ซีอีโอ Immunefi เตือนช่องโหว่ PHP ยังเสี่ยง ให้ถือว่าเว็บที่ล็อกอินอาจถูกเจาะแล้ว ระวังเชื่อมกระเป๋าคริปโต
มิตเชลล์ อามาดอร์ (Mitchell Amador) ซีอีโอ Immunefi แพลตฟอร์มบั๊กบาวน์ตี้ (รางวัลแลกกับการแจ้งช่องโหว่) ของวงการคริปโต บอก Cointelegraph เมื่อ 26 ตุลาคม 2569 ว่าผู้ใช้อินเทอร์เน็ตยังเสี่ยงถูกโจมตีผ่านช่องโหว่ PHP ที่มีแพตช์ออกมาเมื่อสัปดาห์ก่อน โดยเฉพาะเว็บขนาดเล็กที่อาจใช้เวลาหลายสัปดาห์กว่าจะอัปเดต เขาเรียกสถานการณ์นี้ว่า "หายนะช่องโหว่" (vulnerability apocalypse) ที่ "เป็นไปตามกำหนด" คือการหาช่องโหว่ถูกลงแต่การแก้ยังแพง และแนะนำให้ "ถือว่าทุกเว็บที่ล็อกอินอาจถูกเจาะแล้ว" ในช่วงไม่กี่สัปดาห์ข้างหน้า ทีมข่าวอ่านบทความต้นฉบับของ Cointelegraph และเทียบกับข่าวช่องโหว่ PHP ที่เรารายงานไว้แล้ว ข้อความของอามาดอร์เป็นความเห็นของเขา ไม่ใช่ข้อเท็จจริงที่ทีมข่าวตรวจเอง
อามาดอร์พูดอะไร
ในอีกไม่กี่สัปดาห์ข้างหน้า ให้ถือว่าเว็บใดก็ตามที่คุณล็อกอินอาจถูกเจาะไปแล้ว (แปลโดยทีมข่าว ต้นฉบับ "For the next few weeks, treat any site you log into as if it could already be compromised")
- ผู้ใช้อินเทอร์เน็ตยังเสี่ยงโดนโจมตีผ่านช่องโหว่ PHP เพราะเว็บขนาดเล็กอาจอัปเกรดช้าเป็นสัปดาห์ ตามที่ Cointelegraph รายงานคำของอามาดอร์
- เขาเรียกสถานการณ์ว่า "นี่คือหายนะช่องโหว่" ที่กำลังเดินตามกำหนด ซึ่งการหาช่องโหว่ถูกลงแต่การแก้ยังแพง ตามที่ Cointelegraph สรุป และ Cointelegraph ระบุว่าเขาเคยเตือนในบทสัมภาษณ์เดือนมิถุนายนว่าโมเดล AI ระดับแนวหน้าเอื้อฝั่งโจมตีและทำให้การแฮ็ก DeFi กลับมา
- คำแนะนำของอามาดอร์ ได้แก่ ถือว่าเว็บที่ล็อกอินอาจถูกเจาะ ไม่ใช้รหัสผ่านซ้ำ ระวังการเชื่อมกระเป๋าคริปโตกับเว็บไซต์ และเพิกถอนการอนุมัติโทเคนที่ไม่รู้จัก
- Cointelegraph ไม่ได้แสดงว่า AI เป็นผู้พบหรือโจมตีช่องโหว่ PHP รอบนี้ เป็นความเห็นของอามาดอร์ว่า AI ระดับแนวหน้าทำให้การหาช่องโหว่ถูกลง และบทความไม่มีตัวเลขจากแผนภูมิของ Immunefi ที่อ้างถึง
สถานะช่องโหว่ PHP ตามข้อมูลที่ตรวจได้
- นักพัฒนา PHP ออกแพตช์ด่วนปิดช่องโหว่ร้ายแรง 2 จุดเมื่อ 21 ตุลาคม ตามที่เรารายงานใน ข่าวช่องโหว่ PHP รันโค้ดระยะไกล ต้องอัปเดตเป็น 8.5.12, 8.4.27, 8.3.36 หรือ 8.2.35 ขึ้นไป และเว็บแต่ละแห่งต้องอัปเกรดเอง การอัปเดต WordPress หรือ Laravel ไม่ได้อัปเดต PHP ข้างใต้ ตามที่ The Hacker News รายงานในข่าวนั้น
