Cloudflare: ช่องโหว่ PHP ถูกลองโจมตีหลักล้านครั้ง AWS ว่าเริ่มก่อนเปิดเผย 4 วัน ยังไม่ยืนยันเจาะสำเร็จ
Cloudflare บริษัทเครือข่ายและความปลอดภัยเว็บ เห็นความพยายามโจมตีช่องโหว่ PHP2Shell หลักล้านครั้ง ตามที่แมทธิว พรินซ์ (Matthew Prince) ซีอีโอ Cloudflare โพสต์บน X เมื่อ 22 ตุลาคม 2569 ผ่านรายงานของ Cointelegraph และ The Register ขณะที่ Amazon Threat Intelligence (หน่วยข่าวกรองภัยคุกคามของ AWS) บอกว่าเห็นความพยายามโจมตีครั้งแรกบนเครือข่ายล่อ (honeypot) ตั้งแต่ 17 ตุลาคม ก่อนปล่อยแพตช์ 4 วัน ยังไม่มีแหล่งใดที่ทีมข่าวอ่านยืนยันว่ามีเซิร์ฟเวอร์ถูกเจาะสำเร็จ และตัวเลข "หลักล้านครั้ง" เป็นคำของพรินซ์ที่ทีมข่าวตรวจเองไม่ได้ ข่าวนี้ต่อจาก ข่าวช่องโหว่ PHP ที่เรารายงานไว้
Cloudflare บอกอะไร
ข้อมูลต่อไปนี้มาจากรายงานของ Cointelegraph (22 ต.ค.) The Register (22 ต.ค. เวลา 13:15 UTC) และบล็อกของ Cloudflare เอง (21 ต.ค.)
- พรินซ์โพสต์บน X วันพฤหัสบดีว่า ระบบเห็นความพยายามโจมตีหลักพันครั้งใน 10 ชั่วโมงก่อนเปิดเผยช่องโหว่ ซึ่งเพิ่มเป็นหลักหมื่นครั้งภายใน 45 นาทีหลังเปิดเผย หลักแสนครั้งภายใน 2 ชั่วโมง และตอนนี้ถึงหลักล้านครั้ง ตามที่ The Register รายงาน ส่วน Cointelegraph ระบุเพียงว่าหลักพันก่อนเปิดเผยและตอนนี้ "หลักล้าน"
- Cloudflare บอกว่าผู้โจมตีปรับ payload เพื่อหลบกฎไฟร์วอลล์ (WAF) ดูเหมือนใช้ผลตอบกลับจากคำขอที่ถูกบล็อก ตามที่ The Register รายงาน บล็อกของ Cloudflare บอกว่าติดตามการเปลี่ยนแปลงนี้ แต่ไม่ระบุตัวเลข
- กฎป้องกันของ Cloudflare เริ่มทำงานเมื่อ 21 ตุลาคม 03:02 UTC ราว 9 ชั่วโมงก่อนเปิดเผยแพตช์ โดยลูกค้า WAF ทั้งแบบฟรีและแบบเสียเงินได้รับการป้องกันโดยปริยายตามบล็อกของ Cloudflare และบอกว่าเป็นเพียงชั้นป้องกันเสริม ต้องอัปเดต PHP ที่ตัวเซิร์ฟเวอร์ด้วย
- Cloudflare บอกว่าราว 1 ใน 5 ของเว็บไซต์ใช้เครือข่ายของตน และ W3Techs ประเมินว่า PHP ขับเคลื่อนราว 69% ของเว็บที่ทราบภาษาฝั่งเซิร์ฟเวอร์ ตามที่ Cointelegraph รายงาน
- Cointelegraph ไม่ได้ระบุจำนวนที่ถูกบล็อก จำนวนลูกค้า หรือวิธีนับตัวเลข "หลักล้าน"
AWS บอกว่าเริ่มก่อนเปิดเผย
The Register รายงานคำของ Amazon Threat Intelligence ซึ่งทีมข่าวหาโพสต์ต้นฉบับของ AWS ไม่พบ จึงเป็นข้อมูลต่อจาก The Register
- 17 ตุลาคม: เครือข่ายล่อ MadPot ของ Amazon ตรวจพบความพยายามโจมตีครั้งแรก 4 วันก่อนปล่อยแพตช์ มาจากที่อยู่ที่ปกปิดตัวตน Amazon บอกว่าชี้ว่าเป็นฝีมือผู้ไม่ประสงค์ดี และไม่ชัดว่าผู้โจมตีได้ข้อมูลช่องโหว่มาจากไหนก่อนเปิดเผย
- 21 ตุลาคม: พบโค้ดพิสูจน์แนวคิด (PoC) หลายตัว เร็วสุดราว 02:00 UTC ก่อนแพตช์ราว 12 ชั่วโมง และอีก 6 ชั่วโมงต่อมามีความพยายามจากโครงสร้างพื้นฐานปกปิดตัวตนที่ต่างกันพร้อม payload ต่างกัน Amazon เชื่อว่าเป็นผู้โจมตีหลายกลุ่ม ซึ่งเป็นการตีความของ Amazon
- Amazon แนะนำให้องค์กรตรวจกิจกรรมน่าสงสัยย้อนไปอย่างน้อย 17 ตุลาคม
- Hadrian (บริษัทความปลอดภัย) บอกเมื่อ 21 ตุลาคมว่า PHP2Shell ถูกโจมตี "ในวงกว้าง" และส่วนใหญ่ใช้เส้นทาง session upload progress ของ PHP ตามที่ The Register รายงาน
