สรุปสั้น

PHP2Shell คือ ช่องโหว่ RCE ระดับวิกฤต 2 ตัวใน PHP (CVE-2026-109618 และ CVE-2026-109619 คะแนน CVSS v4.0 9.2) ที่โครงการ PHP ออกแพตช์ฉุกเฉินเมื่อ 21 ตุลาคม 2569 (2026/10/215 ) สองวันต่อมา รายงานจากหลายบริษัทชี้ไปทางเดียวกัน คือ ผู้โจมตีกำลังพยายามใช้ช่องโหว่อย่างหนัก แต่ ณ วันที่ 23 ตุลาคม 2569 ยังไม่มีผู้ให้บริการรายใดยืนยันว่ามีระบบถูกเจาะจริง (ภายหลัง Unit 42 รายงานเหยื่อรายแรกเป็นหน่วยงานรัฐในยุโรป ดู 2026/10/278 ) ปัญหาที่ใหญ่กว่าการโจมตี คือ การแพตช์ บริษัท Qualys พบว่าราว 110 ล้านอินสแตนซ์ หรือ 71% ของ PHP ในฐานลูกค้า ยังใช้เวอร์ชัน 5.4–8.1 ที่หมดอายุ และส่วนใหญ่จะไม่มีวันได้แพตช์จากผู้พัฒนา

ภาพที่ได้จากแต่ละแหล่งเป็นดังนี้ บริษัท Sophos พบผู้โจมตีพยายามใช้ช่องโหว่ติดตั้ง Potassium บอตเน็ตที่เชื่อว่าเป็นสายพันธุ์ของ Mirai แต่ครั้งที่วิเคราะห์ถูกสกัดไว้ได้ และ Sophos ต้องแก้ข่าวของตัวเองที่เคยรายงานว่าโจมตีสำเร็จ บริษัท SOCRadar และ Hunt.io พบเซิร์ฟเวอร์ของผู้โจมตีที่เปิดไฟล์ทิ้งไว้ ข้างในมีชุดโค้ดโจมตีแบบ “คลิกเดียว” สำหรับ PHP 8.4.26 บน Apache mod_php ซึ่งถูกใช้ทดสอบกับเซิร์ฟเวอร์ 123 เครื่อง 10 รอบ แต่ไม่สำเร็จสักเครื่อง ส่วนบริษัท VulnCheck สร้างโค้ดโจมตี CVE-2026-109618 ที่ข้าม ASLR (กลไกสุ่มตำแหน่งหน่วยความจำ ซึ่งนักวิจัยหลายรายเคยมองว่าเป็นอุปสรรคหลัก) ได้บนเครื่อง x86-64 ที่ตั้งค่าแบบโปรดักชัน แม้จะเปิดให้เฉพาะลูกค้าแบบเสียเงิน แต่ก็แสดงว่าอุปสรรคนี้ข้ามได้จริง

รายละเอียดข่าว

เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 23 ตุลาคม 2569 ว่าผู้โจมตีพยายามใช้ PHP2Shell กระจายบอตเน็ต Mirai มีบริษัทความปลอดภัยรายหนึ่งสร้างโค้ดโจมตีที่ข้ามกลไกป้องกันหน่วยความจำสำคัญได้ และเซิร์ฟเวอร์ของผู้โจมตีที่เปิดทิ้งไว้เผยเครื่องมือที่สร้างเอง แต่จนถึงวันที่รายงานยังไม่มีการยืนยันการเจาะสำเร็จในโลกจริง

PHP2Shell ถูกค้นพบโดยบริษัท Wiz, OpenAI และ Calif ตั้งแต่เดือนสิงหาคม PHP ออกแพตช์ใน 8.5.12, 8.4.27, 8.3.36 และ 8.2.35 เมื่อ 21 ตุลาคม เร็วกว่ากำหนดหนึ่งวันเพราะหมายเลข CVE หลุดออกมาก่อน บริษัท Amazon พบความพยายามโจมตีครั้งแรกตั้งแต่ 17 ตุลาคม และกิจกรรมพุ่งขึ้นทันทีหลังแพตช์ออก ความกลัวทำให้หลายองค์กรปิดระบบไว้ก่อน เว็บไซต์ของหน่วยงานรัฐ โรงเรียน และโรงพยาบาลในยุโรปหลายแห่งออฟไลน์ในวันที่ 21 ตุลาคม และรัฐบาลสหราชอาณาจักรระบุว่าบริการ 32 รายการใช้งานไม่ได้และอีก 4 รายการใช้ได้บางส่วน ส่วนใหญ่เป็นมาตรการป้องกันระหว่างติดตั้งแพตช์

