สรุปสั้น
PHP2Shell เป็นชื่อเรียกช่องโหว่ RCE ระดับวิกฤต 2 ตัวใน PHP (CVE-2026-109618 และ CVE-2026-109619 คะแนน CVSS 9.2) ที่ PHP ออกแพตช์ฉุกเฉินเมื่อสัปดาห์ก่อน (2026/10/215 ) และเริ่มมีรายงานการโจมตีจริงตามมา (2026/10/278 ) ล่าสุดบริษัท Dream ผู้ให้บริการด้านความปลอดภัยจากอิสราเอล เปิดเผยการโจมตีที่สังเกตพบเมื่อ 25 ตุลาคม 2569 ผู้โจมตีที่สงสัยว่าเชื่อมโยงกับจีนร้อย PHP2Shell เข้ากับ Fragnesia (CVE-2026-46300) ช่องโหว่ยกสิทธิ์ในเคอร์เนล Linux จนได้สิทธิ์ root บนเซิร์ฟเวอร์ 25 เครื่องในสหรัฐฯ ญี่ปุ่น ไต้หวัน และเกาหลีใต้ เครื่องทั้งหมดรันซอฟต์แวร์ไฟร์วอลล์ของผู้ผลิตรายใหญ่รายหนึ่งที่ไม่เปิดเผยชื่อ โดยเจาะผ่านเซิร์ฟเวอร์หน้าจัดการที่ใช้ PHP
ในจำนวนนี้มี 3 เครื่องอยู่ในเครือข่ายที่เกี่ยวข้องกับรัฐบาลสหรัฐฯ ผู้โจมตีใช้เครื่องเหล่านี้ขุดอุโมงค์ SSH เข้าเครือข่ายภายใน แล้วเล็ง Active Directory เพื่อสกัดรหัสผ่านและสร้างบัญชีลับ Dream พบร่องรอยว่าผู้โจมตีใช้ Claude Code และแพลตฟอร์มโจมตีที่ขับด้วย LLM ช่วยพัฒนาเครื่องมือ แต่ยังไม่ชัดว่าผู้โจมตีได้รหัสผ่านที่ใช้งานได้หรือสร้างบัญชีลับสำเร็จหรือไม่ เหตุการณ์นี้แสดงว่า PHP2Shell ที่เคยถูกมองว่าใช้จริงยากถูกปรับแต่งจนใช้ได้กับอุปกรณ์เป้าหมายเฉพาะแล้ว ผู้ดูแลระบบควรปิดหน้าจัดการไฟร์วอลล์จากอินเทอร์เน็ต อัปเดตตามประกาศผู้ผลิต และตรวจหา web shell
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 28 ตุลาคม 2569 ว่าบริษัท Dream เปิดเผยรายละเอียดการโจมตีที่ดูเหมือนใช้ AI ช่วย โดยผู้โจมตีที่สงสัยว่าเชื่อมโยงกับจีนใช้ PHP2Shell เจาะระบบที่เปิดสู่อินเทอร์เน็ต Dream ระบุว่าอุปกรณ์ที่ถูกเจาะรันซอฟต์แวร์ไฟร์วอลล์บางเวอร์ชันของผู้ผลิตรายใหญ่ และได้แจ้งผู้ผลิตรายนั้นแล้ว แต่ไม่เปิดเผยชื่อ
ไทม์ไลน์ตามหลักฐานของ Dream เริ่มจากการพัฒนา exploit ในสภาพแวดล้อมทดลอง ผู้โจมตีใช้ FOFA เครื่องมือค้นหาอุปกรณ์บนอินเทอร์เน็ต หาไฟร์วอลล์ที่เปิดหน้าจัดการสู่อินเทอร์เน็ตราว 19,000 เครื่องทั่วโลก จากนั้นรันตัวสแกนเวอร์ชันที่เขียนเอง มีอุปกรณ์ตอบกลับพร้อมข้อมูลเวอร์ชันราว 5,000 เครื่อง แล้วคัดเฉพาะเครื่องในสหรัฐฯ ญี่ปุ่น ไต้หวัน และเกาหลีใต้ ที่ใช้สายเวอร์ชันใหม่ซึ่งรัน PHP 8.0.30 ได้ 240 เป้า เมื่อป้อนรายชื่อเข้าตัวรันอัตโนมัติ ผู้โจมตีได้ root 24 เครื่อง