- FBI (ฝ่ายไซเบอร์) โพสต์บน X วันพุธว่าช่องโหว่อาจ "ทำให้ผู้ไม่ประสงค์ดีสั่งรันโค้ดจากระยะไกลในแกนกลางของ PHP" และขอให้องค์กรอัปเดตทันทีหรือปิดระบบที่ได้รับผลกระทบ ตามที่ Cointelegraph รายงาน ทีมข่าวหาโพสต์ต้นฉบับยืนยันไม่ได้
ขัดกับที่ PHP บอกหรือไม่
มูลนิธิ PHP ระบุเมื่อ 21 ตุลาคมว่าทีมความปลอดภัยไม่พบ exploit ที่ใช้งานได้ ณ ตอนปล่อยแพตช์ ตามที่เรารายงานไว้ ส่วนข้อมูลของ Cloudflare, Amazon, Hadrian และ watchTowr (ที่ The Hacker News รายงานว่าเห็นความพยายามโจมตีเมื่อ 14:19 UTC) เป็นเรื่อง "ความพยายามโจมตี" ซึ่งไม่ได้แปลว่าโจมตีสำเร็จ ข่าวทั้งหมดที่ทีมข่าวอ่านไม่ยืนยันว่าเซิร์ฟเวอร์ใดถูกเจาะ สถานะของช่องโหว่ทั้งสองในแคตตาล็อกช่องโหว่ที่ถูกใช้โจมตีจริงของ CISA ตามไฟล์ที่ทีมข่าวดึงเมื่อ 23 ตุลาคม (ปรับปรุงล่าสุด 21 ตุลาคม 14:04 UTC) ยังไม่มีรายการ
ต้องทำอะไร ตามที่แหล่งข่าวแนะนำ
- อัปเดต PHP ที่ตัวเซิร์ฟเวอร์เป็น 8.5.12, 8.4.27, 8.3.36 หรือ 8.2.35 ตามที่เรารายงานไว้ การอัปเดตเว็บไซต์หรือปลั๊กอินอย่างเดียวไม่แก้ปัญหา ตาม Cloudflare
- ถ้าโฮสต์เป็นผู้จัดการ PHP ให้ถามผู้ให้บริการว่าอัปเดตแล้วหรือยัง
- Cloudflare แนะนำให้เปิด WAF ไว้ระหว่างอัปเดต และจำกัดการอัปโหลดกับขนาดไฟล์ช่วยลดความเสี่ยงได้ แต่ไม่ทดแทนการอัปเดต
- Amazon แนะนำให้ตรวจกิจกรรมน่าสงสัยย้อนไปถึง 17 ตุลาคม
สิ่งที่ยังไม่รู้
- มีเซิร์ฟเวอร์ใดถูกเจาะสำเร็จหรือไม่ และผู้โจมตีทำอะไรหลังเข้าได้
- ตัวเลข "หลักล้านครั้ง" นับอย่างไร และมาจากกี่ที่อยู่หรือกลุ่มผู้โจมตี
- ผู้โจมตีที่ AWS เห็นเมื่อ 17 ตุลาคมได้ข้อมูลช่องโหว่มาจากไหน ซึ่ง Amazon ก็บอกว่าไม่ชัด
- โพสต์ต้นฉบับของ Amazon และ FBI ซึ่งทีมข่าวหาไม่พบ
- เว็บคริปโตหรือกระดานเทรดรายใดได้รับผลกระทบ ทีมข่าวไม่พบข้อมูลว่ามีรายใดถูกโจมตีสำเร็จ และรายงานชุดนี้ไม่มีมุมคริปโตโดยตรง
📎 ข่าวที่เกี่ยวข้องจาก Bitcoinaddict.com:
เรื่องช่องโหว่ PHP และความปลอดภัยที่เราเคยรายงานไว้
🔗 อ้างอิงต้นฉบับ: Cointelegraph (22 ต.ค. 2569), The Register (22 ต.ค. 2569), บล็อก Cloudflare (21 ต.ค. 2569), The Hacker News (21 ต.ค. 2569), CISA
💬 ความเห็นบรรณาธิการ Bitcoinaddict
ข้อที่ตรวจได้ชัดคือ Cloudflare เปิดกฎป้องกันตั้งแต่ 03:02 UTC วันที่ 21 ตุลาคม และ Cloudflare กับ Amazon บอกว่าเห็นความพยายามโจมตีทั้งก่อนและหลังเปิดเผย ส่วนที่ยังไม่ชัดคือมีการเจาะสำเร็จหรือไม่ และตัวเลขหลักล้านนับอย่างไร สำหรับผู้อ่านชาวไทย ข่าวนี้ต่อจากเดิมตรงที่ช่องโหว่อยู่ในตัว PHP ผู้ที่ดูแลเว็บหรือใช้โฮสต์ที่รัน PHP ควรถามผู้ให้บริการว่าอัปเดตแล้วหรือยัง ส่วนผู้ใช้ทั่วไปแก้ที่เครื่องตัวเองไม่ได้ ทีมข่าวไม่พบว่าเว็บคริปโตไทยได้รับผลกระทบ และไม่ได้ตรวจซอฟต์แวร์ของผู้ให้บริการไทยรายใด ข้อมูลที่ Amazon บอกว่าเห็นความพยายามตั้งแต่ 17 ตุลาคมทำให้การตรวจย้อนหลังสำคัญขึ้น แต่ทีมข่าวอ่านโพสต์ต้นฉบับของ Amazon ไม่ได้ สิ่งที่ต้องรอคือหลักฐานการเจาะสำเร็จ คำชี้แจงของ Amazon และการอัปเดตของผู้ให้บริการ
เนื้อหานี้เป็นข้อมูลข่าว ไม่ใช่คำแนะนำการลงทุน
— รายงานโดยทีมข่าว Bitcoinaddict.com