Apple ปิดช่องโหว่ ImageIO เพื่อหยุดการโจมตีแบบ zero‑click

Apple ปิดช่องโหว่การประมวลผลภาพที่อาจถูกใช้เป็นเวกเตอร์ของซอฟต์แวร์สอดแนมโดยอัพเดตแพทช์สำหรับ iPhone, iPad และ Mac ในวันที่ 17‑8 นี้ การแก้ไขเหล่านี้รวมถึงข้อบกพร่อง CVE‑2026‑65346 ที่ผู้เชี่ยวชาญระบุว่ามีลักษณะเหมาะกับการส่งมอบซอฟต์แวร์สอดแนมแบบ “zero‑click”

Overview

แพตช์ล่าสุดของ Apple ครอบคลุมระบบปฏิบัติการหลายรุ่น ได้แก่ macOS Tahoe, iOS 26.6.1, iPadOS 18.7.10 และ visionOS 26.6.1 การอัปเดตเป็นส่วนหนึ่งของชุดแก้ไขความปลอดภัยขนาดใหญ่ที่ประกาศเมื่อวันที่ 17 สิงหาคม 2026 ซึ่งมุ่งเน้นการปิดช่องโหว่ในเฟรมเวิร์กหลักหลายตัว

• ImageIO (CVE‑2026‑65346) – integer overflow ที่อาจทำให้รันโค้ดโดยไม่ได้รับอนุญาต
• WebKit – จำนวนหลายช่องโหว่ที่เป็นที่รู้จักว่าเป็นเป้าหมายบ่อยของผู้โจมตี
• Telephony (CVE‑2026‑65329) – ช่องโหว่ในส่วนการสื่อสารที่อาจทำให้ดักฟังทราฟิกเครือข่าย

Key Vulnerabilities

ข้อบกพร่องที่โดดเด่นที่สุดคือ CVE‑2026‑65346 ซึ่งอยู่ในเฟรมเวิร์ก ImageIO ของ Apple ที่รับผิดชอบการถอดรหัสไฟล์ภาพ การทำงานของช่องโหว่นี้เป็นแบบ integer overflow ทำให้ผู้โจมตีสามารถเขียนค่าใด ๆ ไปยังหน่วยความจำที่ไม่ได้รับอนุญาตและเรียกใช้โค้ดโดยอัตโนมัติเมื่ออุปกรณ์ประมวลผลภาพที่ถูกปรับแต่งอย่างเจตนา

ช่องโหว่นี้ส่งผลกระทบต่อ macOS Tahoe, iPhone รุ่น 11 ขึ้นไป รวมถึง iPad Pro, iPad Air, iPad และ iPad mini รุ่นที่รองรับ Apple แก้ไขโดยเพิ่มการตรวจสอบค่าข้อมูลเข้าที่เข้มงวดขึ้น ผู้ใช้จึงถูกแนะนำให้อัปเดตเวอร์ชัน iOS 26.6.1 หรือ macOS ที่เกี่ยวข้องทันที

ช่องโหว่อีกหนึ่งรายการสำคัญคือ CVE‑2026‑65329 ในส่วน Telephony ของระบบปฏิบัติการ ซึ่งอาจทำให้ผู้โจมตีที่อยู่ในตำแหน่งเครือข่ายระดับสูงสามารถข้ามการตรวจสอบ IPsec และดักฟังข้อมูลการสื่อสารได้ แม้ว่า Apple จะระบุว่าต้องมีสถานะ privileged network ก่อนถึงจะใช้งานช่องโหว่นี้ได้ แต่ความเสี่ยงต่อองค์กรที่พึ่งพาการเชื่อมต่อแบบ IPSec ยังคงสูง

Technical Details

ในกรณีของ CVE‑2026‑65346 การโจมตีเริ่มต้นด้วยการส่งไฟล์ภาพที่มีค่า integer เกินขอบเขตที่ ImageIO คาดหวัง ระบบจะทำการคำนวณออฟเซ็ตโดยไม่ได้ตรวจสอบอย่างเพียงพอ ส่งผลให้เกิด buffer overflow และผู้โจมตีสามารถฉีด shellcode เข้าไปในหน่วยความจำของกระบวนการแอปพลิเคชันได้

