Google Project Zero เปิดเผยช่องโหว่ใน WhatsApp สำหรับ Android ที่อนุญาตให้ดาวน์โหลดไฟล์ที่เป็นอันตรายโดยอัตโนมัติโดยไม่ต้องโต้ตอบกับผู้ใช้ ข้อบกพร่องนี้ใช้ประโยชน์จากกลไกของกลุ่ม ทำให้ผู้โจมตีสามารถเพิ่มเหยื่อและผู้ติดต่อที่รู้จักเพื่อส่งเนื้อหาที่เป็นอันตราย ปัญหาได้รับการรายงานไปยัง Meta เมื่อวันที่ 1 กันยายน 2025 และเปิดเผยต่อสาธารณะหลังจากผ่านไป 90 วันโดยไม่มีการแก้ไขอย่างสมบูรณ์
การละเมิดจะส่งผลต่อแอปพลิเคชันเวอร์ชัน Android โดยเฉพาะ เนื่องจากแพลตฟอร์มอื่น ๆ จะไม่แสดงพฤติกรรมเดียวกัน ผู้ใช้สามารถป้องกันตนเองด้วยการเปิดใช้งานความเป็นส่วนตัวและการตั้งค่าการดาวน์โหลด Meta ดำเนินการแก้ไขเซิร์ฟเวอร์บางส่วนในเดือนธันวาคม 2568 แต่การแก้ไขแบบเต็มยังอยู่ในการพัฒนา
- การเปิดใช้งานความเป็นส่วนตัวที่ได้รับการปรับปรุงในกลุ่มจะช่วยลดความเสี่ยงที่สำคัญ
- การปิดใช้งานการดาวน์โหลดสื่ออัตโนมัติจะช่วยป้องกันการดำเนินการไฟล์โดยไม่ได้ตั้งใจ
- การอัปเดตแอปเป็นประจำจะช่วยบรรเทาภัยคุกคามที่ทราบ
ช่องโหว่นี้เน้นย้ำถึงความสำคัญของการตั้งค่าความปลอดภัยในแอปพลิเคชันการรับส่งข้อความที่ใช้กันอย่างแพร่หลาย
รายละเอียดของช่องโหว่ที่ระบุ
ข้อบกพร่องดังกล่าวทำให้ผู้โจมตีสามารถสร้างกลุ่มบน WhatsApp และเพิ่มเหยื่อพร้อมกับผู้ติดต่อของพวกเขาได้ จากนั้นผู้ติดต่อจะได้รับการเลื่อนระดับเป็นผู้ดูแลระบบ ซึ่งอนุญาตให้ส่งสื่อที่ดาวน์โหลดไปยังอุปกรณ์ของเหยื่อโดยอัตโนมัติ เนื้อหานี้ส่งตรงไปยังฐานข้อมูล MediaStore ของ Android
การหาประโยชน์ขึ้นอยู่กับไฟล์ที่เป็นอันตรายซึ่งสามารถหลบหนีจากสภาพแวดล้อม MediaStore ที่ถูกจำกัดได้ หากสำเร็จ ก็สามารถดำเนินการที่เป็นอันตรายได้โดยที่ผู้ใช้ไม่ต้องคลิกหรือโต้ตอบ การแสวงหาผลประโยชน์ต้องอาศัยความรู้เกี่ยวกับหมายเลขโทรศัพท์ที่เกี่ยวข้อง ซึ่งจำกัดการโจมตีจำนวนมาก แต่ก็ไม่ได้ทำให้เป็นไปไม่ได้
กลไกการโจมตีเป็นกลุ่ม
การบายพาสเกิดขึ้นเนื่องจาก WhatsApp ปฏิบัติต่อข้อความจากผู้ดูแลระบบในกลุ่มที่แตกต่างกัน เมื่อผู้ติดต่อที่รู้จักกลายเป็นผู้ดูแลระบบ การป้องกันการดาวน์โหลดอัตโนมัติจากผู้ติดต่อที่ไม่ใช่ผู้ติดต่อจะถูกข้ามไป ซึ่งจะสร้างหน้าต่างสำหรับส่งไฟล์ที่เป็นอันตราย