- มูลนิธิ PHP ยอมรับว่าการแก้ช่องโหว่ที่พบครั้งแรกในปี 2567 ล่าช้าเพราะทรัพยากรไม่พอ ตามที่ Cointelegraph รายงาน
- แมทธิว พรินซ์ (Matthew Prince) ซีอีโอ Cloudflare โพสต์บน X ว่าเห็นความพยายามโจมตีหลักล้านครั้งใน 24 ชั่วโมงหลังเปิดเผย และหลักพันครั้งก่อนเปิดเผย ตามที่ Cointelegraph รายงาน ตัวเลขนี้เป็นคำของพรินซ์ ทีมข่าวตรวจเองไม่ได้ ตามที่เรารายงานใน ข่าว Cloudflare เห็นความพยายามโจมตีหลักล้านครั้ง
- หน่วยไซเบอร์ของ FBI (FBI Cyber Division) เตือนบน X ว่าช่องโหว่อาจให้ผู้โจมตี "รันโค้ดจากระยะไกลใน PHP core" และกระทบข้อมูลสำคัญและเครือข่าย ตามที่ Cointelegraph รายงาน ทีมข่าวเปิดโพสต์ต้นฉบับบน X ไม่ได้
- ตามข้อมูลของเราก่อนหน้านี้ ผู้พบและรายงานช่องโหว่ได้แก่ Wiz Research, Calif และทีม Codex Security ของ OpenAI ตามที่ The Hacker News รายงาน
- ทีมข่าวยังไม่พบรายงานที่ยืนยันว่ามีเว็บถูกเจาะสำเร็จ และ Cointelegraph ไม่ระบุความเสียหายที่เกี่ยวกับ PHP
ใครยังเสี่ยงอยู่
- W3Techs ประเมินว่า PHP ขับเคลื่อนราว 69.2% ของเว็บที่ทราบภาษาฝั่งเซิร์ฟเวอร์ ตามข้อมูลวันที่ 26 ตุลาคมที่ทีมข่าวเปิดอ่านเอง (Cointelegraph ใช้ตัวเลขราว 69%) ส่วน Cloudflare บอกว่าราว 1 ใน 5 ของเว็บไซต์ใช้เครือข่ายของตน
- เว็บที่ใช้ PHP แบ่งตามรุ่นหลักคือ PHP 8.x ราว 65.5%, PHP 7.x ราว 26.7% และ PHP 5.x ราว 7.7% ตาม W3Techs ซึ่งตามข่าวก่อนหน้าของเรา โครงการ PHP ไม่ได้ออกแพตช์ให้ PHP 8.1 และเก่ากว่า เว็บบนรุ่นเก่าจึงต้องพึ่งแพตช์จากผู้ให้บริการหรือทีมความปลอดภัยของระบบปฏิบัติการ ทีมข่าวไม่ทราบสัดส่วนที่อัปเดตแล้ว
- Cloudflare บอกว่ากฎป้องกันของตนเป็นเพียงชั้นป้องกันเสริม ต้องอัปเดต PHP ที่เซิร์ฟเวอร์ด้วย ตามที่เรารายงานไว้
มุมไทย
- ทีมข่าวไม่พบรายงานที่ระบุว่าเว็บหรือกระดานเทรดในไทยถูกเจาะผ่านช่องโหว่นี้ และไม่พบตัวเลขเว็บไทยที่ใช้ PHP รุ่นที่ยังเสี่ยง
- ผู้ใช้ทั่วไปทำได้ตามคำแนะนำของอามาดอร์ เช่น ไม่ใช้รหัสผ่านซ้ำข้ามเว็บ ระวังการเชื่อมกระเป๋าคริปโตกับเว็บไซต์ และเพิกถอนการอนุมัติโทเคนที่ไม่รู้จัก ส่วนผู้ดูแลเว็บต้องอัปเดต PHP ที่เซิร์ฟเวอร์เอง ทีมข่าวไม่ได้เพิ่มคำแนะนำอื่นนอกเหนือจากที่ Cointelegraph รายงาน