ผู้ให้บริการหลายรายให้ภาพไปในทางเดียวกัน Hunt.io พบความพยายามโจมตีและการเตรียมเครื่องมือแต่ไม่พบการเจาะสำเร็จ บริษัท Wordfence ระบุว่าการโจมตียังดำเนินต่อโดยไม่มีเหยื่อที่ทราบ บริษัท Sansec ซึ่งเคยคาดว่าจะเกิดการโจมตีวงกว้างภายใน 15 นาทีหลังแพตช์ออก ได้ปรับมุมมองในอัปเดตวันที่ 22 ตุลาคมว่าผู้โจมตีต้องรู้รายละเอียดของเซิร์ฟเวอร์และต้องมีเงื่อนไขเฉพาะจึงจะสำเร็จ และโค้ดโจมตีสาธารณะใช้ไม่ได้กับ PHP ที่ตั้งค่าเริ่มต้น ขณะที่ VulnCheck ระบุว่าแม้จะมี repository PoC บน GitHub หลายร้อยแห่ง แต่น้อยมากที่เป็นโค้ดโจมตีจริง ณ เช้าวันที่ 23 ตุลาคม CISA ยังไม่เพิ่มช่องโหว่ทั้งสองเข้าแค็ตตาล็อก KEV

วิธีการโจมตี

บอตเน็ต Potassium (สายพันธุ์ Mirai) — Sophos อธิบายว่าตัวอย่างที่พบเป็นรุ่นอัปเดตที่เพิ่มความสามารถของสายพันธุ์ที่สืบทอดจาก Mirai ซึ่งพบครั้งแรกต้นปี 2569 ดาวน์โหลดมัลแวร์เพิ่มและยิง DDoS ได้ บริษัท Arctic Wolf เชื่อมไบนารี Potassium สองตัวเข้ากับเซิร์ฟเวอร์ที่โฮสต์เพย์โหลด PHP2Shell แต่ข้อมูลของ Arctic Wolf ไม่พบว่าคำขอ PHP2Shell ดึงหรือรันมัลแวร์ได้จริง ส่วน Hunt.io ระบุว่าทราฟฟิก PHP2Shell ที่เห็นมาจากบอตเน็ตแบบ Mirai ที่มีอยู่แล้วตั้งแต่อย่างน้อยพฤษภาคม 2569 และเพิ่งเอาช่องโหว่นี้เข้าไปในชุดวิธีแพร่กระจาย Sophos มองว่าการไม่มีเหยื่อที่สำเร็จบ่งชี้ว่าผู้โจมตีเองก็ “ติดขัด” และทีมวิจัยของ Sophos พบว่าการสร้างโค้ดโจมตีที่ใช้ได้ทำได้ยากแม้จะใช้ AI ช่วย

โค้ดโจมตีข้าม ASLR — ASLR สุ่มตำแหน่งโค้ดและข้อมูลในหน่วยความจำ จึงเป็นอุปสรรคหลักของการรันโค้ด VulnCheck ระบุว่าโค้ดโจมตี CVE-2026-109618 ของตนอาศัยการรั่วของหน่วยความจำเพื่อรันโค้ดบน x86-64 ที่เปิด ASLR และปิดการแสดง error ของ PHP ซึ่งเป็นการตั้งค่าที่แนะนำสำหรับโปรดักชัน VulnCheck ระบุว่า “ยังไม่ทราบว่ามีโค้ดโจมตีสาธารณะหรือเชิงพาณิชย์อื่นที่รันโค้ดได้บน PHP หลายเวอร์ชันในคอนฟิกโปรดักชัน แต่คาดว่าจะเปลี่ยนไป” เมื่อผู้โจมตีพัฒนาเทคนิคขึ้นทีละขั้น

