VPN หรือพร็อกซีอาจทำให้เครื่องติดต่อเซิร์ฟเวอร์อัปเดตไม่ได้ และบางอัปเดตไม่มีให้ติดตั้งผ่านไร้สาย ซึ่งต้องอัปเดตผ่านคอมพิวเตอร์แทน

เปิดอัปเดตอัตโนมัติ: ไปที่ Settings > General > Software Update > Automatic Updates แล้วเปิด Automatically Install เครื่องจะดาวน์โหลดและติดตั้งอัปเดตตอนกลางคืนขณะชาร์จและต่อ Wi-Fi อยู่ โดยแจ้งเตือนก่อนติดตั้ง

ไทม์ไลน์: ทำไม iPhone เก่าได้แพตช์ช้ากว่า

• 28 ก.ย. 2026: Apple ออก iOS/iPadOS 26.7.1 ที่แก้เพียงช่องโหว่นี้ตัวเดียว พร้อม macOS Tahoe 26.7.1 และ macOS Sequoia 15.8.1
• 29 ก.ย. 2026: CISA ใส่ CVE-2026-86950 ในรายการ KEV และกำหนดให้หน่วยงานรัฐบาลกลางสหรัฐฯ แก้ภายใน 13 ต.ค. 2026
• 30 ก.ย. 2026: Calif เผยแพร่บทวิเคราะห์และไฟล์ PDF สาธิต
• 26 ต.ค. 2026: Apple ออก iOS/iPadOS 18.7.11 ซึ่งแก้ช่องโหว่ 3 ตัว คือ CoreGraphics ตัวนี้ ช่องโหว่ใน Audio ที่แอปอาจทำให้ข้อมูลส่วนตัวรั่ว (CVE-2026-65339) และช่องโหว่ใน CoreMedia ที่แอปอันตรายอาจเปิดกล้องได้โดยไม่ขออนุญาต (CVE-2026-86990)

iOS 27.2 และ 26.7.2 แก้อะไรอีก

วันเดียวกัน Apple ออก iOS 27.2 และ 26.7.2 ด้วย ReadEval นับรายการ CVE ในประกาศของ Apple ได้ 163 รายการสำหรับ iOS 27.2 และ 134 รายการสำหรับ iOS 26.7.2 รวมถึงช่องโหว่ Audio และ CoreMedia สองตัวเดียวกับใน 18.7.11 ประกาศทั้งสองฉบับไม่มีรายการใดที่ Apple ระบุว่าถูกใช้โจมตีแล้ว ส่วนฟีเจอร์ใหม่ใน iOS 27.2 เช่น Siri อยู่ในอีกข่าวของ ReadEval

แล้ว Mac ล่ะ

ช่องโหว่ตัวเดียวกันกระทบ macOS ด้วย Apple แก้ไปแล้วใน macOS Sequoia 15.8.1 และ macOS Tahoe 26.7.1 ตั้งแต่ 28 ก.ย. 2026 และรุ่นล่าสุด ณ 26 ต.ค. 2026 คือ Sequoia 15.8.2, Tahoe 26.7.2 และ Golden Gate 27.2 อัปเดตได้ที่เมนู Apple > System Settings > General > Software Update

เกี่ยวกับข่าวก่อนหน้า

นี่ไม่ใช่ครั้งแรกในปีนี้ที่ Apple ส่งแพตช์ไปถึงเครื่องเก่าแยกต่างหาก ReadEval เคยรายงานเรื่องสปายแวร์ DarkSword ซึ่ง Apple ปิดช่องโหว่ในเครื่องสาย iOS 18 ผ่าน iOS 18.7.7 ตั้งแต่เดือนมีนาคม–เมษายน 2026 ส่วนช่องโหว่ CoreGraphics รอบนี้เป็นคนละตัวกัน และไม่มีแหล่งใดระบุว่าเกี่ยวข้องกับ DarkSword

แหล่งข่าวต่างกันตรงไหน

• รายชื่อ iPad ที่ได้ 18.7.11: ในประกาศของ iOS 18.7.11 ข้อความรุ่นที่รองรับเขียนติดกันเป็น "iPad 7th generationAir 4th generation and later, iPad 9th generation and later…" และ BleepingComputer รายงานตามนั้นว่า iPad Air รุ่นที่ 4, iPad รุ่นที่ 9 และ iPad mini รุ่นที่ 6 ขึ้นไปก็ได้แพตช์รอบนี้ แต่หน้ารวม Apple security releases ระบุ 18.7.11 สำหรับ iPhone XS, XS Max, XR และ iPad รุ่นที่ 7 เท่านั้น และ iPad กลุ่มหลังก็อยู่ในรายชื่อที่รองรับ iPadOS 27 อยู่แล้ว ReadEval ประเมินว่าข้อความในประกาศน่าจะพิมพ์ปะปนกัน และยึดตามหน้ารวมของ Apple
• กำหนดเส้นตายของ CISA: The Hacker News เขียนว่าหน่วยงานรัฐบาลกลางต้องแก้ภายใน 2 ต.ค. 2026 แต่รายการ KEV ของ CISA เองระบุ 13 ต.ค. 2026 ReadEval ใช้ตัวเลขของ CISA ซึ่งเป็นต้นทาง
• WhatsApp เป็นช่องทางส่งไฟล์หรือไม่: The Hacker News รายงานว่าบทวิเคราะห์ฉบับแรกของ Calif อ้างว่าไฟล์ถูกส่งผ่าน WhatsApp แต่ข้อความนั้นถูกลบออกภายใน 85 นาทีหลังเผยแพร่ ฉบับที่เหลืออยู่เหลือเพียงหลักฐานแวดล้อม คือพบโค้ดตรวจฟอนต์ใน PDF ที่เพิ่มเข้ามาในตัวสแกนไฟล์แนบของ WhatsApp และ Meta ไม่ตอบคำถามเรื่องนี้ จึงยังไม่ยืนยัน
• "อาจถูกใช้" หรือ "ถูกใช้แล้ว": Apple ใช้คำว่า "may have been exploited" ส่วน CISA จัดไว้ในรายการช่องโหว่ที่ถูกโจมตีจริง ทั้งสองแหล่งไม่ได้ขัดกัน แต่ไม่มีแหล่งใดเปิดเผยจำนวนเป้าหมาย เป้าหมายอยู่ประเทศใด หรือการโจมตีสำเร็จกี่ครั้ง จึงยืนยันไม่ได้ว่ามีเป้าหมายในไทยหรือไม่
• จำนวนช่องโหว่ใน 27.2 และ 26.7.2: เป็นตัวเลขที่ ReadEval นับจากรายการ CVE ในประกาศของ Apple เอง (163 และ 134) Apple ไม่ได้ประกาศตัวเลขรวม