สรุปสั้น

โครงการ PHP ประกาศออกแพตช์ความปลอดภัยนอกรอบในวันที่ 21 ตุลาคม 2569 เวลา 14:00 UTC หรือ 21:00 น. ตามเวลาไทย เพื่อแก้ช่องโหว่วิกฤต 2 รายการที่ทีมความปลอดภัยของ PHP ให้คะแนน 9.2 ตาม CVSS v4.0 แต่ยังไม่เปิดเผยรายละเอียด นักวิจัยของบริษัท watchTowr ระบุว่าทั้งสองช่องโหว่ทำให้รันโค้ดจากระยะไกล (RCE) ได้ และนักวิจัยเริ่มเรียกคู่ช่องโหว่นี้ว่า PHP2Shell ซึ่งเป็นชื่อที่นักวิจัยตั้งเอง ไม่ใช่ชื่อทางการของ PHP ประกาศนี้ออกมาเร็วกว่าแผนเดิมหนึ่งวัน หลังข้อมูลการมีอยู่ของช่องโหว่หลุดออกมาก่อนกำหนดเปิดเผย

แพตช์จะออกเฉพาะ 4 สายเวอร์ชันที่ยังได้รับการสนับสนุน คือ PHP 8.2 ถึง 8.5 ส่วน 8.1, 8.0, 7.x และ 5.x หมดอายุแล้วและจะไม่ได้รับแพตช์จาก PHP หากช่องโหว่กระทบสายเหล่านั้นด้วย เครื่องที่ยังใช้อยู่จะไม่มีแพตช์จากผู้พัฒนาเลย บริษัท Mallory นับโฮสต์บนอินเทอร์เน็ตที่แสดงเวอร์ชัน PHP 8.1 หรือเก่ากว่าใน Shodan ได้ราว 884,000 เครื่อง ณ เวลาที่ข่าวเผยแพร่ยังไม่มีรายงานการโจมตีจริง ไม่มีโค้ดโจมตีสาธารณะ และ PHP ยังไม่ได้ออกแพตช์หรือวิธีบรรเทาชั่วคราวใด ๆ

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 21 ตุลาคม 2569 ว่า เรื่องนี้เริ่มจากโพสต์บน Hacker News เมื่อ 20 ตุลาคม ที่อ้างว่ามีช่องโหว่ RCE ใน PHP 2 รายการ คะแนน CVSS 10.0 กระทบตั้งแต่ PHP 5 ขึ้นไป และจะเปิดเผยในวันพฤหัสบดีที่ 22 ตุลาคม ผู้โพสต์ยอมรับเองว่า “ไม่มีหลักฐานอะไรนอกจาก ‘เชื่อผมเถอะ’” จากนั้น watchTowr โพสต์บน X ยืนยันว่าข้อมูลที่หลุดเป็นของจริง ช่องโหว่อยู่ระหว่าง embargo และทุกฝ่ายควรรอถึงวันพฤหัสบดี

PHP ออกประกาศในเย็นวันเดียวกันเวลา 19:33 UTC โดยกำหนดวันออกแพตช์เป็นวันพุธ เร็วกว่าวันที่ watchTowr ระบุหนึ่งวัน และระบุว่าอาจออกเร็วกว่านั้นอีก “หากรายละเอียดของช่องโหว่ใดถูกเปิดเผยต่อสาธารณะ หรือมีหลักฐานการโจมตีจริง” ข้อมูลที่หลุดมีเพียงการมีอยู่ของช่องโหว่ คะแนน วันที่ และหมายเลข CVE ไม่มีรายละเอียดว่าช่องโหว่ทำงานอย่างไร คะแนน 10.0 เป็นตัวเลขจากโพสต์ที่หลุด ส่วนคะแนนทางการของ PHP คือ 9.2