ไฟล์ที่เป็นอันตรายจำเป็นต้องมีความซับซ้อนจึงจะสามารถใช้ประโยชน์จาก MediaStore และเข้าถึงส่วนอื่นๆ ของระบบได้ ช่องโหว่ดังกล่าวไม่ส่งผลกระทบต่อเวอร์ชันของ WhatsApp บน iOS, Windows หรือ macOS ซึ่งมีตรรกะการจัดการสื่อที่แตกต่างกัน การมุ่งเน้นเฉพาะบน Android เกิดขึ้นจากลักษณะเฉพาะของระบบปฏิบัติการ
มาตรการป้องกันที่มีอยู่
ผู้ใช้ WhatsApp บน Android สามารถเปิดใช้งานความเป็นส่วนตัวที่ได้รับการปรับปรุงในการสนทนากลุ่ม ในการดำเนินการนี้ พวกเขาเข้าถึงข้อมูลของกลุ่มและเปิดใช้งานตัวเลือกที่เกี่ยวข้อง ซึ่งจะบล็อกการดาวน์โหลดอัตโนมัติที่น่าสงสัย การตั้งค่านี้มีอยู่ในแอปพลิเคชันเวอร์ชันล่าสุด
คำแนะนำอีกประการหนึ่งคือปิดการใช้งานการดาวน์โหลดสื่ออัตโนมัติในการตั้งค่าที่เก็บข้อมูลและการตั้งค่าข้อมูล เมื่อปิดตัวเลือกนี้ ไฟล์จะถูกดาวน์โหลดด้วยตนเองเท่านั้น ซึ่งจะช่วยลดความเสี่ยงจากการดำเนินการโดยไม่ได้ตั้งใจ การกระทำง่ายๆ เหล่านี้ช่วยเพิ่มความปลอดภัยในชีวิตประจำวันได้อย่างมาก
การแก้ไขที่ดำเนินการโดย Meta
Meta ได้รับรายงาน Google Project Zero ส่วนตัวในเดือนกันยายน 2025 กำหนดเวลามาตรฐาน 90 วันสิ้นสุดในวันที่ 30 พฤศจิกายนโดยไม่มีการแก้ไขทั้งหมด ซึ่งนำไปสู่การเปิดเผยต่อสาธารณะ มีการนำการอัปเดตฝั่งเซิร์ฟเวอร์บางส่วนไปใช้ในวันที่ 4 ธันวาคม
การแก้ไขแบบเต็มยังคงอยู่ในการพัฒนา ตามที่ระบุไว้ในบันทึกของ Project Zero ไม่มีการอัพเดตเพิ่มเติมสำหรับตั๋วอย่างเป็นทางการ ซึ่งชี้ให้เห็นว่าช่องโหว่ยังคงสามารถใช้งานได้ในสถานการณ์เฉพาะ บริษัทยังคงดำเนินการเพื่อหาแนวทางแก้ไขขั้นสุดท้ายต่อไป
การตั้งค่าที่แนะนำทีละขั้นตอน
ผู้ใช้จะต้องเข้าถึงการตั้งค่า WhatsApp และไปที่ส่วนการจัดเก็บและข้อมูล โดยจะปิดการดาวน์โหลดรูปภาพ เสียง วิดีโอ และเอกสารโดยอัตโนมัติบนเครือข่ายมือถือและ Wi-Fi การเปลี่ยนแปลงนี้ป้องกันการดาวน์โหลดเนื้อหาจากแหล่งที่ไม่น่าเชื่อถือ
ในกลุ่มที่มีอยู่ การเปิดใช้งานความเป็นส่วนตัวที่ได้รับการปรับปรุงจะเสริมความแข็งแกร่งให้กับอุปสรรคต่อผู้ดูแลระบบที่เป็นอันตราย ตัวเลือกจะปรากฏในเมนูข้อมูลกลุ่ม เมื่อแตะจุดสามจุด การอัปเดตแอปพลิเคชันทำให้มั่นใจได้ว่าคุณจะได้รับแพตช์ในอนาคต
