PHP2Shell ช่องโหว่ PHP ที่ทำให้แฮกเกอร์อาจยึดเซิร์ฟเวอร์ได้โดยไม่ต้องล็อกอิน เว็บไซต์ทั่วโลกกำลังเร่งอุดช่องโหว่ร้ายแรงที่อาจเปิดทางให้คนร้ายเข้าควบคุมระบบและขโมยข้อมูลสำคัญ แล้วทำไมช่องโหว่เพียงจุดเดียวถึงอาจกระทบอินเทอร์เน็ตทั่วโลก?
PHP คืออะไร
PHP เป็นภาษาโปรแกรมที่ออกแบบมาเพื่อพัฒนาเว็บไซต์และเว็บแอปพลิเคชัน โดยทำงานอยู่เบื้องหลังเซิร์ฟเวอร์เป็นหลัก ตัวอย่างเช่น เมื่อเราเข้าสู่ระบบเว็บไซต์ สั่งซื้อสินค้าผ่านร้านค้าออนไลน์ แสดงความคิดเห็น หรือค้นหาข้อมูล เว็บไซต์อาจใช้ PHP ประมวลผลคำขอ ติดต่อฐานข้อมูล และสร้างเนื้อหาที่จะแสดงผลกลับมาให้ผู้ใช้งานเห็น ด้วยเหตุนี้ PHP จึงเป็นหนึ่งในเทคโนโลยีสำคัญที่อยู่เบื้องหลังบริการบนอินเทอร์เน็ตมาอย่างยาวนาน
ความสำคัญของ PHP ไม่ได้จำกัดอยู่แค่เว็บไซต์ที่นักพัฒนาเขียนขึ้นเอง แต่ยังรวมถึงซอฟต์แวร์สำเร็จรูปที่ใช้สร้างและจัดการเว็บไซต์ เช่น WordPress, Drupal และ Joomla ตลอดจนผลิตภัณฑ์เชิงพาณิชย์บางประเภทที่นำ PHP ไปเป็นส่วนหนึ่งของระบบด้วย ดังนั้น เมื่อพบช่องโหว่ในตัว PHP เอง ผลกระทบจึงอาจขยายไปถึงบริการที่ผู้ใช้งานไม่รู้ด้วยซ้ำว่ามี PHP ทำงานอยู่เบื้องหลัง อย่างไรก็ตาม การใช้ PHP ไม่ได้หมายความว่าเว็บไซต์จะไม่ปลอดภัยเสมอไป ความเสี่ยงขึ้นอยู่กับเวอร์ชันที่ใช้ รูปแบบการติดตั้ง และการอัปเดตแก้ไขช่องโหว่ของแต่ละระบบ
PHP2Shell ช่องโหว่ PHP ที่เพิ่งถูกค้นพบคืออะไร
เมื่อวันที่ 21 ตุลาคม 2026 ทีมพัฒนา PHP เปิดเผยแพตช์ความปลอดภัยสำหรับช่องโหว่ร้ายแรง 2 รายการ ได้แก่ CVE-2026-109618 และ CVE-2026-109619 ซึ่งถูกเรียกรวมกันว่า PHP2Shell ทั้งสองรายการมีคะแนนความรุนแรง CVSS v4.0 อยู่ที่ 9.2 จาก 10 คะแนน และอาจเปิดโอกาสให้แฮกเกอร์สั่งรันโค้ดบนเซิร์ฟเวอร์จากระยะไกลได้ โดยไม่จำเป็นต้องมีบัญชีผู้ใช้หรือเข้าสู่ระบบเว็บไซต์ก่อน
ช่องโหว่แรก CVE-2026-109618 เกิดจากข้อผิดพลาดในการจัดการหน่วยความจำเมื่อ PHP ใช้หน่วยความจำเกินขีดจำกัดที่กำหนด ในบางสถานการณ์ระบบอาจหยุดประมวลผลคำขอในจังหวะที่ข้อมูลภายในยังเตรียมไม่เสร็จสมบูรณ์ ส่งผลให้ขั้นตอนจัดการข้อมูลหลังเกิดข้อผิดพลาดนำข้อมูลที่ไม่ถูกต้องไปใช้งานต่อได้ ส่วนช่องโหว่ที่สอง CVE-2026-109619 เกิดจากสถานะภายในบางส่วนของ PHP ยังคงอ้างอิงหน่วยความจำของคำขอก่อนหน้า แม้หน่วยความจำนั้นจะถูกคืนให้ระบบไปแล้ว เมื่อมีคำขอใหม่เข้ามา PHP อาจนำข้อมูลที่ค้างอยู่นั้นกลับมาใช้งานก่อนที่จะรีเซ็ตสถานะอย่างถูกต้อง ทั้งสองกรณีเป็นข้อผิดพลาดในกลไกการทำงานภายในของ PHP ไม่ใช่เพียงการเขียนโค้ดเว็บไซต์ผิดพลาดทั่วไป