หมายเลข CVE-2026-109618 และ CVE-2026-109619 ที่นักวิจัยใช้เรียกก็มาจากโพสต์ที่หลุดเช่นกัน ประกาศของ PHP ไม่ได้ระบุหมายเลขทั้งสอง ข้ออ้างว่ากระทบทุกเวอร์ชันตั้งแต่ PHP 5 ก็ยังไม่ได้รับการยืนยัน FAQ ของ watchTowr เองระบุว่าขอบเขตนี้ “ยังไม่ได้รับการยืนยันจากประกาศทางการของผู้พัฒนา” และยังไม่มีข้อมูลว่าต้องใช้การตั้งค่าหรือฟีเจอร์ใดเป็นเงื่อนไข PHP ระบุว่า “รายละเอียดทั้งหมด เวอร์ชันที่ได้รับผลกระทบ และเวอร์ชันที่แก้ไข จะเผยแพร่พร้อมแพตช์” ข้อมูลในข่าวนี้จึงเป็นสถานะก่อนแพตช์ออก

รายละเอียดช่องโหว่

ข้อเท็จจริงที่ยืนยันได้ก่อนแพตช์ออกมีเพียง 3 ข้อ คือมีช่องโหว่ 2 รายการ คะแนน CVSS v4.0 9.2 และเป็นช่องโหว่ RCE ตามที่ watchTowr ระบุ ส่วนคำถามสำคัญอย่างช่องโหว่อยู่ในส่วนใดของ PHP ต้องรัน PHP ในโหมดใด (เช่น CGI, FPM หรือ mod_php) ต้องตั้งค่าเฉพาะหรือต้องล็อกอินก่อนหรือไม่ ยังไม่มีคำตอบ

ก่อนแพตช์ออก ผู้ติดตามหลายรายรวมถึงระบบติดตามของ Alpine Linux และนาย Kevin Beaumont นักวิจัยความปลอดภัย คาดว่าแพตช์จะออกเป็นเวอร์ชันถัดไปของแต่ละสาย แต่ PHP ยังไม่ยืนยันเลขเวอร์ชัน

สายเวอร์ชันรุ่นล่าสุด (24 ก.ย.)รุ่นที่คาดว่าจะแก้สถานะการสนับสนุน
8.58.5.118.5.12Active support ถึง 31 ธ.ค. 2570
8.48.4.268.4.27Active support ถึง 31 ธ.ค. 2569
8.38.3.358.3.36Security fixes only ถึง 31 ธ.ค. 2570
8.28.2.348.2.35Security fixes only ถึง 31 ธ.ค. 2569
8.1 และเก่ากว่า—ไม่มีแพตช์หมดอายุ (end of life)

เพื่อเปรียบเทียบ เมื่อ CVE-2024-4577 ช่องโหว่ PHP ในโหมด CGI บน Windows ถูกเปิดเผยเมื่อมิถุนายน 2567 บริษัท Akamai พบความพยายามโจมตีเซิร์ฟเวอร์ honeypot ภายใน 24 ชั่วโมง ช่วงเวลาหลังแพตช์ออกจึงเป็นช่วงที่ผู้โจมตีจะเริ่มเทียบโค้ดหาจุดที่แก้ (patch diffing) เพื่อสร้างโค้ดโจมตี

อัปเดต 23 ต.ค. 2569: แพตช์ออกแล้ว รัฐบาลไทยสั่ง อว. และ สกมช. เร่งรับมือ

หนังสือพิมพ์กรุงเทพธุรกิจรายงานเมื่อวันที่ 22 ตุลาคม 2569 ว่าผู้พัฒนา PHP ออกแพตช์แล้วเมื่อ 21 ตุลาคม ได้แก่ PHP 8.5.12, 8.4.27, 8.3.36 และ 8.2.35 ตรงกับเลขเวอร์ชันที่คาดการณ์ไว้ในตารางด้านบน ส่วนเวอร์ชัน 8.1 ลงไปไม่ได้รับการสนับสนุนจากทีมหลักแล้ว ช่องโหว่ทั้งสองยังถูกอ้างถึงด้วยหมายเลข CVE-2026-109618 และ CVE-2026-109619 คะแนน 9.2