สำหรับเป้าหมายรัฐบาล Dream ระบุว่า 2 เครื่องที่เจาะสำเร็จเป็นขององค์กรที่เกี่ยวข้องกับรัฐบาลสหรัฐฯ เครื่องแรกล่มหลังถูกยึดเมื่อ 23 ตุลาคม 2569 เวลา 18:14 น. UTC และไม่กลับมาออนไลน์อีก ผู้โจมตีจึงทำแคมเปญเฉพาะจนยึดเครื่องที่สองได้เมื่อ 24 ตุลาคม เวลา 10:09 น. UTC แล้วใช้สร้างช่องทางถาวรเข้าเครือข่ายภายใน เวลา 11:35 น. UTC เครื่องรัฐบาลเครื่องที่สามซึ่งเป็นเซิร์ฟเวอร์จัดการไฟร์วอลล์ภายในที่เข้าถึงได้ผ่านอุโมงค์เท่านั้นก็ถูกยึดด้วยวิธีเดียวกัน รวมเป็น 25 เครื่อง
ส่วนเหตุที่ Dream โยงไปยังกลุ่มสายจีนมีข้อเดียว คือ รูปแบบการเลือกเป้า Dream ระบุว่าสหรัฐฯ ญี่ปุ่น ไต้หวัน และเกาหลีใต้ เป็นเป้าข่าวกรองหลักของปฏิบัติการไซเบอร์ที่สอดคล้องกับรัฐจีนในแปซิฟิก จึงชี้ว่าอาจเป็นความพยายามระดับรัฐ ทั้งนี้รายงานไม่ได้ระบุชื่อกลุ่ม
ด้านบริษัท Flare รายงานบรรยากาศในฟอรัมใต้ดินว่า PHP2Shell ยังถูกใช้โจมตีจริงอย่างจำกัด สมาชิกฟอรัม XSS ชื่อ c0d3x บ่นว่าการโจมตีเป้าจริงต้องรู้ offset ของ libphp.so ซึ่งต่างกันทุก build และเดาไม่ได้ ข้อนี้อธิบายได้ว่าทำไม Dream จึงพบ exploit ที่ปรับแต่งเฉพาะไฟร์วอลล์รุ่นเดียว
ข้อจำกัดของหลักฐาน คือ Dream ไม่เปิดเผยชื่อผู้ผลิตไฟร์วอลล์และชื่อองค์กรรัฐบาล และยังไม่ชัดว่าผู้โจมตีได้รหัสผ่านที่ใช้งานได้หรือสร้างบัญชีลับใน Active Directory สำเร็จหรือไม่ ขอบเขตความเสียหายเต็มจึงยังประเมินไม่ได้
วิธีการโจมตี
เข้าทางหน้าจัดการไฟร์วอลล์ — exploit ที่ Dream กู้มาได้เป็นรุ่นที่สร้างเองและไม่เคยเผยแพร่ ไม่ได้ลอก exploit สาธารณะของ PHP2Shell แต่ใช้แนวคิดเดียวกันและปรับให้เข้ากับแพลตฟอร์มไฟร์วอลล์เป้าหมาย ช่องโหว่ถูกยิงผ่านกลไก session.upload_progress ของ PHP บนเซิร์ฟเวอร์หน้าจัดการ appweb ของไฟร์วอลล์ ระบบปฏิบัติการของไฟร์วอลล์ใช้ PHP 8.0.30 ที่ตั้งเพดานหน่วยความจำไว้สูง ทำให้ขั้นตอนทำลายหน่วยความจำของการโจมตีสำเร็จได้
ยกสิทธิ์เป็น root — หลังได้รันโค้ดผ่าน PHP2Shell ผู้โจมตีใช้ Fragnesia (CVE-2026-46300 คะแนน CVSS 7.8) ช่องโหว่ยกสิทธิ์ในเคอร์เนล Linux เพื่อได้สิทธิ์ root จากนั้นตัวรันอัตโนมัติฝัง web shell ภาษา PHP ไว้ในไดเรกทอรีที่เข้าถึงได้จากภายนอก ตรวจยืนยันสิทธิ์ root แล้วบันทึกชื่อเครื่องและ IP ของเป้าหมายลงไฟล์ CSV
ขุดอุโมงค์เข้าเครือข่ายภายใน — บนเครื่องรัฐบาลเครื่องที่สอง ผู้โจมตีสร้าง reverse SSH tunnel จากไฟร์วอลล์ที่ถูกเจาะกลับไปยังโครงสร้างของผู้โจมตี ช่องทางนี้ทำให้เข้าถึงเซิร์ฟเวอร์จัดการไฟร์วอลล์ภายในที่ปกติเข้าจากอินเทอร์เน็ตไม่ได้
โจมตี Active Directory — ผู้โจมตีถอดรหัสผ่านของบัญชีบริการ LDAP ไล่รายชื่อผู้ใช้ แล้วพ่นรหัสผ่าน (password spraying) ใส่ทุกบัญชีด้วยรหัสผ่านที่ตั้งตามธีมขององค์กร และพยายามสร้างบัญชี Active Directory ไว้เป็นแบ็กดอร์ Dream ยืนยันจากหลักฐานที่กู้ได้ว่ามีการสกัด credential และไล่สำรวจไดเรกทอรีเกิดขึ้นจริง
