สรุปสั้น

PHP2Shell คือ ชื่อเรียกช่องโหว่ RCE ระดับวิกฤตใน PHP สองตัว (CVE-2026-109618 และ CVE-2026-109619) ที่ PHP ออกแพตช์ฉุกเฉินไปก่อนหน้านี้ หลังข้อมูลหลุดก่อนกำหนด (ดูข่าว 2026/10/215 ) ผ่านมากว่าสัปดาห์ ผู้โจมตียิงเซิร์ฟเวอร์ที่มีช่องโหว่ไม่หยุด แต่การเจาะที่ยืนยันได้ยังมีน้อย กรณีที่เด่นที่สุด คือ ไฟร์วอลล์ Palo Alto Networks ที่กลุ่มซึ่งโยงกับจีนร้อย PHP2Shell เข้ากับช่องโหว่เคอร์เนล Fragnesia เพื่อยึดสิทธิ์ root (ดูข่าว 2026/10/326 ) ล่าสุด Palo Alto Networks ยืนยันผลของบริษัท Dream แล้ว และออกแพตช์ PAN-OS ทุกสายที่ได้รับผล โดยระบุว่ากระทบราว 0.02% ของเครื่องที่ติดตั้งทั่วโลก ซึ่งเป็นเครื่องที่เปิดหน้าจัดการสู่อินเทอร์เน็ต

อีกด้านหนึ่ง บริษัท Defiant ผู้พัฒนา Wordfence ยังไม่พบเว็บไซต์ WordPress ถูกเจาะสำเร็จจากคำขอที่เกี่ยวกับ PHP2Shell กว่า 77,000 ครั้ง เพราะ exploit ต้องปรับให้เข้ากับแต่ละเซิร์ฟเวอร์ ส่วน Cato Networks และ watchTowr พบว่าการโจมตีส่วนใหญ่มาจาก IP เพียงไม่กี่ตัวที่ยิงแบบ proof of concept และยังไม่มีการทำอะไรต่อหลังเจาะ ภาพรวมจึงเป็นการโจมตีกว้างแต่สำเร็จแคบ แต่ไม่ได้แปลว่าปลอดภัย เพราะผู้โจมตียังพัฒนาเครื่องมือต่อ ผู้ดูแลควรแพตช์ PHP และ PAN-OS และปิดหน้าจัดการไฟร์วอลล์จากอินเทอร์เน็ตทันที

รายละเอียดข่าว

เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 30 ตุลาคม 2569 ว่า บริษัทความปลอดภัย Dream แจ้งเตือนแคมเปญที่เจาะไฟร์วอลล์ได้อย่างน้อย 25 เครื่องจากหลายร้อยเครื่องที่ถูกเล็ง ผู้โจมตีใช้ AI ช่วยสร้าง exploit สองชุด ชุดแรกยิง PHP2Shell บน PAN-OS ชุดที่สองยิง Fragnesia เพื่อวาง webshell ด้วยสิทธิ์ root ต่อมา Palo Alto Networks ระบุว่าทีม Unit 42 ตรวจเครื่องมือของผู้โจมตีรายเดียวกันอย่างอิสระและยืนยันผลแล้ว บริษัทออกแพตช์ PAN-OS 12.2, 12.1, 11.2, 11.1 และ 10.2 สำหรับไฟร์วอลล์ PA-Series และ VM-Series รวมถึง Panorama ทั้งแบบเสมือนและ M-Series และระบุว่าไม่ต้องมีคอนฟิกพิเศษก็ได้รับผล การโจมตีที่พบเล็งหน้าจัดการที่เปิดสู่อินเทอร์เน็ต ซึ่งตามค่าเริ่มต้นไม่ได้เปิด บริษัทติดต่อลูกค้าที่ได้รับผลทุกรายแล้ว และตามข้อมูลเทเลเมทรีของบริษัท ณ 29 ตุลาคม มีอินสแตนซ์ PHP ที่เปิดสู่อินเทอร์เน็ตและอาจมีช่องโหว่กว่า 22.6 ล้านเครื่อง

ด้านเว็บไซต์ทั่วไป ณ 28 ตุลาคม Defiant บันทึกคำขอที่เกี่ยวกับ PHP2Shell กว่า 77,000 ครั้งจากกว่า 2,000 IP แต่ยังไม่พบ WordPress ถูกเจาะสำเร็จ ส่วน Cato Networks พบว่าการโจมตีที่บล็อกได้ราว 96% เล็ง CVE-2026-109618 และ 41% พยายามรันโค้ด ที่เหลือเป็นการสแกนหรือ PoC ที่ใช้ไม่ได้ ต้นทางเป็น IP ไม่กี่ตัวในสหรัฐฯ เนเธอร์แลนด์ และเยอรมนี ภาคที่ถูกยิงมากที่สุด คือ สาธารณสุข ตามด้วยเทคโนโลยีและบริการความปลอดภัย บริการวิชาชีพ ยานยนต์ การศึกษา และการผลิต แต่ Cato มองว่าเป็นการยิงแบบฉวยโอกาส เพราะต้นทางเดียวกันยิงหลายภาคในวันเดียว ขณะที่ watchTowr พบการเจาะสำเร็จจาก IP เดียวในเยอรมนี

ข้อจำกัดของหลักฐาน คือ ตัวเลขแต่ละชุดมาจากเทเลเมทรีของผู้ให้บริการคนละรายที่เห็นทราฟฟิกต่างกัน “ยังไม่พบ WordPress ถูกเจาะ” หมายถึงในข้อมูลของ Defiant ณ 28 ตุลาคมเท่านั้น และตัวเลข 22.6 ล้านเครื่องเป็นอินสแตนซ์ที่ “อาจ” มีช่องโหว่ ไม่ใช่จำนวนที่ยืนยันว่ายังไม่แพตช์

