เมื่อ AI กลายเป็นผู้ล่าช่องโหว่ ถอดรหัสสถิติ 21 Zero-Days ใน FFmpeg และ 429 บั๊กใน Chrome
สัปดาห์นี้วงการ Cyber Security ต้องจารึกประวัติศาสตร์ใหม่ เมื่อสองเหตุการณ์ใหญ่ระเบิดขึ้นในเวลาไล่เลี่ยกัน สะท้อนให้เห็นว่า ปัญญาประดิษฐ์ (AI) กำลังเร่งความเร็วในการค้นหาช่องโหว่ของซอฟต์แวร์ไปสู่จุดที่มนุษย์แทบจะตามไม่ทัน แรงกดดันตกไปอยู่กับเหล่านักพัฒนาและทีมความปลอดภัยที่ต้องแข่งกับเวลาเพื่ออุดรอยรั่วเหล่านี้ ก่อนที่มันจะถูกนำไปใช้เป็นอาวุธโจมตี
1. Depthfirst ส่ง AI Agent ขุดรากถอนโคน FFmpeg พบช่องโหว่เก่าแก่กว่า 20 ปี
FFmpeg คือหัวใจหลักของโลกมัลติมีเดีย มันคือไลบรารีจัดการไฟล์วิดีโอและเสียงที่แฝงอยู่ในซอฟต์แวร์แทบทุกชนิดบนโลก ทว่าล่าสุด บริษัทสตาร์ทอัพด้านความปลอดภัยชื่อว่า Depthfirst ได้ปล่อยเอไอเอเจนต์อัตโนมัติ (Autonomous AI Agent) ให้เข้าไปสแกนซอร์สโค้ดภาษา C ของโปรเจกต์นี้ที่มีความยาวกว่า 1.5 ล้านบรรทัด ผลลัพธ์จากการสแกนครั้งนี้สร้างความประหลาดใจให้กับทีมผู้พัฒนาไม่น้อย เพราะมันไม่ได้ชี้ให้เห็นแค่ช่องโหว่ใหม่ ๆ แต่ยังเผยให้เห็นรอยรั่วระดับโครงสร้างที่ซ่อนเร้นมาอย่างยาวนาน โดยมีข้อมูลที่น่าสนใจดังนี้
- พบ Zero-Days ที่ได้รับการยืนยันแล้วถึง 21 จุด โดย AI สามารถสร้างโค้ดทดสอบเพื่อยืนยันแนวคิด (Proof-of-Concept: PoC) ออกมาให้เห็นเด่นชัดว่าช่องโหว่ใช้งานได้จริง
- ค่าใช้จ่ายในการรันระบบต่ำจนน่าใจหาย Depthfirst ใช้เงินลงทุนในระบบ AI ครั้งนี้เพียงประมาณ $1,000 เท่านั้น
- เจอบั๊กที่รอดหูรอดตามนุษย์มานานกว่าสองทศวรรษ บั๊กหลายตัวซ่อนอยู่นาน 15-20 ปี โดยมีจุดหนึ่งเป็นประเภท Stack Overflow ในโค้ด Service-Description-Table ที่แฝงตัวมาตั้งแต่ปี 2003 (รวมอายุที่ไม่มีใครทักท้วงถึง 23 ปี)
- ลักษณะของช่องโหว่: ส่วนใหญ่เป็นประเภท Heap Overflows และ Stack Overflows ในส่วนของ Parser และ Demuxer (ตัวแยกส่วนและวิเคราะห์ข้อมูล) ครอบคลุมตั้งแต่ TS Demuxer ไปจนถึง VP9 Decoder
- การออกรหัสภัยคุกคาม: ปัจจุบันได้รับรหัส CVE อย่างเป็นทางการแล้ว 9 รายการ (ได้แก่ CVE-2026-39210 ถึง CVE-2026-39218) ส่วนช่องโหว่ที่เหลือได้รับการอุดรอยรั่วแล้ว แต่อยู่ระหว่างการจัดสรรหมายเลข
นอกจากนี้ เทรนด์การใช้ AI ล่าบั๊กใน FFmpeg ไม่ใช่เรื่องใหม่ เพราะเมื่อปีที่ผ่านมา เอเจนต์ Big Sleep ของ Google ก็เคยทิ้งรอยแผลไว้ในโปรเจกต์นี้ภายใต้แท็ก BIGSLEEP รวมถึงโมเดล Mythos ของ Anthropic ก็เคยขุดเจอช่องโหว่ H.264 อายุ 16 ปี โดยใช้ต้นทุนไปราว $10,000 ซึ่ง 3 ช่องโหว่จากกลุ่มนั้นถูกแพตช์ไปแล้วใน FFmpeg 8.1
2. Google ทุบสถิติปล่อย Chrome 149 อุดรูรั่วถึง 429 จุด
ในสัปดาห์เดียวกัน Google ได้ปล่อยอัปเดต Chrome 149 ครั้งใหญ่ที่สุด โดยมีการส่งแพตช์แก้ไขบั๊กความปลอดภัยมากถึง 429 รายการ ทำลายสถิติการอัปเดตครั้งเดียวที่มากที่สุดเป็นประวัติการณ์
- ความรุนแรงสูง: มีช่องโหว่ระดับวิกฤต (Critical) และความรุนแรงสูง (High Severity) รวมกันมากกว่า 100 จุด โดยส่วนใหญ่เป็นประเภท Use-After-Free และการตรวจสอบข้อมูลนำเข้าที่ไม่เพียงพอ (Insufficient Input Validation)
