ช่องโหว่ Zero-Day CVE-2025-43300

Apple ได้ออกอัปเดตความปลอดภัยที่สำคัญเพื่อแก้ไขช่องโหว่ Zero-day ความเสี่ยงสูงที่ติดตามได้ภายใต้ชื่อ CVE-2025-43300 ช่องโหว่ที่พบในเฟรมเวิร์ก ImageIO นี้ได้รับการยืนยันแล้วว่าถูกนำไปใช้ประโยชน์อย่างแพร่หลาย ก่อให้เกิดภัยคุกคามร้ายแรงต่อผู้ใช้ iOS, iPadOS และ macOS

ช่องโหว่ทำงานอย่างไร

CVE-2025-43300 ถูกจัดประเภทเป็นช่องโหว่การเขียนข้อมูลนอกขอบเขต ปัญหานี้เกิดขึ้นเมื่อ ImageIO ประมวลผลรูปภาพที่สร้างขึ้นอย่างมีเจตนาร้าย ซึ่งนำไปสู่ความเสียหายของหน่วยความจำ ช่องโหว่ประเภทนี้ทำให้ผู้โจมตีสามารถจัดการหน่วยความจำระบบในลักษณะที่ไม่ปลอดภัย ซึ่งอาจทำให้สามารถรันโค้ดจากระยะไกลหรือเข้าถึงข้อมูลสำคัญได้

Apple ยอมรับว่าช่องโหว่ดังกล่าวเป็นส่วนหนึ่งของการโจมตีที่ "ซับซ้อนอย่างยิ่ง" ต่อบุคคลเป้าหมาย โดยเน้นถึงการใช้ช่องโหว่ดังกล่าวในแคมเปญการแสวงหาประโยชน์ขั้นสูง

ใครบ้างที่มีความเสี่ยง?

ข้อบกพร่องนี้ส่งผลกระทบต่ออุปกรณ์ Apple หลากหลายรุ่น รวมถึง iPhone, iPad และ Mac รุ่นใหม่ๆ แม้ว่า Apple จะยังไม่ได้เปิดเผยว่าผู้โจมตีคือใคร หรือเป้าหมายเป็นใคร แต่การโจมตีนี้บ่งชี้ว่าผู้ก่อภัยคุกคามที่มีทรัพยากรมาก ซึ่งอาจเป็นกลุ่มที่ได้รับการสนับสนุนจากรัฐบาล อยู่เบื้องหลังการโจมตีครั้งนี้

มีเวอร์ชันที่แก้ไขแล้ว

Apple ได้แก้ไข CVE-2025-43300 ด้วยการปรับปรุงการตรวจสอบขอบเขตและเผยแพร่การอัปเดตทั่วทั้งระบบที่รองรับ ขอแนะนำให้ผู้ใช้อัปเกรดเป็นเวอร์ชันต่อไปนี้:

• iOS 18.6.2 และ iPadOS 18.6.2 – iPhone XS ขึ้นไป, iPad Pro (13 นิ้ว, 12.9 นิ้ว รุ่นที่ 3+, 11 นิ้ว รุ่นที่ 1+), iPad Air รุ่นที่ 3+, iPad รุ่นที่ 7+, iPad mini รุ่นที่ 5+
• iPadOS 17.7.10 – iPad Pro 12.9 นิ้ว รุ่นที่ 2, iPad Pro 10.5 นิ้ว, iPad รุ่นที่ 6
• macOS Ventura 13.7.8 – อุปกรณ์ที่ใช้งาน Ventura
• macOS Sonoma 14.7.8 – อุปกรณ์ที่ใช้งาน Sonoma
• macOS Sequoia 15.6.1 – อุปกรณ์ที่ใช้งาน Sequoia

รายชื่อ Zero-Days ที่ถูกใช้ประโยชน์เพิ่มมากขึ้น

CVE-2025-43300 ไม่ใช่เหตุการณ์ที่เกิดขึ้นเพียงครั้งเดียว นับตั้งแต่ต้นปี Apple ได้แก้ไขช่องโหว่ Zero-Day ที่ถูกโจมตีไปแล้ว 7 รายการ:

• CVE-2025-24085
• CVE-2025-24200
• CVE-2025-24201

นอกจากนี้ Apple ยังได้แก้ไขข้อบกพร่องของ Safari (CVE-2025-6558) ซึ่งเชื่อมโยงกับส่วนประกอบโอเพ่นซอร์ส ซึ่งเคยถูกนำไปใช้ในทางที่ผิดในรูปแบบ zero-day ใน Google Chrome มาก่อน

เหตุใดช่องโหว่เหล่านี้จึงมีความสำคัญ

การโจมตีแบบ Zero-day เป็นหนึ่งในภัยคุกคามที่อันตรายที่สุดด้านความมั่นคงปลอดภัยไซเบอร์ เนื่องจากผู้โจมตีใช้ประโยชน์จากช่องโหว่นี้ก่อนที่จะมีการเผยแพร่แพตช์ต่อสาธารณะ เมื่อช่องโหว่อย่าง CVE-2025-43300 เชื่อมโยงกับแคมเปญจารกรรมแบบเจาะจงเป้าหมาย ช่องโหว่เหล่านี้ไม่เพียงแต่ก่อให้เกิดความเสี่ยงต่อบุคคลทั่วไปเท่านั้น แต่ยังรวมถึงองค์กร รัฐบาล และโครงสร้างพื้นฐานที่สำคัญอีกด้วย

การได้รับการปกป้อง

ผู้ใช้ควรจะ:

• อัปเดตเป็นเวอร์ชันแพตช์ล่าสุดทันที
• หลีกเลี่ยงการเปิดไฟล์ภาพหรือเนื้อหาที่ไม่ได้ร้องขอจากแหล่งที่ไม่รู้จัก
• เปิดใช้งานการอัปเดตอัตโนมัติเพื่อลดช่องทางการเปิดรับภัยคุกคามแบบ Zero-day

การระบุ CVE-2025-43300 อย่างรวดเร็วทำให้ Apple ช่วยลดพื้นที่การโจมตีได้ แต่การมีอยู่ของช่องโหว่ดังกล่าวเป็นการเตือนใจว่าศัตรูที่คอยกัดกร่อนและซับซ้อนมักจะมองหาจุดเข้าใหม่ ๆ อยู่เสมอ