วิธีการโจมตี

ไฟร์วอลล์: ร้อยสองช่องโหว่จนได้ root — ผู้โจมตีใช้ PHP2Shell รันโค้ดผ่านหน้าจัดการของ PAN-OS ซึ่งทำงานด้วย PHP ได้สิทธิ์ระดับเว็บเซิร์ฟเวอร์ แล้วใช้ Fragnesia ซึ่งเป็นช่องโหว่ยกระดับสิทธิ์ในเคอร์เนล Linux ขยับเป็น root ก่อนวาง webshell ไว้ วิธีนี้ได้ผลกับเครื่องที่เปิดหน้าจัดการสู่อินเทอร์เน็ตเท่านั้น ซึ่งเป็นคอนฟิกที่ผู้ผลิตแนะนำไม่ให้ทำอยู่แล้ว

เว็บทั่วไป: exploit ยังไม่นิ่ง — Defiant ทดสอบแล้วพบว่า exploit มักต้องปรับให้เข้ากับเซิร์ฟเวอร์เป้าหมาย ปัจจัยที่มีผล ได้แก่ ASLR (กลไกสุ่มตำแหน่งหน่วยความจำ) วิธี build ของ PHP ส่วนขยายที่เปิด ขีดจำกัดหน่วยความจำ และวิธีที่เซิร์ฟเวอร์จัดการคำขอ การยิงแบบเหมาด้วย PoC เดียวจึงล้มเหลวเป็นส่วนใหญ่

ผู้สำเร็จจริงยังพิสูจน์แล้วหยุด — watchTowr ระบุว่าการเจาะที่สำเร็จจาก IP ในเยอรมนีรันแค่คำสั่ง curl เพื่อพิสูจน์ว่าเจาะได้ แล้วหยุดโดยไม่ทำอะไรต่อ นาย Jake Knott หัวหน้าข่าวกรองภัยคุกคามของ watchTowr เตือนว่าเทคนิคและ exploit เฉพาะอุปกรณ์ที่เสถียรขึ้นกำลังถูกพัฒนา และน่าจะเห็นรายงานการเจาะอุปกรณ์ขอบเครือข่ายแบบเจาะจงเป้ามากขึ้น

ผลกระทบ

กลุ่มที่โดนแล้วจริง คือ ลูกค้า Palo Alto Networks ราว 0.02% ของฐานติดตั้งทั่วโลกที่เปิดหน้าจัดการสู่อินเทอร์เน็ต ซึ่งไฟร์วอลล์ถูกยึดระดับ root ผลลัพธ์ คือ ผู้โจมตีคุมอุปกรณ์ที่อยู่ขอบเครือข่ายและเห็นทราฟฟิกทั้งหมด และใช้เป็นฐานเจาะเข้าภายในได้ ส่วนกลุ่มที่เสี่ยงในวงกว้าง คือ เจ้าของเซิร์ฟเวอร์ PHP ที่ยังไม่แพตช์ ซึ่งมีหลายล้านเครื่อง รวมถึงเว็บที่ใช้ WordPress, Drupal และ Joomla

ความเร่งด่วนยังสูงแม้ตัวเลขการเจาะสำเร็จจะต่ำ เพราะความล้มเหลวตอนนี้มาจาก exploit ที่ยังไม่นิ่ง ไม่ใช่จากระบบที่ป้องกันได้ เมื่อผู้โจมตีปรับเครื่องมือเสร็จ เซิร์ฟเวอร์ที่ยังไม่แพตช์จะเป็นเป้าแรก ขณะที่การที่ภาคสาธารณสุขถูกยิงมากที่สุดก็ชี้ว่าองค์กรที่แพตช์ช้ามักเป็นเป้าหลักของการยิงแบบฉวยโอกาส

คำแนะนำ

  • ปิดหน้าจัดการ PAN-OS จากอินเทอร์เน็ตทันที — จำกัดการเข้าถึงหน้าจัดการให้เฉพาะเครือข่ายภายในหรือ IP ผู้ดูแลที่อนุญาต ตามคำแนะนำของ Palo Alto Networks
  • ติดตั้งแพตช์ PAN-OS — อัปเดตไฟร์วอลล์ PA-Series, VM-Series และ Panorama ในสาย 12.2, 12.1, 11.2, 11.1 และ 10.2 ตามประกาศ CVE-2026-109618
  • แพตช์ PHP บนทุกเซิร์ฟเวอร์ — อัปเดต PHP เป็นเวอร์ชันที่แก้ PHP2Shell แล้ว และวางแผนย้ายระบบที่ยังใช้ PHP รุ่นที่หมดระยะสนับสนุน
  • ตรวจไฟร์วอลล์ที่เคยเปิดหน้าจัดการสู่ภายนอก — ค้นหา webshell ไฟล์ PHP แปลกปลอม และกระบวนการที่รันด้วยสิทธิ์ root ผิดปกติ ตามแนวทางของ Unit 42
  • ตรวจล็อกเว็บเซิร์ฟเวอร์ — ไล่หาคำขอที่สอดคล้องกับ PoC ของ PHP2Shell และการรัน curl จากโปรเซสของเว็บเซิร์ฟเวอร์ ซึ่งเป็นรูปแบบการพิสูจน์การเจาะที่ watchTowr พบ
  • ถ้าพบว่าไฟร์วอลล์ถูกเจาะ — ถือว่าคอนฟิก ความลับ และคีย์ VPN บนเครื่องรั่วแล้ว ติดต่อ Palo Alto Networks หมุนเวียน credential ทั้งหมด และตรวจการเคลื่อนที่เข้าเครือข่ายภายใน

แหล่งอ้างอิง