ช่องโหว่ PHP รันโค้ดระยะไกล 2 จุด มูลนิธิยอมรับ "ล้มเหลวเชิงโครงสร้าง" เห็นสัญญาณแรกปี 2567 เว็บรัฐปิดชั่วคราว
มูลนิธิ PHP (PHP Foundation) ซึ่งดูแลภาษา PHP ที่เว็บไซต์จำนวนมากทั่วโลกใช้ ยอมรับว่าความล่าช้าในการอุดช่องโหว่ร้ายแรงเป็น "structural failure" (ความล้มเหลวเชิงโครงสร้าง) จากกระบวนการตัดสินใจของทีมความปลอดภัยและทรัพยากรที่ไม่พอ หลังออกแพตช์ด่วนเมื่อ 21 ตุลาคม 2569 เพื่อปิดช่องโหว่ 2 จุดที่ผู้โจมตีที่ไม่ได้ล็อกอินอาจสั่งรันโค้ดบนเซิร์ฟเวอร์ได้ ตามที่ Cointelegraph, The Hacker News และโพสต์ของมูลนิธิรายงาน หลายหน่วยงานรัฐทั่วโลกปิดเว็บชั่วคราวเพื่อป้องกันไว้ก่อน และ SlowMist ซึ่งเป็นบริษัทความปลอดภัยบล็อกเชนเตือนให้กระดานเทรด DeFi และผู้ให้บริการกระเป๋าคริปโตรีบอัปเดต
ช่องโหว่คืออะไร
ช่องโหว่ทั้งสองอยู่ในตัว PHP เอง ไม่ใช่ในโค้ดของเว็บใดเว็บหนึ่ง ข้อมูลต่อไปนี้ทีมข่าวอ่านจากโพสต์ของมูลนิธิ PHP เมื่อ 21 ตุลาคม และรายงานของ The Hacker News
- CVE-2026-109618 และ CVE-2026-109619 รวมเรียกว่า PHP2Shell ตามที่ The Hacker News ใช้ คะแนนความรุนแรง CVSS v4.0 ที่ 9.2 ทั้งคู่ ส่วนคะแนน 10.0 ที่เผยแพร่ก่อนหน้านี้ไม่ใช่ของ PHP
- CVE-2026-109618: คำขอที่ทำให้หน่วยความจำเกินขีดจำกัด (memory_limit) ในจังหวะที่ผิดอาจทำให้ข้อมูลในหน่วยความจำเสียหาย บน Apache ที่ใช้ mod_php คำขอเดียวที่ไม่ต้องล็อกอินอาจทำให้เกิดผลนี้ก่อนโค้ดของเว็บเริ่มทำงาน ทีมนักวิจัยสาธิตการรันโค้ดได้บนค่าตั้งต้น
- CVE-2026-109619: ข้อผิดพลาดร้ายแรงอาจทิ้งสถานะภายในที่ชี้ไปยังหน่วยความจำของคำขอก่อนหน้า ทำให้คำขอถัดไปบน worker เดิมใช้หน่วยความจำที่ถูกคืนแล้ว มีการสาธิตการรันโค้ดกับแอปจริงบน Apache ที่ใช้ mod_php
- ผู้พบและรายงานคือ Wiz Research, Calif และทีม Codex Security ของ OpenAI ตามที่ The Hacker News รายงาน ซึ่งระบุว่าช่องโหว่กระทบ PHP เกือบทุกเวอร์ชันย้อนไปถึง 5.4
- ผู้โจมตียังอ่านข้อมูลในหน่วยความจำของ worker ได้โดยไม่ต้องรันโค้ด ซึ่งอาจมีรหัสผ่าน โทเคนยืนยันตัวตน API Key และใบรับรองของคำขออื่น ตามที่ The Hacker News รายงาน
ต้องอัปเดตเวอร์ชันไหน
- PHP 8.5 ต้องเป็น 8.5.12 ขึ้นไป, 8.4 เป็น 8.4.27, 8.3 เป็น 8.3.36 และ 8.2 เป็น 8.2.35 ปล่อยเมื่อ 21 ตุลาคม เวลา 14:00 UTC (21.00 น. เวลาไทย) เลื่อนจากกำหนดเดิม 22 ตุลาคม
- การอัปเดตแอปอย่าง WordPress หรือ Laravel ไม่ได้อัปเดต PHP ที่อยู่ข้างใต้ ต้องอัปเดตผ่านแพ็กเกจเซิร์ฟเวอร์ ผู้ให้บริการโฮสต์ หรือ container image แล้วรีสตาร์ต Apache, PHP-FPM และ worker ที่ทำงานต่อเนื่อง ตามที่ The Hacker News รายงาน