ในวันเดียวกัน ศ.ดร.ยศชนัน วงศ์สวัสดิ์ รองนายกรัฐมนตรีและรัฐมนตรีว่าการกระทรวงการอุดมศึกษา วิทยาศาสตร์ วิจัยและนวัตกรรม (อว.) โพสต์ผ่านโซเชียลมีเดียว่าได้รับการแจ้งเตือนจาก OpenAI ซึ่งทีมวิจัยตรวจพบช่องโหว่ใน PHP และสั่งการให้หน่วยงานในสังกัด อว. ตรวจสอบและอัปเกรดระบบทั้งหมดในความดูแล พร้อมประสานกระทรวงอื่นให้ดำเนินการเช่นเดียวกัน โดยเน้นมหาวิทยาลัย โรงพยาบาล และโรงเรียนแพทย์ เป็นกลุ่มที่ต้องเร่งตรวจสอบ แนวทางมี 3 ขั้น คือ (1) ให้ทีมไอทีตรวจเว็บไซต์และระบบงานทั้งหมดที่ใช้ PHP โดยเริ่มจากระบบข้อมูลผู้ป่วยและฐานข้อมูลนักศึกษา (2) ระหว่างรออัปเกรด ให้เปิดใช้ระบบป้องกันเสริม เช่น Web Application Firewall (WAF) บนเครือข่ายหรือคลาวด์ และเฝ้าระวังการเข้าใช้งานผิดปกติ และ (3) ทดสอบและอัปเกรด PHP เป็นเวอร์ชันที่แก้ไขแล้วโดยเร็วที่สุด เพราะมาตรการเสริมช่วยได้เพียงชั่วคราว นายยศชนันระบุว่าประชาชนยังไม่ต้องตื่นตระหนก และต้องการ “ปิดความเสี่ยงทั้งหมดก่อนที่ผู้ไม่หวังดีจะเริ่มลงมือ”

ด้าน สกมช. หนังสือพิมพ์สยามรัฐรายงานเมื่อวันที่ 22 ตุลาคม 2569 ว่านายภราดร ปริศนานันทกุล รัฐมนตรีประจำสำนักนายกรัฐมนตรี ผู้กำกับดูแลสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) สั่งการให้รับมือด่วน โดย ThaiCERT ออกประกาศแจ้งเตือนระดับประเทศตั้งแต่ช่วงเช้าวันที่ 22 ตุลาคม และส่งข้อมูลพร้อมคำแนะนำไปยังหน่วยงานภาครัฐ หน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (CII) และเครือข่าย Sectoral CERT ทั่วประเทศ สกมช. วางการดำเนินการไว้ 4 ด้าน คือ แจ้งเตือนและประสานงาน สำรวจและประเมินความเสี่ยงของระบบที่เปิดให้บริการผ่านอินเทอร์เน็ตรวมถึงบริการสาธารณะ เฝ้าระวังและตรวจจับการโจมตี และติดตามผลการแพตช์กับเหตุผิดปกติเพื่อรายงานผู้บริหาร หน่วยงานที่พบเหตุแจ้ง ThaiCERT ได้ที่โทร. 02-114-3531 (24 ชั่วโมง) หรืออีเมล thaicert@ncsa.or.th

ข่าวทั้งหมดยังไม่ได้ระบุจำนวนระบบของหน่วยงานไทยที่ได้รับผลกระทบ ไม่ได้ระบุว่ามีระบบใดถูกโจมตีแล้ว และไม่ได้กำหนดเส้นตายการอัปเกรด

ผลกระทบ

PHP อยู่เบื้องหลังเว็บไซต์จำนวนมหาศาล ทั้ง WordPress, Drupal, Joomla, Magento แพลตฟอร์มโฮสติ้งแบบแชร์ แผงควบคุมอย่าง cPanel และ Plesk รวมถึงซอฟต์แวร์และอุปกรณ์จำนวนมากที่ไม่ได้บอกว่ารัน PHP อยู่ข้างใน บริษัท Huntress ชี้ว่าเมื่อช่องโหว่วิกฤตอยู่ใน PHP เอง ไม่ใช่ในแอปพลิเคชันที่สร้างบน PHP จุดที่ต้องไล่ตรวจจะเพิ่มขึ้นอย่างรวดเร็ว หากช่องโหว่ใช้งานได้โดยไม่ต้องตั้งค่าพิเศษ เว็บเซิร์ฟเวอร์ที่เปิดสู่อินเทอร์เน็ตจะถูกยึดได้ทันทีที่มีโค้ดโจมตี