- Immunefi เป็นแพลตฟอร์มบั๊กบาวน์ตี้ ซึ่งมีธุรกิจเกี่ยวกับการค้นหาและแจ้งช่องโหว่ จึงควรอ่านความเห็นนี้โดยรู้ว่าเป็นมุมมองของผู้ที่เกี่ยวข้อง Cointelegraph อ้างจากหน้าแรกของ Immunefi ว่าจ่ายรางวัลแล้ว 140 ล้านดอลลาร์ใน 650 โปรโตคอล ซึ่งเป็นตัวเลขที่บริษัทอ้างเอง
สิ่งที่ยังไม่รู้
- มีเว็บใดถูกเจาะสำเร็จจริงแล้วกี่แห่ง และมีความเสียหายกับผู้ใช้คริปโตหรือไม่
- สัดส่วนเว็บที่อัปเดต PHP แล้ว และเว็บเล็กใช้เวลาอัปเดตเฉลี่ยนานเท่าใด
- AI มีบทบาทในการค้นพบหรือโจมตีช่องโหว่รอบนี้แค่ไหน นอกจากที่ The Hacker News ระบุว่าทีม Codex Security ของ OpenAI เป็นหนึ่งในผู้รายงาน
- Cointelegraph ไม่ได้ลิงก์ไปยังบทความหรือข้อมูลต้นฉบับของ Immunefi และไม่ระบุตัวเลขจากแผนภูมิที่อ้างถึง
📎 ข่าวที่เกี่ยวข้องจาก Bitcoinaddict.com:
เรื่องช่องโหว่ PHP และช่องโหว่ที่ AI ช่วยหาที่เรารายงานไว้
👉 Red Team อาสาสมัคร Bitcoin เจอช่องโหว่เกือบ 5,000 จุด หลังส่อง 390 โปรเจกต์ใน 30 ชม.
👉 Coinkite ปล่อยเฟิร์มแวร์ Coldcard ใหม่ หลังโดนขโมย Bitcoin $114 ล้าน ใช้ AI ช่วยจับบั๊ก
🔗 อ้างอิงต้นฉบับ: Cointelegraph (26 ต.ค. 2569), W3Techs: การใช้ PHP (26 ต.ค. 2569), โพสต์ของ Cloudflare CEO บน X (ตามที่ Cointelegraph ลิงก์), โพสต์ของ FBI Cyber Division บน X (ตามที่ Cointelegraph ลิงก์)
💬 ความเห็นบรรณาธิการ Bitcoinaddict
ข้อที่ตรวจได้ชัดคือ ช่องโหว่ PHP ที่มีแพตช์เมื่อ 21 ตุลาคมต้องให้แต่ละเว็บอัปเกรดเอง ซึ่งเว็บเล็กอาจช้า และ PHP ถูกใช้กับราว 69.2% ของเว็บที่ทราบภาษาฝั่งเซิร์ฟเวอร์ตาม W3Techs ส่วนที่ยังไม่ชัดคือมีเว็บถูกเจาะสำเร็จแล้วกี่แห่ง และ AI มีบทบาทแค่ไหน สำหรับผู้อ่านชาวไทย คำแนะนำของอามาดอร์ เช่น ไม่ใช้รหัสผ่านซ้ำและระวังการเชื่อมกระเป๋า ใช้ได้โดยไม่ต้องรอผลสืบสวน ทีมข่าวไม่ฟันธงว่า "หายนะช่องโหว่" จะเกิดขึ้นจริง และไม่ได้ชี้ว่าทุกเว็บที่ล็อกอินถูกเจาะแล้ว เพราะเป็นคำแนะนำเชิงป้องกันของผู้ที่ทำธุรกิจเกี่ยวกับช่องโหว่ สิ่งที่ต้องรอคือรายงานการเจาะสำเร็จที่ยืนยันได้ และจำนวนเว็บที่อัปเดตแล้ว
เนื้อหานี้เป็นข้อมูลข่าว ไม่ใช่คำแนะนำการลงทุน
— รายงานโดยทีมข่าว Bitcoinaddict.com