- PHP 8.1 และเก่ากว่าไม่ได้รับการอัปเดตจากโครงการ PHP แต่ทีมความปลอดภัยออก backport ของซอร์สโค้ดสำหรับ 7.4, 8.0 และ 8.1 และ PHP 8.2 จะหมดอายุสนับสนุนวันที่ 31 ธันวาคม 2569
- มาตรการชั่วคราว เช่น ปรับ memory_limit หรือปิด session upload progress ลดความเสี่ยงได้เฉพาะบางเส้นทางโจมตี ไม่ใช่การแก้เต็มรูปแบบ ตามที่ The Hacker News อ้างคำแนะนำของ PHP
"ล้มเหลวเชิงโครงสร้าง" มูลนิธิบอกอะไร
มูลนิธิ PHP เขียนในโพสต์ว่า "ความล่าช้าเป็นความล้มเหลวเชิงโครงสร้าง ซึ่งเกิดจากทั้งกระบวนการตัดสินใจของทีมความปลอดภัยและการขาดทรัพยากร" ข้อมูลต่อไปนี้มาจากโพสต์ของมูลนิธิเอง
- ปี 2567: นักพัฒนาแกนกลางที่รับจ้างพบสัญญาณแรกของปัญหาหน่วยความจำ ขณะแก้ปัญหาอื่นในการตรวจสอบความปลอดภัยภายนอกครั้งแรกของ PHP ที่ได้ทุนจาก Sovereign Tech Agency ผ่าน OSTIF และทำโดย Quarkslab ตอนนั้นมีการคาดการณ์ว่าอาจโจมตีได้ แต่ไม่พบเส้นทางโจมตีที่ชัดเจน
- ทีมความปลอดภัยพิจารณาวิธีแก้หลายแบบ แต่แต่ละแบบมีข้อเสีย เช่น ทำให้เข้ากันกับโค้ดเดิมไม่ได้ เปิดทางให้โจมตีแบบปฏิเสธการให้บริการ หรือต้องแก้ส่วนขยายของบุคคลที่สามจำนวนมาก กระบวนการที่ต้องได้ฉันทามติทำให้งานหยุดและเริ่มใหม่ซ้ำหลายเดือน
- 11 สิงหาคม: ไรอัน เอ (Ryan A) นักวิจัยจาก Calif รายงานการรันโค้ดไร้เงื่อนไขที่มีต้นตอเดียวกัน และ OpenAI รายงานต้นตอเดียวกันในวันเดียวกันโดยอิสระ จึงกลายเป็นเรื่องเร่งด่วน
- 24 สิงหาคม Wiz และ 18 กันยายน OpenAI รายงานเส้นทางโจมตีเพิ่ม มูลนิธิระบุว่าตั้งแต่ 1 กรกฎาคมทีมเผยแพร่ CVE แล้ว 15 รายการ และจัดการรายงานที่ไม่ถูกต้อง ซ้ำ หรือจำลองไม่ได้กว่า 100 รายการ
- มูลนิธิตั้งทีม Ecosystem Security Team เมื่อพฤษภาคม ใช้ Claude Mythos ของ Anthropic สแกน PHP และ Daybreak Red ของ OpenAI ตรวจสอบรายงาน กำลังเปลี่ยนการตัดสินใจเรื่องความปลอดภัยจากฉันทามติเป็นเสียงข้างมาก และขอทุนสนับสนุนจากบริษัทที่ใช้ PHP ผู้ให้บริการโฮสต์ และภาครัฐ
การเปิดเผย: Anthropic เป็นผู้พัฒนา Claude ซึ่งทีมข่าวใช้ช่วยเรียบเรียงข่าวนี้
การเปิดเผยข้อมูลที่หลุดก่อนกำหนด
- 20 ตุลาคม ราว 15:00 UTC: รหัส CVE ทั้งสองและคะแนน 10.0 ที่ไม่ถูกต้องหลุดออกไปก่อนกำหนดเผยแพร่ 22 ตุลาคม
- ราว 20:00 UTC: Calif โพสต์วิดีโอสาธิตการโจมตีโดยไม่ตั้งใจ แล้วลบ แต่มีสำเนากระจายออกไป ตามที่มูลนิธิและ The Next Web รายงาน
- 21 ตุลาคม 07:41 UTC: Chainguard เผยแพร่ container image ที่มีแพตช์ก่อนเวลาราว 6 ชั่วโมง ซึ่งมูลนิธิระบุว่าทำลายข้อตกลงเผยแพร่พร้อมกัน
มีการโจมตีหรือยัง