การรวมกันของมาตรการเหล่านี้จะสร้างชั้นการป้องกันที่มีประสิทธิภาพต่อประเภทของการแสวงหาผลประโยชน์ที่อธิบายไว้ ผู้ใช้จำนวนมากไม่ทราบถึงคุณสมบัติเหล่านี้ ซึ่งเพิ่มการเข้าถึงโดยไม่จำเป็น การตั้งค่าด้วยตนเองช่วยเสริมการป้องกันระบบอัตโนมัติ
บริบทของทีม Project Zero
Google Project Zero รวบรวมนักวิจัยที่อุทิศตนเพื่อระบุข้อบกพร่องร้ายแรงในซอฟต์แวร์ที่ใช้กันอย่างแพร่หลาย ทีมงานปฏิบัติตามนโยบายการเปิดเผยข้อมูลภายใน 90 วัน โดยสนับสนุนให้มีการแก้ไขอย่างรวดเร็วจากนักพัฒนา รายงานสาธารณะช่วยให้ชุมชนความปลอดภัยเข้าใจภัยคุกคามที่เกิดขึ้นใหม่
กรณีเช่นนี้แสดงให้เห็นถึงผลกระทบของบทวิจารณ์อิสระบนแพลตฟอร์มขนาดใหญ่ งานของ Project Zero ได้นำไปสู่การปรับปรุงระบบปฏิบัติการและแอพพลิเคชั่นหลายอย่างแล้ว แนวทางที่โปร่งใสมีส่วนช่วยยกระดับมาตรฐานความปลอดภัยในอุตสาหกรรม
MediaStore ทำงานอย่างไรบน Android
MediaStore จัดการไฟล์มีเดียบนระบบ Android โดยทำหน้าที่เป็นตัวกลางระหว่างแอพพลิเคชั่นและพื้นที่เก็บข้อมูล เมื่อ WhatsApp ดาวน์โหลดเนื้อหา มันจะผ่านองค์ประกอบนี้ก่อนที่ผู้ใช้จะสามารถเข้าถึงได้ การใช้ประโยชน์ที่หลบหนีจากสภาพแวดล้อมนี้สามารถเข้าถึงพื้นที่ที่มีความละเอียดอ่อนมากขึ้นของอุปกรณ์ได้
นักพัฒนาสร้างไฟล์ที่เป็นอันตรายโดยใช้ประโยชน์จากตัวแยกวิเคราะห์รูปภาพหรือวิดีโอภายใน MediaStore ช่องโหว่นี้ขยายความเสี่ยงนี้ด้วยการอนุญาตให้ดาวน์โหลดแบบไม่ต้องโต้ตอบในบริบทเฉพาะของกลุ่ม การอัปเดต Android ยังส่งผลต่อประสิทธิภาพของการป้องกันเหล่านี้เมื่อเวลาผ่านไป
การโต้ตอบระหว่างแอปพลิเคชันการรับส่งข้อความและส่วนประกอบระบบปฏิบัติการดั้งเดิมทำให้เกิดจุดอ่อน ผู้ผลิตและนักพัฒนาร่วมมือกันเพื่อเสริมสร้างอุปสรรคเหล่านี้ ผู้ใช้จะได้รับประโยชน์ทางอ้อมจากการแก้ไขที่ใช้ในหลายเลเยอร์
ข้อจำกัดในทางปฏิบัติที่ทราบกันดีของการสำรวจ
แม้ว่าจะร้ายแรง แต่การโจมตีต้องการให้ผู้โจมตีทราบหมายเลขโทรศัพท์ของเหยื่อและหมายเลขติดต่อของเหยื่อ การได้รับข้อมูลนี้สามารถเข้าถึงได้มากขึ้นเมื่อมีข้อมูลรั่วไหล แต่ก็ยังถือเป็นอุปสรรค การโจมตีขนาดใหญ่ไม่น่าจะเป็นไปได้เนื่องจากข้อจำกัดเหล่านี้