สำหรับ CVE‑2026‑65329 ปัญหาอยู่ที่กลไกการจัดการสถานะของการเชื่อมต่อโทรศัพท์ หากผู้โจมตีสามารถควบคุมสภาพแวดล้อมเครือข่าย (เช่น การทำ man‑in‑the‑middle) ระบบอาจยอมรับข้อมูล authentication ที่ปลอมแปลงได้ ทำให้ IPsec ไม่สามารถตรวจสอบความถูกต้องของแพ็กเกจได้อย่างเต็มที่

Apple ระบุว่าได้ปรับปรุง “input validation” สำหรับ ImageIO และเพิ่มการจัดการสถานะ (state management) ที่แข็งแรงขึ้นสำหรับ Telephony เพื่อลดโอกาสเกิดการบัฟเฟอร์โอเวอร์ฟลอว์และการข้ามการตรวจสอบการยืนยันตัวตน

Historical Context

ช่องโหว่ด้านการประมวลผลภาพไม่ได้เป็นเรื่องใหม่ในวงการความปลอดภัยของ Apple ตัวอย่างที่โดดเด่นคือ FORCEDENTRY ซึ่งใช้ช่องโหว่เดียวกันเพื่อส่งซอฟต์แวร์สอดแนม Pegasus ของ NSO Group ให้กับอุปกรณ์ iOS ผ่านไฟล์ภาพที่แนบมากับข้อความบนแพลตฟอร์มต่าง ๆ

ก่อนหน้านั้นยังมีกรณี Operation Triangulation ซึ่งรัสเซียอ้างว่าเป็นการทำงานของ NSA โดยใช้เทคนิค “zero‑click” ที่ผู้ใช้ไม่ต้องทำอะไรเลยเพื่อให้โค้ดประสงค์ร้ายทำงานบนอุปกรณ์เป้าหมาย การโจมตีเหล่านี้แสดงให้เห็นว่าช่องโหว่ด้าน ImageIO สามารถเป็นเวกเตอร์ที่มีประสิทธิภาพสูงสำหรับการส่งมอบซอฟต์แวร์สอดแนมโดยไม่ต้องได้รับการยืนยันจากผู้ใช้

Impact & Recommendations

นักวิเคราะห์ความปลอดภัยหลายคนชี้ให้เห็นว่าการอัปเดตระบบปฏิบัติการอย่างทันท่วงทีเป็นวิธีแรกที่ควรทำเพื่อปิดช่องโหว่เหล่านี้ Apple ได้แนะนำให้ผู้ใช้ iPhone รุ่น 11 ขึ้นไป, iPad ที่รองรับและ Mac ที่รัน macOS Tahoe ทำการติดตั้งแพช์จาก iOS 26.6.1, iPadOS 18.7.10 หรือ macOS Tahoe เวอร์ชันที่ได้รับการอัปเดต

สำหรับองค์กรที่พึ่งพาการเชื่อมต่อแบบ IPSec ควรตรวจสอบสถานะเครือข่ายอย่างสม่ำเสมอและใช้ระบบตรวจจับการแทรกซึม (IDS) เพื่อระบุกิจกรรมผิดปกติที่อาจบ่งชี้ถึงการโจมตีผ่าน CVE‑2026‑65329 นอกจากนี้ ควรจัดทำนโยบายบังคับให้ทุกอุปกรณ์ในเครือข่ายได้รับการอัปเดตซอฟต์แวร์อย่างสม่ำเสมอเพื่อป้องกันช่องโหว่ที่อาจถูกใช้เป็นเวกเตอร์ใหม่ของซอฟต์แวร์สอดแนม

Summary

Apple ได้แก้ไขช่องโหว่สำคัญใน ImageIO (CVE‑2026‑65346) และ Telephony (CVE‑2026‑65329) ที่เคยถูกใช้เป็นเวกเตอร์ของซอฟต์แวร์สอดแนมแบบ zero‑click ผู้ใช้และองค์กรควรอัปเดตอุปกรณ์ทันทีตามคำแนะนำของ Apple เพื่อปิดช่องโหว่เหล่านี้และลดความเสี่ยงต่อการโจมตีในอนาคต.