รายงานของ Cointelegraph (เช้า 22 ตุลาคม) ระบุตามมูลนิธิ PHP ว่าทีมความปลอดภัยไม่พบ exploit ที่ใช้งานได้ ณ ตอนเผยแพร่ ส่วนรายงานที่ใหม่กว่าของ The Hacker News ที่อัปเดตหลังเผยแพร่ระบุเพิ่มว่า
- Cloudflare บอกก่อนแพตช์ว่าเห็นความพยายามโจมตีระยะแรก ตามที่ เดน เนคท์ (Dane Knecht) CTO ของ Cloudflare กล่าวว่า "เรากำลังเห็นการโจมตีระยะแรกเกิดขึ้น และอัปเดตมาตรการป้องกันเมื่อมีเส้นทางใหม่" และ Cloudflare เปิดกฎไฟร์วอลล์ไว้ตั้งแต่ 03:02 UTC ก่อนแพตช์
- watchTowr บอกตอน 14:19 UTC ว่าเห็นความพยายามโจมตี "active exploitation attempts" ทั้งสอง CVE ทั้งที่ก่อนหน้านั้นรายงานว่าไม่พบ
- ยังไม่มีแหล่งใดยืนยันว่าเซิร์ฟเวอร์ใดถูกเจาะสำเร็จ ณ ตอนที่ The Hacker News อัปเดต และช่องโหว่ทั้งสองยังไม่อยู่ในรายการช่องโหว่ที่ถูกใช้โจมตีจริงของ CISA ตอนนั้น
ผลกระทบ: เว็บรัฐและบริการปิดชั่วคราว
- เนเธอร์แลนด์: บริการระบุตัวตนดิจิทัล DigiD, MijnOverheid และเว็บของศูนย์ความมั่นคงไซเบอร์แห่งชาติ (NCSC) ออฟไลน์ ตามที่ NOS รายงานผ่าน The Hacker News ศูนย์ระบุว่ายังไม่เห็นการโจมตีจริงแต่ขอให้ทุกคนอัปเดต
- Cointelegraph รายงานว่าฟินแลนด์ (Valtori) ฝรั่งเศส (กระทรวงมหาดไทย) เยอรมนี (ITZBund) และออสเตรเลีย (Signals Directorate, เว็บ cyber.gov.au) ได้รับผลกระทบ และ Wikimedia Foundation ปิดบริการสนับสนุนบางส่วน รวมถึง Toolforge และ Cloud VPS ทีมข่าวตรวจกับแหล่งอื่นได้ไม่ครบทุกรายการ
- BambooHR ปิดบริการในสหรัฐฯ แคนาดา และไอร์แลนด์ และเตือนว่าเงินเดือนจะถูกขัดจังหวะ ตาม The Hacker News
- Cointelegraph ระบุว่านายกรัฐมนตรีญี่ปุ่น ซานาเอะ ทาคาอิจิ (Sanae Takaichi) ขอให้ผู้ดูแลเว็บอัปเดตเร็ว และบอกว่าการระงับฟังก์ชันเว็บชั่วคราวอาจลดความเสี่ยงได้ ทีมข่าวหาแหล่งอื่นยืนยันไม่พบ
- ที่กล่าวมาเป็นการปิดเพื่อป้องกัน ไม่ใช่เพราะมีการเจาะระบบที่ยืนยันแล้ว
มุมคริปโต
- SlowMist เตือนให้กระดานเทรด แพลตฟอร์ม DeFi และผู้ให้บริการกระเป๋ารีบแพตช์ "เพราะผู้โจมตีกำลังใช้ช่องโหว่อยู่แล้ว" ตามที่ SlowMist ระบุ ซึ่งต่างจากคำกล่าวของ PHP ว่ายังไม่พบ exploit ที่ใช้งานได้ ณ ตอนเผยแพร่ ทีมข่าวไม่ได้ตรวจหลักฐานของ SlowMist
- Cointelegraph อ้าง SlowMist ว่าระบบ MistEye สแกนพบ 793 โดเมนที่มีลายนิ้วมือ PHP โดยตรงจาก 1,488 โดเมนที่ประเมิน ทีมข่าวหาตัวเลขนี้ในแหล่งอื่นไม่พบ
- เจฟฟ์ ลุงเกลอเฟอร์ (Jeff Lunglhofer) ประธานเจ้าหน้าที่ฝ่ายความปลอดภัยของ Coinbase บอกว่าไม่พบ PHP instance ที่เปิดเผย และ BitGo ระบุว่าแพลตฟอร์มไม่ได้รับผลกระทบ ทั้งสองเป็นคำกล่าวของบริษัทเอง ทีมข่าวตรวจเองไม่ได้