เซิร์ฟเวอร์ผู้โจมตีที่เปิดทิ้ง — SOCRadar พบชุดโค้ดโจมตีสำหรับ PHP 8.4.26 บน Apache mod_php ที่ผู้ควบคุมทดสอบในแล็บแล้วเรียกว่า “one-click” พร้อมสคริปต์ตรวจว่าเว็บไซต์จริงมีคอนฟิกที่โค้ดต้องการหรือไม่ คอนฟิกนั้นไม่ค่อยพบ และใช้ได้กับเซิร์ฟเวอร์ที่ตั้งค่าเหมือนเครื่องทดสอบมากกว่าเครื่องโปรดักชันที่ปรับความปลอดภัยแล้ว ผู้ควบคุมเก็บลายนิ้วมือเว็บไซต์ราว 20 แห่งในสหรัฐฯ สหราชอาณาจักร แคนาดา ฝรั่งเศส ฟินแลนด์ โปแลนด์ และจีน แล้วเจาะลึก 11 แห่ง ไม่มีแห่งใดเข้าเงื่อนไข Hunt.io วิเคราะห์เซิร์ฟเวอร์เดียวกันและพบว่าผู้ควบคุมรันการโจมตี 10 รอบ ขยายเป้าเป็น 123 เซิร์ฟเวอร์บนผู้ให้บริการคลาวด์ โฮสติ้งแบบแชร์ และ ISP ราว 57 เครื่องใช้ PHP มี 10 เครื่องปฏิเสธคำขอ และไม่มีเครื่องใดถูกเจาะสำเร็จ SOCRadar สรุปว่า “ผู้ควบคุมมีทักษะพัฒนาโค้ดโจมตีสูง แต่ ณ 22 ตุลาคม 2569 ยังไม่พบหลักฐานว่าได้เชลล์บนเว็บไซต์ใดที่คัดกรองไว้”

ผลกระทบ

ภาพรวม ณ วันที่ 23 ตุลาคม คือ การโจมตีจำนวนมากแต่ยังไม่ได้ผล ซึ่งไม่ควรถูกตีความว่าปลอดภัย เพราะสองเงื่อนไขที่ทำให้ผู้โจมตีติดขัด คือ คอนฟิกเฉพาะและ ASLR เริ่มถูกแก้ทีละข้อ VulnCheck พิสูจน์แล้วว่าข้าม ASLR ได้ในคอนฟิกโปรดักชัน แม้โค้ดจะยังไม่เปิดสาธารณะ และบอตเน็ตที่มีอยู่แล้วก็เพิ่ม PHP2Shell เข้าไปในชุดวิธีแพร่กระจาย เมื่อโค้ดโจมตีที่เชื่อถือได้หลุดออกมา ระบบที่ยังไม่แพตช์จะถูกสแกนพร้อมกันทันที

ปัญหาเชิงโครงสร้างอยู่ที่การแพตช์ Qualys วิเคราะห์ข้อมูลนิรนามจากลูกค้า 12,000 ราย พบว่ามีอินสแตนซ์ PHP เพียง 199,000 ตัวที่แพตช์ภายใน 12 ชั่วโมงหลังเปิดเผย ราว 110 ล้านอินสแตนซ์หรือ 71% ใช้ PHP 5.4–8.1 ที่หมดอายุ และอีก 44 ล้านอินสแตนซ์ใช้สายที่ยังได้รับการสนับสนุนแต่ยังไม่ได้ติดตั้งแพตช์ กลุ่มที่หมดอายุต้องพึ่ง backport จากดิสทริบิวชัน Linux หรือผู้ให้บริการโฮสติ้ง หรือต้องอัปเกรดข้ามสายเวอร์ชัน ซึ่งใช้เวลานานกว่ามาก

คำแนะนำ

  • อัปเกรดเป็น PHP 8.5.12, 8.4.27, 8.3.36 หรือ 8.2.35 ตามสายที่ใช้ เริ่มจากเซิร์ฟเวอร์ที่เปิดสู่อินเทอร์เน็ต
  • เครื่องที่ใช้ PHP 8.1 หรือเก่ากว่า ให้ตรวจแพ็กเกจ backport จากดิสทริบิวชันหรือผู้ให้บริการโฮสติ้ง ถ้าไม่มีให้วางไว้หลัง VPN หรือ WAF และวางแผนอัปเกรดข้ามสาย
  • คงการตั้งค่าโปรดักชันไว้ (ปิด display_errors และเปิด ASLR) เพราะเป็นเงื่อนไขที่ทำให้โค้ดโจมตีสาธารณะส่วนใหญ่ใช้ไม่ได้ แต่อย่าใช้แทนการแพตช์
  • เฝ้าระวังโปรเซส PHP (php-fpm, php-cgi, httpd/apache2) ที่เรียก shell หรือเครื่องมือดาวน์โหลด และการเชื่อมต่อออกไปยังโครงสร้างพื้นฐานของบอตเน็ต
  • ระวังโค้ด PoC บน GitHub เพราะส่วนใหญ่ไม่ใช่โค้ดโจมตีจริง ทดสอบเฉพาะในสภาพแวดล้อมแยกและใช้ scanner จากผู้ให้บริการที่เชื่อถือได้
  • ติดตามแดชบอร์ดติดตามการแพตช์ของ Censys และประกาศ KEV ของ CISA เพื่อดูว่ามีการยืนยันการโจมตีสำเร็จเมื่อใด

แหล่งอ้างอิง