- ตัวร้ายที่สุดในรุ่น: คือ CVE-2026-10881 (คะแนนความรุนแรง CVSS สูงถึง 9.6) เป็นบั๊กประเภท Out-of-Bounds Read and Write ในเอ็นจินกราฟิก ANGLE ความน่ากลัวคือ มันยอมให้หน้าเว็บที่ถูกออกแบบมาอย่างประสงค์ร้ายสามารถเจาะทะลุระบบ Sandbox ออกมาสั่งรันโค้ดอันตรายบนเครื่องของเหยื่อได้โดยตรง ซึ่ง Google ยอมควักกระเป๋าจ่ายเงินรางวัล (Bug Bounty) สูงถึง $97,000 ให้กับผู้ค้นพบ
- เบื้องหลังสถิติถล่มทลาย: แม้ Google จะไม่ได้ระบุว่าบั๊กทั้ง 429 ตัวนี้มาจาก AI โดยตรง (และจริง ๆ แล้วบั๊กรุนแรงส่วนใหญ่เป็นการเจอภายในองค์กร โดยบั๊กระดับ High 90 ตัว มีเพียง 10 ตัวที่มาจากคนนอก และบั๊กระดับ Critical 22 ตัว เป็นของทีม Google เองถึง 19 ตัว) แต่ตัวเลขที่พุ่งทะยานนี้มีผลสืบเนื่องมาจาก AI อย่างปฏิเสธไม่ได้
ย้อนกลับไปเมื่อเดือนเมษายน Google จำเป็นต้อง ยกเครื่องระบบรับแจ้งช่องโหว่ (Bounty Program) ใหม่ทั้งหมด เนื่องจากเจอมรสุมรายงานที่สร้างโดย AI ถาโถมเข้ามาอย่างมหาศาล ปัจจุบัน Google จึงปรับกฎใหม่ โดยไม่เน้นรายงานพรรณนายาวเหยียดที่ AI ชอบเขียน แต่หันมาเรียกรับ "ตัวทดสอบเพื่อทำซ้ำบั๊กที่กระชับและใช้งานได้จริง" (Concise Reproducer) แทน
กระแสการใช้ AI ล่าช่องโหว่ลามไปทุกหย่อมหญ้า ล่าสุดเครื่องมืออัตโนมัติอีกตัวเพิ่งค้นพบช่องโหว่ประเภท Authenticated RCE (การรันโค้ดระยะไกลแบบต้องยืนยันตัวตน) ใน Redis ซึ่งเป็นระบบฐานข้อมูลยอดนิยม โดยบั๊กนี้ซ่อนตัวเงียบเชียบมาตั้งแต่เวอร์ชัน 7.2.0 นานกว่าสองปีสอดคล้องกับผลการศึกษาเมื่อเดือนกุมภาพันธ์ที่ชี้ชัดว่า เอไอเอเจนต์สามารถสร้างโค้ด PoC เพื่อโจมตีช่องโหว่ประเภท N-day ใน Linux Kernel ได้สำเร็จมากกว่าครึ่งหนึ่งจากโจทย์ทั้งหมด
100 ตัว ซึ่งเป็นสถิติที่เอาชนะกระบวนการทดสอบหาช่องโหว่แบบดั้งเดิมอย่าง Fuzzing ได้อย่างขาดลอย
คำแนะนำในการรับมือและแนวทางปฏิบัติ
เมื่อความเร็วในการค้นพบเพิ่มขึ้น มาตรการตั้งรับของมนุษย์ก็ต้องเปลี่ยนตาม
สำหรับผู้ดูแลระบบและนักพัฒนา (FFmpeg)
- อัปเดตด่วน: ให้ดึงซอร์สโค้ดเวอร์ชันแก้ไขล่าสุด หรือกดอัปเดตแพตช์ความปลอดภัยจาก Linux Distribution ที่ใช้งานอยู่ทันที
- จัดลำดับความสำคัญ: ให้ความสำคัญสูงสุดกับระบบใดก็ตามที่มีการรับหรือประมวลผลข้อมูล RTSP หรือ AV1-over-RTP จากแหล่งที่ไม่น่าเชื่อถือ
- ตรวจสอบเชิงลึก: อย่าตรวจสอบแค่แพ็กเกจหลักของระบบหลัก เพราะ FFmpeg มักถูกนำไปฝัง (Embed) อยู่ใน Media Pipelines, Python Wheels, Container Images และอุปกรณ์ฮาร์ดแวร์สำเร็จรูป (Appliances) ต่าง ๆ สำเนาที่ถูกฝังเหล่านี้จำเป็นต้องได้รับการอัปเกรดทั้งหมด
สำหรับผู้ใช้งานทั่วไป (Google Chrome)
- ตรวจสอบเวอร์ชัน: อัปเดตเบราว์เซอร์ให้เป็นเวอร์ชันขั้นต่ำ ดังนี้
> Linux: 149.0.7827.53
> Windows & macOS: 149.0.7827.53/54
- หรือเข้าไปที่เมนู Help > About Google Chrome เพื่อตรวจสอบให้แน่ใจว่าระบบได้ทำการอัปเดตอัตโนมัติ (Auto-update) เสร็จสิ้นแล้ว
นึกถึงเรื่องความปลอดภัยทางไซเบอร์ ไว้ใจ BAYCOMS
Your Trusted Cybersecurity Partner
ติดต่อสอบถามหรือปรึกษาเราได้ที่ :
Bay Computing Public Co., Ltd
Tel: 02-115-9956
Email: info@baycoms.com
Website: www.baycoms.com
#BAYCOMS #YourTrustedCybersecurityPartner #Cybersecurity
#Zerodays #Depthfirst #FFmpeg #Google Chrome
โฆษณา
- ดาวน์โหลดแอปพลิเคชัน
- © 2026 Blockdit