- Intersect (องค์กรธรรมาภิบาลของ Cardano) ปิดพื้นที่สมาชิกเพื่อประเมินความเสี่ยง และยังออฟไลน์ ณ ตอน Cointelegraph เขียน ตามรายงาน
- เฉางเผิง จ้าว (Changpeng Zhao) ผู้ร่วมก่อตั้ง Binance เตือนผู้ใช้ให้ระวังเป็นพิเศษเมื่อเข้าเว็บในไม่กี่วันนี้ เพราะผู้ดูแลบางรายอาจยังไม่แพตช์ ตามที่ Cointelegraph รายงาน
- ทีมข่าวไม่พบข้อมูลว่ากระดานเทรดหรือเว็บคริปโตของไทยได้รับผลกระทบ และไม่ได้ตรวจซอฟต์แวร์ของผู้ให้บริการไทยรายใด
การเปิดเผย: Bitcoin Addict เป็นพันธมิตร (affiliate) ของ Binance TH ซึ่ง Binance ถูกกล่าวถึงในรายงานของ Cointelegraph ผ่านคำเตือนของผู้ร่วมก่อตั้ง
สิ่งที่ยังไม่รู้
- มีเซิร์ฟเวอร์ใดถูกเจาะสำเร็จหรือไม่ และใครเป็นผู้โจมตี
- จำนวนเว็บที่ยังไม่แพตช์ทั่วโลก รวมถึงเว็บคริปโต
- ความถูกต้องของตัวเลข 793 จาก 1,488 โดเมนของ SlowMist
- สถานะล่าสุดของบริการที่ปิดชั่วคราว
- ว่าวิธีเปลี่ยนเป็นเสียงข้างมากของมูลนิธิจะช่วยให้แก้ช่องโหว่ที่ซับซ้อนเร็วขึ้นจริงหรือไม่
📎 ข่าวที่เกี่ยวข้องจาก Bitcoinaddict.com:
เรื่องความปลอดภัยที่เราเคยรายงานไว้
👉 แฮกเกอร์ฝัง Backdoor ในแพ็กเกจ npm ของ Injective หวังขโมย Private Key กระเป๋าคริปโตนักพัฒนา
👉 “กันยายน” คริปโตโดนแฮ็กกว่า 2.5 หมื่นล้านบาท หนักสุดของปี Bitget-Liquid สองเคสกินไป 92%
🔗 อ้างอิงต้นฉบับ: Cointelegraph (22 ต.ค. 2569), โพสต์ของมูลนิธิ PHP (21 ต.ค. 2569), The Hacker News (21 ต.ค. 2569), The Next Web (21 ต.ค. 2569), รายงานคำเตือนของ SlowMist (21 ต.ค. 2569)
💬 ความเห็นบรรณาธิการ Bitcoinaddict
ข้อที่ตรวจได้ชัดคือ PHP ออกเวอร์ชันแก้ 4 ตัวเมื่อ 21 ตุลาคม ช่องโหว่อยู่ในตัว PHP ไม่ใช่โค้ดของแต่ละเว็บ และมีผู้รายงานความพยายามโจมตีแล้วแต่ยังไม่มีการเจาะสำเร็จที่ยืนยัน สำหรับผู้อ่านชาวไทย คนที่เป็นผู้ดูแลเว็บหรือใช้โฮสต์ที่รัน PHP ควรเช็กเวอร์ชันกับผู้ให้บริการ ส่วนคนทั่วไปที่เข้าเว็บกระดานเทรดหรือบริการคริปโตควรรู้ว่าความเสี่ยงอยู่ที่ฝั่งเซิร์ฟเวอร์ที่ผู้ให้บริการต้องแพตช์ ไม่ได้อยู่ที่เครื่องของผู้ใช้ ส่วนผู้ร่วมก่อตั้ง Binance เตือนให้ระวังเพราะผู้ดูแลบางรายอาจยังไม่แพตช์ ทีมข่าวไม่ชี้ว่าเว็บคริปโตใดเสี่ยงและไม่ได้ตรวจสถานะของผู้ให้บริการไทย การที่มูลนิธิยอมรับความล้มเหลวและเปลี่ยนวิธีตัดสินใจเป็นเรื่องที่ตรวจสอบได้จากโพสต์ของมูลนิธิเอง แต่ผลของการเปลี่ยนต้องรอดูต่อ สิ่งที่ต้องรอคือหลักฐานการเจาะระบบจริง ตัวเลขเว็บที่ยังไม่แพตช์ และสถานะของบริการที่ปิดไป
เนื้อหานี้เป็นข้อมูลข่าว ไม่ใช่คำแนะนำการลงทุน
— รายงานโดยทีมข่าว Bitcoinaddict.com