สิ่งที่ทำให้เรื่องนี้น่ากังวลคือ การโจมตีอาจเกิดขึ้นก่อนที่โค้ดของเว็บไซต์จะเริ่มทำงานเสียด้วยซ้ำ โดยเฉพาะการติดตั้ง PHP แบบ Apache mod_php ซึ่งทีมพัฒนา PHP ระบุว่ามีความเสี่ยงสูงเป็นพิเศษ นอกจากนี้ยังมีการเผยแพร่ตัวอย่างโค้ดพิสูจน์แนวคิดการโจมตี หรือ Proof of Concept (PoC) สู่สาธารณะแล้ว หน่วยงานความมั่นคงไซเบอร์ของสิงคโปร์รายงานเมื่อวันที่ 23 ตุลาคมว่าพบความพยายามโจมตีในวงกว้าง จึงไม่ใช่เรื่องที่องค์กรควรรอให้เกิดเหตุขึ้นก่อนจึงค่อยแก้ไข
ผลกระทบต่อโปรแกรมและอินเทอร์เน็ตมีอะไรบ้าง ร้ายแรงแค่ไหน
ผลกระทบข้อแรก คือความเสี่ยงที่แฮกเกอร์จะเข้าควบคุมเซิร์ฟเวอร์จากระยะไกล หากโจมตีสำเร็จ ผู้โจมตีอาจรันคำสั่งต่าง ๆ ด้วยสิทธิ์ของบัญชีที่ใช้ให้บริการเว็บไซต์ ซึ่งอาจนำไปสู่การติดตั้งเครื่องมือสำหรับควบคุมระบบ การสร้างช่องทางกลับเข้ามาโจมตีซ้ำ หรือใช้เซิร์ฟเวอร์ที่ยึดได้เป็นจุดเริ่มต้นในการโจมตีระบบอื่น ความเสียหายที่เกิดขึ้นจริงจะขึ้นอยู่กับสิทธิ์ของบัญชีบริการ การแยกเครือข่าย และมาตรการรักษาความปลอดภัยอื่น ๆ ขององค์กร
ผลกระทบข้อที่สอง คือข้อมูลส่วนบุคคลและข้อมูลสำคัญของธุรกิจอาจตกอยู่ในความเสี่ยง เมื่อผู้โจมตีเข้าถึงเซิร์ฟเวอร์ได้ อาจมีโอกาสเข้าถึงไฟล์ตั้งค่าระบบ ข้อมูลเชื่อมต่อฐานข้อมูล ข้อมูลลูกค้า หรือข้อมูลที่ใช้ยืนยันตัวตน ทั้งนี้ การเข้าถึงข้อมูลเหล่านี้ไม่ได้เกิดขึ้นโดยอัตโนมัติในทุกกรณี แต่ขึ้นอยู่กับสิทธิ์ที่ผู้โจมตีได้รับและการป้องกันข้อมูลภายในระบบ หากข้อมูลดังกล่าวรั่วไหล องค์กรอาจต้องเผชิญกับความเสียหายทางธุรกิจ การหยุดให้บริการ และภาระในการจัดการเหตุข้อมูลรั่วไหลเพิ่มเติม
ผลกระทบข้อที่สาม คือเว็บไซต์และแพลตฟอร์มสำเร็จรูปอาจได้รับผลกระทบเป็นวงกว้าง เนื่องจาก PHP เป็นส่วนประกอบของซอฟต์แวร์หลายชนิด รวมถึงระบบจัดการเว็บไซต์อย่าง WordPress, Drupal และ Joomla หน่วยงาน NHS England Digital ระบุว่ามีการสาธิตการโจมตีที่ทำให้สามารถรันโค้ดจากระยะไกลได้ในผลิตภัณฑ์ที่รวม PHP เหล่านี้ด้วย อย่างไรก็ตาม ไม่ควรสรุปว่าเว็บไซต์ที่ใช้แพลตฟอร์มดังกล่าวทุกแห่งถูกเจาะแล้ว เพราะผลกระทบขึ้นอยู่กับเวอร์ชัน PHP และรูปแบบการติดตั้งที่ใช้งานจริง
ผลกระทบข้อที่สี่ คืออุปกรณ์และระบบที่ไม่ใช่เว็บไซต์ทั่วไปก็อาจได้รับผลกระทบ PHP อาจถูกฝังอยู่ในอุปกรณ์เครือข่าย ระบบจัดการอุปกรณ์ หรือผลิตภัณฑ์ซอฟต์แวร์ที่ผู้ใช้ไม่สามารถเข้าไปอัปเดต PHP ด้วยตัวเองได้ ผู้ดูแลจึงอาจต้องรอผู้ผลิตออกเฟิร์มแวร์หรือแพตช์สำหรับผลิตภัณฑ์นั้นโดยเฉพาะ ปัญหานี้ทำให้การแก้ไขมีความซับซ้อนกว่าการอัปเดตเว็บไซต์ที่องค์กรพัฒนาขึ้นเอง
