Php2shell

Drupal เตือนว่าช่องโหว่ CVE-2026-118539 ในโมดูล Commerce Core ระดับ Highly Critical กำลังถูกโจมตีจริง ช่องโหว่เกิดจากโมดูลไม่ป้องกันบาง route และฟิลด์ของ entity มากพอ จนผู้โจมตีข้ามสิทธิ์และอาจสร้างความเสียหายทางการเงินกับร้านค้า กระทบเวอร์ชันก่อน 2.41 และ 3.0.0 ถึง 3.3.13 Drupal ไม่เผยลักษณะหรือขนาดของการโจมตี ในช่วงเดียวกัน Wiz รายงานว่าการยิง PHP2Shell ยังทำงานไม่เสถียรบนเซิร์ฟเวอร์จริง ผู้ดูแลร้านค้าบน Drupal ควรอัปเกรด Commerce Core และตรวจคำสั่งซื้อผิดปกติ

ญี่ปุ่นกำลังเจอคลื่นการเจาะระบบที่ AI ช่วยเร่ง ตั้งแต่ METI ยืนยันการเข้าถึงเว็บไซต์คณะกรรมการกำกับตลาดไฟฟ้าและก๊าซโดยไม่ได้รับอนุญาต ไปจนถึงข้อมูลเจ้าหน้าที่ตำรวจราว 125,000 คนที่อาจรั่วผ่านผู้ให้บริการคลาวด์ หัวหน้าคณะเลขาธิการคณะรัฐมนตรีระบุว่าข้อมูลส่วนบุคคลราว 260 ล้านรายการถูกเจาะตั้งแต่เมษายน และกรณีรั่วไหลพุ่งจาก 303 เป็น 830 กรณีในเดือนตุลาคม ผู้เชี่ยวชาญชี้ว่าเอเจนต์ AI ช่วยข้ามกำแพงภาษาและเจาะระบบเก่าได้ง่ายขึ้น ธุรกิจควรเร่งแพตช์ PHP และระบบที่เปิดสู่อินเทอร์เน็ต

Intel471 พบว่าองค์กรในอิตาลีคิดเป็นราว 7% ของสิทธิ์เข้าถึงเครือข่ายที่ขายในฟอรัมอาชญากรรม เป็นอันดับ 2 รองจากสหรัฐฯ และอิตาลียังเป็นเป้าแรนซัมแวร์อันดับ 4 ของโลก ที่แปลกกว่า คือ 57% ของสิทธิ์เหล่านี้ได้มาจากช่องโหว่ เทียบกับแค่ 6.5% ในข้อมูลระดับโลก ขณะที่โครงสร้างเว็บถูกขายถึง 49% นักวิจัยมีสมมติฐาน 3 ข้อ คือ แพตช์ช้า ผลของขนาดที่ทำให้ยิงซ้ำได้คุ้ม และสัดส่วน SME ที่สูง แต่ยังไม่มีข้อสรุปชัด องค์กรที่ใช้ระบบเว็บเก่าควรเร่งไล่แพตช์ช่องโหว่ที่รู้จักแล้ว

บริษัท Dream รายงานว่าผู้โจมตีที่สงสัยว่าเชื่อมโยงกับจีน ร้อยช่องโหว่ PHP2Shell เข้ากับช่องโหว่ยกสิทธิ์เคอร์เนล Linux Fragnesia จนได้ root บนไฟร์วอลล์25 เครื่องในสหรัฐฯ ญี่ปุ่น ไต้หวัน และเกาหลีใต้ ผู้โจมตีสแกนหน้าจัดการไฟร์วอลล์ราว 19,000 เครื่องด้วย FOFA คัดเหลือ 240 เป้า แล้วยิง exploit อัตโนมัติ เครื่อง 3 เครื่องอยู่ในเครือข่ายเกี่ยวข้องรัฐบาลสหรัฐฯ และถูกใช้เป็นทางเข้า Active Directory ยังไม่ชัดว่าได้รหัสผ่านจริงหรือไม่ ผู้ดูแลควรปิดหน้าจัดการไฟร์วอลล์จากอินเทอร์เน็ตและตรวจ web shell

