Web-Server

PHP เตือนช่องโหว่ CVE-2026-115560 ที่อาจเปิดทางให้รันโค้ดบนเว็บเซิร์ฟเวอร์ได้ เพียงสองวันหลังแพตช์ฉุกเฉิน PHP2Shell เมื่อ 21 ตุลาคม 2569 ช่องโหว่นี้เป็นคนละตัวกับ PHP2Shell และยังไม่ได้แก้ในเวอร์ชันที่เพิ่งออก แต่กระทบเฉพาะแอปที่สลับรูปแบบการเก็บข้อมูล session ระหว่างรันซึ่งพบได้ยาก PHP จึงจะแก้ในรอบปกติแทนแพตช์ฉุกเฉิน ระหว่างนี้ให้ปิด session upload progress ซึ่งเป็นมาตรการเดียวกับที่ใช้บรรเทา CVE-2026-109619 ยังไม่มีรายงานการโจมตีช่องโหว่ใหม่นี้

PHP ประกาศออกแพตช์ความปลอดภัยนอกรอบในวันที่ 21 ตุลาคม 2569 เวลา 21:00 น. ตามเวลาไทย สำหรับช่องโหว่วิกฤต 2 รายการคะแนน CVSS v4.0 9.2 ที่นักวิจัยเรียกว่า PHP2Shell การประกาศเกิดหลังมีโพสต์บน Hacker News ปล่อยข้อมูลก่อนกำหนด และ watchTowr ยืนยันว่าเป็นช่องโหว่ RCE แพตช์จะออกเฉพาะ PHP 8.2–8.5 ส่วน 8.1 ลงไปที่หมดอายุแล้วจะไม่ได้รับแพตช์ Mallory นับโฮสต์ที่แสดงเวอร์ชัน 8.1 หรือเก่ากว่าได้ราว 884,000 เครื่อง ยังไม่มีรายงานการโจมตีจริงหรือโค้ดโจมตีสาธารณะ

NGINX ออกเวอร์ชัน 1.30.6 และ 1.31.7 เมื่อ 14 ต.ค. 2569 แก้ 5 ช่องโหว่ โดยตัวหนึ่งมีอยู่ในทุกรุ่นตั้งแต่ปี 2548 บั๊กหน่วยความจำ 3 ตัวทำให้ worker ล่มและอาจรันโค้ดได้ F5 ให้คะแนน CVSS v4.0 ที่ 9.2 ส่วนบั๊กหมุนคีย์ TLS session ticket อาจทำให้ปลอม session ข้ามการตรวจใบรับรองไคลเอนต์ได้ ทุกช่องโหว่ต้องอาศัยการตั้งค่าเฉพาะ และยังไม่มีรายงานการโจมตีจริง ช่องโหว่ regex map ตัวใหม่เกิดจากแพตช์เดือน ก.ค. จึงต้องอัปเกรดซ้ำ

บริษัท Check Point Research เปิดเผยแคมเปญของกลุ่มอาชญากรไซเบอร์ที่ใช้ภาษาจีนชื่อ Gambling Goblin ซึ่งติดตั้งโมดูล Apache อันตรายบนเว็บเซิร์ฟเวอร์ของหน่วยงานรัฐและสถาบันการศึกษาในบราซิล โมดูลจะทำหน้าที่ reverse proxy พาผู้เข้าชมไปยังหน้าฟิชชิงที่ปลอมเป็นสโตร์แอปดัง โดยทราฟฟิกยังดูเหมือนมาจากโดเมนของหน่วยงานจริงและส่วนหัวความปลอดภัยถูกถอดออก เป้าหมายที่ประเมินไว้คือการปั่นอันดับผลการค้นหาด้วยโดเมนที่มีชื่อเสียงสูง บริษัทโยงกลุ่มนี้เข้ากับ Earth Berberoka ที่ Trend Micro เคยรายงานไว้ตั้งแต่ปี 2565

บริษัท F5 ออกแพตช์แก้ช่องโหว่วิกฤต CVE-2026-42533 ใน NGINX ซึ่งเปิดทางให้ผู้โจมตีจากระยะไกลที่ไม่ต้องล็อกอินส่งคำขอ HTTP ที่สร้างพิเศษจนเกิด heap buffer overflow ในโปรเซส worker ผลคือเซิร์ฟเวอร์ล่มหรือรีสตาร์ต และหากปิด ASLR หรือข้ามได้ก็อาจนำไปสู่การรันโค้ดระยะไกล ช่องโหว่กระทบทุกเวอร์ชันตั้งแต่ 0.9.6 ถึง 1.31.2 ย้อนไปถึงปี 2554 แต่เกิดเฉพาะกับการตั้งค่าบางรูปแบบเท่านั้น แก้ไขแล้วใน 1.30.4 และ 1.31.3

บริษัท Apache Software Foundation ปล่อย Apache HTTP Server เวอร์ชัน 2.4.68 เมื่อ 8 มิถุนายน 2569 แก้ 13 ช่องโหว่ครอบคลุมหลายโมดูล ทั้ง use-after-free 2 ตัวใน mod_ldap และ mod_http2, XSS ใน mod_proxy_ftp, heap overflow 4 ตัว และ DoS ที่หมดหน่วยความจำผ่าน HTTP/2 กระทบทุกเวอร์ชันตั้งแต่ 2.4.0 ถึง 2.4.67 ผู้ดูแลควรอัปเกรดทันทีเพราะส่วนใหญ่ไม่มี workaround

พบช่องโหว่ CVE-2026-23918 (CVSS 8.8) ใน mod_http2 ของ Apache HTTP Server 2.4.66 เป็นปัญหา double free ในส่วน stream cleanup ที่ทำให้ผู้โจมตีสามารถ crash worker process ได้ง่าย และในบางเงื่อนไขสามารถรันโค้ดอันตรายได้ ช่องโหว่นี้อยู่ใน default build ของ Apache กระทบเซิร์ฟเวอร์จำนวนมากทั่วโลก แพตช์แล้วในเวอร์ชัน 2.4.67

พบช่องโหว่วิกฤต CVE-2026-42945 (CVSS 9.2) ใน NGINX rewrite module ที่ซ่อนอยู่นาน 18 ปี ผู้โจมตีสามารถรันโค้ดจากระยะไกลได้ด้วย HTTP request เพียงครั้งเดียว — ผู้ดูแลเว็บเซิร์ฟเวอร์ควรอัปเดตทันที