ผลกระทบข้อที่ห้า คือความเสี่ยงต่อระบบที่เชื่อมต่อกันและบริการบนอินเทอร์เน็ต หากเซิร์ฟเวอร์ที่ถูกเจาะมีสิทธิ์เชื่อมต่อกับระบบฐานข้อมูล ระบบภายในองค์กร หรือบริการอื่น ผู้โจมตีอาจใช้สิทธิ์เหล่านั้นขยายการโจมตีต่อได้ ขณะที่เว็บไซต์ที่ถูกยึดอาจถูกดัดแปลงเนื้อหา ใช้แพร่กระจายมัลแวร์ หรือสร้างความเสียหายให้ผู้เข้าชมได้ นี่เป็นเหตุผลที่หน่วยงานความมั่นคงไซเบอร์หลายแห่งเรียกร้องให้เร่งแก้ไขระบบที่เปิดให้เข้าถึงจากอินเทอร์เน็ตก่อนเป็นลำดับแรก
เมื่อพิจารณาจากคะแนนความรุนแรง 9.2/10 และความสามารถในการโจมตีจากระยะไกลโดยไม่ต้องยืนยันตัวตน ช่องโหว่ PHP2Shell จึงจัดเป็นปัญหาความปลอดภัยระดับวิกฤตที่องค์กรควรเร่งจัดการ อย่างไรก็ตาม คะแนนความรุนแรงไม่ได้หมายความว่าอินเทอร์เน็ตทั้งหมดจะล่ม หรือเว็บไซต์ทุกแห่งถูกโจมตีสำเร็จแล้ว สิ่งที่ได้รับการยืนยันคือมีช่องโหว่ร้ายแรง มีแพตช์แก้ไขแล้ว และมีรายงานความพยายามโจมตีในวงกว้าง
สิ่งที่คนทั่วไปต้องทำหรือต้องระวัง
สำหรับผู้ใช้อินเทอร์เน็ตทั่วไป สิ่งสำคัญที่สุดคือไม่จำเป็นต้องตกใจหรือเปลี่ยนรหัสผ่านทุกบัญชีเพียงเพราะมีข่าวช่องโหว่ PHP เนื่องจากปัญหานี้เกิดขึ้นในส่วนประกอบที่ทำงานอยู่บนเซิร์ฟเวอร์ ไม่ใช่ช่องโหว่ที่หมายความว่าคอมพิวเตอร์หรือโทรศัพท์ของผู้ใช้ทุกเครื่องจะติดปัญหาโดยตรง สิ่งที่ควรทำคืออัปเดตระบบปฏิบัติการและแอปพลิเคชันตามปกติ ระวังเว็บไซต์ที่มีพฤติกรรมผิดปกติ และติดตามประกาศจากบริการที่ตนใช้งาน หากได้รับแจ้งจากผู้ให้บริการว่าระบบมีเหตุข้อมูลรั่วไหล จึงค่อยเปลี่ยนรหัสผ่านที่เกี่ยวข้องและเปิดใช้การยืนยันตัวตนหลายขั้นตอนตามคำแนะนำ
สำหรับผู้ที่มีเว็บไซต์ ร้านค้าออนไลน์ หรือดูแลระบบให้ธุรกิจ สิ่งที่ต้องทำจริงจังกว่าคือสอบถามผู้ให้บริการโฮสติ้งว่าระบบใช้ PHP เวอร์ชันใดและได้รับการอัปเดตแก้ไขช่องโหว่ทั้งสองรายการแล้วหรือยัง เพราะการไม่รู้ว่าเว็บไซต์ใช้ PHP อยู่เบื้องหลังไม่ได้หมายความว่าจะไม่มีความเสี่ยง หากเป็นผู้ดูแลเว็บไซต์ WordPress หรือแพลตฟอร์มสำเร็จรูป ควรตรวจสอบทั้ง PHP ที่เซิร์ฟเวอร์ใช้และประกาศจากผู้พัฒนาระบบหรือผู้ให้บริการโฮสติ้ง ไม่ใช่เพียงกดอัปเดตปลั๊กอินหรือธีมแล้วคิดว่าปัญหาจบลง