PHP2Shell ช่องโหว่ RCE วิกฤตใน PHP มีเหยื่อที่ถูกเจาะสำเร็จรายแรกแล้ว คือ หน่วยงานรัฐแห่งหนึ่งในยุโรป ตามรายงานของ Unit 42 ผู้โจมตีใช้เอเจนต์ AI สั่งงานแทนคน ได้ hash รหัสผ่านและ secret ของ MFA ใน 2 ชั่วโมง แล้วเจาะต่อเข้า Active Directory ขณะเดียวกัน CYFIRMA พบกลุ่มที่สงสัยว่าเป็น Lazarus ของเกาหลีเหนือทำรายชื่อเซิร์ฟเวอร์ PHP ที่ยังไม่แพตช์ไว้ 216 เครื่อง รวมถึงในไทย การสแกนทำแบบช้าและเปลี่ยนต้นทางตลอด จึงหลบการแจ้งเตือนทั่วไปได้ ผู้ดูแลระบบควรอัปเกรด PHP ทันทีและตรวจล็อกหาร่องรอยการเจาะ

PHP เตือนช่องโหว่ CVE-2026-115560 ที่อาจเปิดทางให้รันโค้ดบนเว็บเซิร์ฟเวอร์ได้ เพียงสองวันหลังแพตช์ฉุกเฉิน PHP2Shell เมื่อ 21 ตุลาคม 2569 ช่องโหว่นี้เป็นคนละตัวกับ PHP2Shell และยังไม่ได้แก้ในเวอร์ชันที่เพิ่งออก แต่กระทบเฉพาะแอปที่สลับรูปแบบการเก็บข้อมูล session ระหว่างรันซึ่งพบได้ยาก PHP จึงจะแก้ในรอบปกติแทนแพตช์ฉุกเฉิน ระหว่างนี้ให้ปิด session upload progress ซึ่งเป็นมาตรการเดียวกับที่ใช้บรรเทา CVE-2026-109619 ยังไม่มีรายงานการโจมตีช่องโหว่ใหม่นี้

สองวันหลัง PHP ออกแพตช์ฉุกเฉิน PHP2Shell ผู้โจมตีไล่ใช้ช่องโหว่อย่างหนัก แต่ ณ 23 ตุลาคม 2569 ยังไม่มีการยืนยันว่ามีระบบถูกเจาะ Sophos พบความพยายามติดตั้ง Potassium บอตเน็ตสายพันธุ์ Mirai ซึ่งถูกสกัดไว้ได้ ส่วน SOCRadar และ Hunt.io พบชุดโค้ดโจมตีที่ทดสอบกับเซิร์ฟเวอร์ 123 เครื่องโดยไม่สำเร็จสักเครื่อง VulnCheck แสดงว่าข้าม ASLR บนเครื่องแบบโปรดักชันได้จริง ความเสี่ยงที่ใหญ่กว่า คือ PHP ราว 71% ที่ Qualys สำรวจยังใช้เวอร์ชันหมดอายุซึ่งไม่มีวันได้แพตช์

PHP ประกาศออกแพตช์ความปลอดภัยนอกรอบในวันที่ 21 ตุลาคม 2569 เวลา 21:00 น. ตามเวลาไทย สำหรับช่องโหว่วิกฤต 2 รายการคะแนน CVSS v4.0 9.2 ที่นักวิจัยเรียกว่า PHP2Shell การประกาศเกิดหลังมีโพสต์บน Hacker News ปล่อยข้อมูลก่อนกำหนด และ watchTowr ยืนยันว่าเป็นช่องโหว่ RCE แพตช์จะออกเฉพาะ PHP 8.2–8.5 ส่วน 8.1 ลงไปที่หมดอายุแล้วจะไม่ได้รับแพตช์ Mallory นับโฮสต์ที่แสดงเวอร์ชัน 8.1 หรือเก่ากว่าได้ราว 884,000 เครื่อง ยังไม่มีรายงานการโจมตีจริงหรือโค้ดโจมตีสาธารณะ