กลุ่มที่เสี่ยงที่สุดคือระบบที่ยังใช้ PHP สายที่หมดอายุ Mallory นับได้ราว 884,000 โฮสต์ที่แสดงเวอร์ชัน 8.1 หรือเก่ากว่า คิดเป็น 59% ของโฮสต์ราว 1.5 ล้านเครื่องที่แสดงเวอร์ชันใน Shodan เมื่อ 20 ตุลาคม และอีก 740,000 โฮสต์ที่แสดงว่าใช้ PHP แต่ไม่บอกเวอร์ชัน ตัวเลขนี้นับจาก banner ไม่ใช่ระบบที่ยืนยันว่าได้รับผลกระทบ แต่บอกได้ว่าระบบจำนวนมากอาจไม่มีแพตช์จาก PHP ให้ใช้ และต้องพึ่งแพ็กเกจ backport จากดิสทริบิวชัน Linux หรือผู้ให้บริการโฮสติ้งแทน

คำแนะนำ

  • สำรวจ PHP ทุกจุดในองค์กร รวมถึง PHP ที่ฝังมากับอุปกรณ์ของผู้ผลิต ซอฟต์แวร์บน Windows และแผงควบคุมอย่าง cPanel และ Plesk
  • เตรียมอัปเดตทันทีที่แพตช์ออก (21:00 น. ตามเวลาไทย วันที่ 21 ตุลาคม 2569) โดยเริ่มจากเครื่องที่เปิดสู่อินเทอร์เน็ต และตรวจแพ็กเกจ backport จากดิสทริบิวชัน Linux และผู้ให้บริการโฮสติ้ง
  • เครื่องที่ใช้ PHP สายที่หมดอายุ ให้อัปเกรด ถอดออกจากอินเทอร์เน็ต หรือวางไว้หลัง VPN หรือ WAF จนกว่าจะอัปเกรดได้ และ CERT-EU แนะนำให้พิจารณาแยกแอปพลิเคชันที่เปิดสู่อินเทอร์เน็ตออกจากเครือข่ายสาธารณะจนกว่าจะมีแพตช์
  • ตั้งการแจ้งเตือนเมื่อ php-fpm, php-cgi, httpd หรือ apache2 เรียก shell, interpreter หรือเครื่องมือดาวน์โหลด บนเซิร์ฟเวอร์ Linux ที่ไม่มี EDR ใช้ process-watcher ของนาย Florian Roth บันทึกทุกโปรแกรมที่ PHP เรียกพร้อม command line ได้ แต่เครื่องมือนี้ใช้ตรวจจับเท่านั้น ไม่ได้ป้องกัน
  • หากพบสิ่งผิดปกติ ให้แยกเซิร์ฟเวอร์ เก็บล็อกเว็บเซิร์ฟเวอร์และ PHP ไว้ แล้วตรวจหา web shell ไฟล์ใหม่ใน web root, cron job, scheduled task และบัญชีที่เพิ่มขึ้น
  • ติดตามประกาศทางการของ PHP หลังแพตช์ออก เพื่อดูเวอร์ชันที่ได้รับผลกระทบจริงและเงื่อนไขการโจมตี
  • อัปเดต 23 ต.ค. 2569: อัปเกรดเป็น PHP 8.5.12, 8.4.27, 8.3.36 หรือ 8.2.35 ตามสายที่ใช้ หน่วยงานในไทย โดยเฉพาะมหาวิทยาลัย โรงพยาบาล และโรงเรียนแพทย์ ให้ไล่ตรวจระบบข้อมูลผู้ป่วยและฐานข้อมูลนักศึกษาที่ใช้ PHP ก่อน และใช้ WAF เป็นมาตรการชั่วคราวระหว่างรออัปเกรดเท่านั้น

แหล่งอ้างอิง