นอกจากนี้ หากเว็บไซต์มีข้อมูลลูกค้า ข้อมูลการชำระเงิน หรือข้อมูลสำคัญขององค์กร ควรตรวจสอบบันทึกการทำงานของเซิร์ฟเวอร์และสัญญาณการบุกรุกด้วย เพราะการติดตั้งแพตช์ช่วยปิดช่องโหว่ แต่ไม่ได้ยืนยันว่าไม่มีใครเคยโจมตีระบบก่อนหน้านั้น หากพบไฟล์แปลกปลอม บัญชีผู้ใช้ที่ไม่รู้จัก หรือการทำงานผิดปกติ ควรให้ผู้เชี่ยวชาญตรวจสอบและดำเนินการตามแผนรับมือเหตุการณ์ไซเบอร์
วิธีแก้ไข และจะแก้เสร็จเมื่อไหร่
ทีมพัฒนา PHP ออกเวอร์ชันที่แก้ไขช่องโหว่ทั้งสองรายการแล้วเมื่อวันที่ 21 ตุลาคม 2026 ได้แก่ PHP 8.5.12, PHP 8.4.27, PHP 8.3.36 และ PHP 8.2.35 ผู้ดูแลระบบควรอัปเดตเป็นเวอร์ชันที่แก้ไขแล้วหรือเวอร์ชันใหม่กว่าที่ได้รับการยืนยันว่าปลอดภัย โดยเลือกให้ตรงกับสายเวอร์ชันที่ใช้งานอยู่ จากนั้นรีสตาร์ตโปรเซสที่เกี่ยวข้องตามขั้นตอนของระบบและตรวจสอบว่าการติดตั้งแพตช์มีผลจริง
สำหรับระบบที่ใช้ PHP 8.1 หรือเก่ากว่า ซึ่งหมดระยะสนับสนุนจากโครงการ PHP แล้ว ผู้ดูแลไม่ควรคิดว่าจะได้รับการแก้ไขผ่านการอัปเดตปกติเสมอไป ต้องตรวจสอบว่าผู้ให้บริการระบบปฏิบัติการหรือผู้จำหน่ายมีแพตช์ย้อนกลับสำหรับเวอร์ชันเก่าหรือไม่ หากไม่มี ควรวางแผนอัปเกรดไปยังเวอร์ชันที่ยังได้รับการสนับสนุน สำหรับผลิตภัณฑ์ที่ฝัง PHP ไว้ภายใน ผู้ใช้ต้องติดตามแพตช์จากผู้ผลิตของผลิตภัณฑ์นั้นด้วย
หากยังไม่สามารถติดตั้งแพตช์ได้ทันที องค์กรอาจต้องใช้มาตรการชั่วคราว เช่น จำกัดการเข้าถึงเซิร์ฟเวอร์จากอินเทอร์เน็ต แยกระบบที่มีความเสี่ยงออกจากเครือข่ายสาธารณะ และปรับค่าบางอย่างตามคำแนะนำของทีมพัฒนา PHP แต่ต้องเข้าใจว่ามาตรการเหล่านี้ไม่ใช่การแก้ไขที่สมบูรณ์ โดยเฉพาะเมื่อทีมพัฒนา PHP ระบุว่าการอัปเดตเป็นวิธีแก้ไขที่ปลอดภัยอย่างแท้จริง
สำหรับคำถามว่าจะใช้เวลาอีกนานแค่ไหนกว่าปัญหาจะได้รับการแก้ไข คำตอบคือ แพตช์ของ PHP ออกมาแล้ว แต่ยังไม่มีวันที่ที่ยืนยันได้ว่าระบบทุกแห่งทั่วโลกจะอัปเดตเสร็จสิ้น เพราะแต่ละองค์กรมีจำนวนเซิร์ฟเวอร์และข้อจำกัดต่างกัน บางแห่งอัปเดตได้ทันที ขณะที่บางแห่งต้องทดสอบระบบเดิม ประสานงานกับผู้ให้บริการ หรือรอผู้ผลิตอุปกรณ์ออกแพตช์เพิ่มเติม ดังนั้น แม้ช่องโหว่จะได้รับการแก้ไขในระดับโครงการ PHP แล้ว แต่ความเสี่ยงจะลดลงได้จริงก็ต่อเมื่อระบบที่ได้รับผลกระทบติดตั้งแพตช์และตรวจสอบความปลอดภัยเรียบร้อยแล้ว
อ้างอิง php.net cert.europa.eu csa.gov.sg cover iT24Hrs
และข่าวอื่นๆเพิ่มเติมได้ที่ it24hrs.com
PHP2Shell ช่องโหว่ PHP ที่อาจเปิดทางให้แฮกเกอร์ยึดเซิร์ฟเวอร์ทั่วโลก
อย่าลืมกดติดตามอัพเดตข่าวสาร ทิปเทคนิคดีๆกันนะคะ Please follow us
Youtube it24hrs
Twitter it24hrs
Tiktok it24hrs
facebook it24hrs
ติดต่อโฆษณา [email protected] โทร 080234502