ร่องรอยการใช้ AI — Dream พบว่ามีการติดตั้ง Claude Code ของบริษัท Anthropic บนโครงสร้างของผู้โจมตี พร้อม API key ของ FOFA และ aiscan แพลตฟอร์มโจมตีที่ขับด้วย AI ซึ่งตั้งค่าให้ใช้ LLM ของ DeepSeek และ Kimi โครงสร้างโค้ด สไตล์คอมเมนต์ และความสม่ำเสมอของสคริปต์เกือบ 40 ไฟล์ ยังชี้ว่ามีการใช้ AI ช่วยพัฒนา
ผลกระทบ
ผู้ที่ได้รับผลกระทบโดยตรง คือ เจ้าของไฟร์วอลล์ 25 เครื่องที่ถูกยึด ในจำนวนนี้ 3 เครื่องอยู่ในเครือข่ายที่เกี่ยวข้องกับรัฐบาลสหรัฐฯ Dream ระบุว่าไฟร์วอลล์อีก 22 เครื่องยังมี web shell ที่ใช้งานได้ อุโมงค์เข้าเครือข่ายรัฐบาลน่าจะยังเปิดอยู่ และผู้โจมตียังมีรายชื่ออุปกรณ์ 19,000 เครื่องที่ระบุเวอร์ชันแล้ว พร้อมกลับมาโจมตีเมื่อพัฒนา exploit สำหรับเวอร์ชันอื่นได้
ความหมายของเหตุการณ์นี้มี 2 ชั้น ชั้นแรก ไฟร์วอลล์ที่ควรเป็นด่านป้องกันกลับกลายเป็นทางเข้าโครงสร้างระบบยืนยันตัวตนขององค์กร เมื่อหน้าจัดการเปิดสู่อินเทอร์เน็ต ชั้นที่สอง ข้อจำกัดที่ทำให้ PHP2Shell ใช้จริงยาก เช่น offset ที่ต่างกันทุก build ไม่ใช่อุปสรรคสำหรับผู้โจมตีที่มีทรัพยากร เพราะอุปกรณ์สำเร็จรูปมีเวอร์ชันซ้ำกันจำนวนมาก การพัฒนา exploit ครั้งเดียวจึงใช้ได้กับเครื่องหลายร้อยเครื่อง และ AI ช่วยให้ขั้นตอนนี้เร็วขึ้น
คำแนะนำ
- ปิดหน้าจัดการไฟร์วอลล์จากอินเทอร์เน็ตทันที — จำกัดให้เข้าได้จากเครือข่ายจัดการหรือ VPN เท่านั้น เพราะทางเข้าทั้งหมดในเหตุการณ์นี้ คือ หน้าจัดการที่เปิดสู่สาธารณะ
- ติดตามประกาศของผู้ผลิตไฟร์วอลล์ที่ใช้ — ตรวจว่าระบบปฏิบัติการของอุปกรณ์ใช้ PHP เวอร์ชันใดและผู้ผลิตออกแพตช์ PHP2Shell และ Fragnesia แล้วหรือยัง เนื่องจาก Dream ไม่เปิดเผยชื่อผู้ผลิต
- อัปเดต PHP และเคอร์เนล Linux บนเซิร์ฟเวอร์ที่ดูแลเอง — แก้ CVE-2026-109618, CVE-2026-109619 และ CVE-2026-46300
- ตรวจหา web shell และอุโมงค์บนอุปกรณ์ขอบเครือข่าย — มองหาไฟล์ PHP ใหม่ในไดเรกทอรีเว็บของหน้าจัดการ และการเชื่อมต่อ SSH ขาออกจากไฟร์วอลล์ไปยัง IP ภายนอกที่ไม่รู้จัก
- ตรวจ Active Directory หาร่องรอยต่อเนื่อง — ดูการล็อกอินล้มเหลวจำนวนมากจากต้นทางเดียว (password spraying) บัญชีที่ถูกสร้างใหม่ และการใช้บัญชีบริการ LDAP ผิดปกติ ถ้าพบให้เปลี่ยนรหัสผ่านบัญชีบริการ LDAP ทันที
- ระยะยาว — แยกบัญชีบริการที่ไฟร์วอลล์ใช้เชื่อม LDAP ให้มีสิทธิ์ต่ำสุด และเฝ้าระวังอุปกรณ์ขอบเครือข่ายด้วยการส่งล็อกออกไปเก็บนอกตัวอุปกรณ์