ความต้องการไฟล์ที่เป็นอันตรายที่มีความซับซ้อนสูงจะช่วยลดจำนวนภัยคุกคามที่สามารถใช้ประโยชน์จากข้อบกพร่องดังกล่าวได้ กลุ่มที่มีอยู่ซึ่งมีผู้ดูแลระบบที่ถูกบุกรุกจะเพิ่มความเสี่ยงในสถานการณ์เฉพาะ ผู้ใช้ที่ให้ความสนใจต่อคำเชิญที่น่าสงสัยจะลดความเสี่ยงให้น้อยที่สุด
บทบาทของการตั้งค่าความเป็นส่วนตัว
ความเป็นส่วนตัวขั้นสูงในกลุ่มป้องกันไม่ให้หมายเลขที่ไม่รู้จักเห็นข้อมูลส่วนบุคคล เมื่อเปิดใช้งานฟังก์ชันนี้ จะเพิ่มเลเยอร์พิเศษเพื่อป้องกันการเพิ่มที่ไม่ได้รับอนุญาต ผู้ใช้จำนวนมากคงการตั้งค่าเริ่มต้นไว้ ทำให้การหาประโยชน์ง่ายขึ้น
WhatsApp มีเครื่องมือเพื่อจำกัดผู้ที่สามารถเพิ่มบุคคลเข้ากลุ่มได้ ตัวเลือกเหล่านี้ปรากฏในการตั้งค่าความเป็นส่วนตัวของแอป การเปิดใช้งานจะช่วยลดความเสี่ยงในการถูกรวมไว้ในการสนทนาที่เป็นอันตรายโดยไม่ได้รับความยินยอมได้อย่างมาก
วิวัฒนาการของการป้องกันในแอป
WhatsApp ได้ค่อยๆ เปิดตัวฟีเจอร์เพื่อต่อสู้กับสแปมและภัยคุกคามเป็นกลุ่ม การอัปเดตล่าสุดได้เพิ่มความแข็งแกร่งให้กับผู้ดูแลระบบและการควบคุมการดาวน์โหลด อย่างไรก็ตาม ช่องโหว่เช่นเดียวกับที่ระบุไว้แสดงให้เห็นว่าการปรับปรุงอย่างต่อเนื่องมีความจำเป็น
Meta ลงทุนในทีมที่อุทิศตนเพื่อความปลอดภัยของแอปพลิเคชัน ความร่วมมือกับนักวิจัยภายนอกช่วยเร่งการระบุและแก้ไขปัญหา ผู้ใช้จะได้รับการปรับปรุงเหล่านี้ผ่านการอัพเดทอัตโนมัติใน App Store
การสร้างสมดุลระหว่างการใช้งานและความปลอดภัยยังคงเป็นความท้าทายอย่างต่อเนื่องสำหรับแพลตฟอร์มการรับส่งข้อความ คุณสมบัติที่อำนวยความสะดวกในการสื่อสารที่รวดเร็วสามารถสร้างเวกเตอร์การโจมตีได้ การปรับเปลี่ยนเป็นประจำจะพยายามบรรเทาข้อเสียเหล่านี้โดยไม่กระทบต่อประสบการณ์
ช่องโหว่ที่ถูกเปิดเผยนี้ตอกย้ำความจำเป็นในการเฝ้าระวังอย่างต่อเนื่องในระบบนิเวศดิจิทัล การกำหนดค่าที่เหมาะสมและการอัพเดตเป็นประจำเป็นการป้องกันที่ดีที่สุดสำหรับผู้ใช้ทั่วไป แพลตฟอร์มเช่น WhatsApp ยังคงพัฒนาต่อไปเพื่อรับมือกับภัยคุกคามที่เกิดขึ้นใหม่