รีบอัปเดตทันที! Apple พบช่องโหว่ WebKit อันตรายระดับ 8.8!

ถ้าคุณใช้งาน iPhone, iPad หรือ Mac อยู่ ตอนนี้มีเหตุผลที่ “ควรรีบอัปเดตทันที” แบบไม่ต้องลังเล เพราะ Apple ออกอัปเดตความปลอดภัยเพื่ออุดช่องโหว่ใน WebKit ซึ่งเป็นเอนจินหลักของ Safari และยังถูกใช้งานกับเบราว์เซอร์อื่น ๆ บน iOS/iPadOS ด้วย โดย Apple ระบุว่าอย่างน้อยหนึ่งช่องโหว่นี้อาจถูกนำไปใช้โจมตีจริงแล้วในโลกจริง และมีความซับซ้อนสูงในกลุ่มเป้าหมายเฉพาะ (targeted attack)

WebKit คืออะไร และทำไมช่องโหว่ถึงน่ากังวล

WebKit คือเอนจินสำหรับเรนเดอร์หน้าเว็บ (rendering engine) ที่อยู่เบื้องหลังการแสดงผลเว็บไซต์บน Safari และในระบบ iOS/iPadOS เอนจินนี้มีความสำคัญมาก เพราะตามสถาปัตยกรรมของแพลตฟอร์ม เบราว์เซอร์หลายค่ายที่อยู่บน iPhone/iPad ก็ต้องพึ่งพา WebKit ในการเรนเดอร์หน้าเว็บเช่นกัน นั่นแปลว่า หาก WebKit มีช่องโหว่ “ผลกระทบจะกว้าง” และโอกาสถูกโจมตีผ่านหน้าเว็บหรือคอนเทนต์ที่ฝังโค้ดอันตรายก็จะเพิ่มขึ้นทันที

สรุปช่องโหว่ที่ Apple อุดในรอบนี้ (ระดับอันตราย 8.8)

จากรายงาน Apple ได้ออกแพตช์เพื่อแก้ไขช่องโหว่ WebKit จำนวน 2 รายการ โดยหนึ่งในนั้นมีคะแนนความรุนแรงระดับสูง (CVSS 8.8) และมีความเสี่ยงต่อการถูกใช้โจมตีผ่าน “เว็บคอนเทนต์ที่ถูกสร้างมาอย่างมุ่งร้าย” กล่าวให้เข้าใจง่ายคือ แค่เปิดหน้าเว็บ/คอนเทนต์ที่ถูกฝัง payload ก็อาจนำไปสู่การโจมตีได้ในบางสถานการณ์

รายการสำคัญที่ถูกกล่าวถึง ได้แก่:

• CVE-2025-14174 (CVSS 8.8) – ปัญหา memory corruption ใน WebKit อาจทำให้เกิดการคอร์รัปชันของหน่วยความจำเมื่อประมวลผลเว็บคอนเทนต์ที่ถูกสร้างมาเพื่อโจมตี
• CVE-2025-43529 – ช่องโหว่แบบ use-after-free ใน WebKit อาจนำไปสู่การรันโค้ดได้เมื่อประมวลผลเว็บคอนเทนต์ที่เป็นอันตราย

ประเด็นที่ควรให้ความสำคัญคือ Apple ระบุว่ารับรู้ว่าช่องโหว่เหล่านี้ “อาจถูกใช้โจมตีแล้ว” และเป็นการโจมตีที่มีความซับซ้อนสูงกับบุคคลเป้าหมายเฉพาะ โดยเฉพาะบน iOS เวอร์ชันก่อน iOS 26

ทำไมองค์กรและผู้ใช้ทั่วไปควรรีบแพตช์

ช่องโหว่ใน WebKit มีลักษณะ “โจมตีผ่านการประมวลผลคอนเทนต์” ซึ่งโดยธรรมชาติแล้วผู้ใช้จำนวนมากอาจไม่รู้ตัวเลยว่ากำลังเข้าเว็บไซต์หรือเปิดคอนเทนต์ที่ถูกทำขึ้นเพื่อโจมตี ยิ่งถ้าเป็นการโจมตีแบบ targeted ที่ออกแบบ payload ให้เหมาะกับเหยื่อ (เช่น กลุ่มผู้บริหาร นักการเมือง นักข่าว หรือผู้มีสิทธิ์เข้าถึงข้อมูลสำคัญ) ความเสี่ยงจะไม่ใช่แค่เรื่องเครื่องค้างหรือแอปล่ม แต่สามารถลุกลามไปถึงการยึดเซสชัน การฝังโค้ด หรือการนำไปต่อยอดสู่การติดตั้งสปายแวร์ได้

สำหรับองค์กร ความเสี่ยงจะยิ่งทวีคูณเมื่อมีอุปกรณ์ Apple จำนวนมากอยู่ในระบบ ทั้งในมุม BYOD และอุปกรณ์ที่ใช้ทำงานจริง เพราะการปล่อยให้เครื่องค้างเวอร์ชันเก่าเท่ากับเปิด “หน้าต่างโอกาส” ให้ผู้โจมตีใช้ช่องโหว่แบบวันศูนย์ (หรือใกล้เคียงวันศูนย์) เจาะเข้ามาแบบเงียบ ๆ

อุปกรณ์/เวอร์ชันที่ควรอัปเดต (เช็กให้ชัดก่อนใช้งานต่อ)

Apple ระบุแพตช์ครอบคลุมหลายแพลตฟอร์ม ไม่ได้มีแค่ iPhone/iPad เท่านั้น แต่รวมถึง macOS, Safari, tvOS, watchOS และ visionOS ด้วย โดยเวอร์ชันอัปเดตที่ถูกกล่าวถึงประกอบด้วย:

• iOS 26.2 / iPadOS 26.2
• iOS 18.7.3 / iPadOS 18.7.3
• macOS Tahoe 26.2
• tvOS 26.2
• watchOS 26.2
• visionOS 26.2
• Safari 26.2 (บน macOS Sonoma และ macOS Sequoia)

คำแนะนำเชิงปฏิบัติ: หากเป็นเครื่ององค์กร ควรกำหนดนโยบาย “อัปเดตภายใน SLA” (เช่น 24–72 ชั่วโมง) สำหรับแพตช์ที่มีสัญญาณถูกใช้โจมตีจริง และตรวจสอบสถานะเวอร์ชันผ่าน MDM/Inventory เพื่อปิดช่องโหว่ให้ครบทั้งฟลีต

วิธีรับมือระยะสั้น หากยังอัปเดตไม่ได้ทันที

แน่นอนว่าบางองค์กรอาจติดข้อจำกัดเรื่องการทดสอบความเข้ากันได้ของแอปหรือการอนุมัติเปลี่ยนแปลง (change management) หากยังไม่สามารถอัปเดตได้ทันที อย่างน้อยควรลดความเสี่ยงในช่วงรอยต่อด้วยการ “ลดการเปิดรับคอนเทนต์เสี่ยง” และเพิ่มการเฝ้าระวัง ได้แก่ จำกัดการเข้าถึงเว็บไซต์ที่ไม่น่าเชื่อถือ, หลีกเลี่ยงการกดลิงก์จากแหล่งที่ไม่ยืนยันตัวตน, และเพิ่มการตรวจจับพฤติกรรมผิดปกติบนอุปกรณ์ (โดยเฉพาะบัญชีผู้ใช้งานระดับสูง)

อย่างไรก็ตาม แนวทางเหล่านี้เป็นเพียงมาตรการชั่วคราว เพราะปลายทางที่ถูกต้องยังคงเป็นการติดตั้งแพตช์อย่างเป็นทางการให้เร็วที่สุด

สรุป: อัปเดตวันนี้ ลดความเสี่ยงพรุ่งนี้

ช่องโหว่ WebKit รอบนี้ไม่ใช่ข่าวที่ควรอ่านผ่านแล้วปล่อยไว้ เพราะเป็นช่องโหว่ระดับสูง (8.8) และมีสัญญาณว่าอาจถูกใช้โจมตีจริงแล้วในรูปแบบที่ซับซ้อน หากคุณเป็นผู้ใช้ทั่วไป การอัปเดตจะช่วยลดความเสี่ยงจากการโจมตีผ่านเว็บคอนเทนต์ที่คุณเจอในชีวิตประจำวัน ส่วนองค์กรควรจัดการแบบเป็นระบบ ทั้งการเร่งแพตช์ การติดตามเวอร์ชัน และการสื่อสารภายใน เพื่อให้ความเสี่ยงถูกปิดได้ “ครบและเร็ว” ไม่ใช่ปิดแค่บางเครื่อง

Reference

Lakshmanan, R. (2025, December 13). Apple issues security updates after two WebKit flaws found exploited in the wild. The Hacker News. https://thehackernews.com/2025/12/apple-issues-security-updates-after-two.html

Apple. (2025). Apple security releases. Apple Support. Retrieved December 14, 2025, from https://support.apple.com/en-us/100100