เว็บที่รันด้วย PHP รวมถึง WordPress ควรอัปเดตทันที ช่องโหว่ php2shell เปิดทางสั่งรันโค้ดบนเซิร์ฟเวอร์จากระยะไกล เริ่มถูกยิงโจมตีแล้ว และ PHP ออกรุ่นแก้ไขครบทุกสายที่ยังดูแล

PHP คือภาษาที่อยู่เบื้องหลังเว็บราว 70% ของโลก รวมถึง WordPress และร้านค้าออนไลน์จำนวนมากในไทย ช่องโหว่ชุดใหม่ที่ถูกตั้งชื่อว่า php2shell อยู่ในตัว PHP เอง ไม่ใช่ในปลั๊กอิน การอัปเดตธีมหรือปลั๊กอินจึงไม่ช่วย ต้องอัปเดตตัว PHP บนเซิร์ฟเวอร์ PHP ออกรุ่นแก้ไขเมื่อ 21 ตุลาคม 2026 และ Cloudflare รายงานว่าพบการยิงโจมตีจริงแล้ว เพราะข้อมูลช่องโหว่หลุดออกมาก่อนวันประกาศ

ช่องโหว่มีสองรายการ ทั้งคู่เกิดตอนที่ PHP เจอข้อผิดพลาดกลางทางระหว่างรับคำขอจากผู้ใช้ รายการแรก (CVE-2026-109618) เกิดเมื่อ PHP หน่วยความจำเต็มจนหยุดก่อนเตรียมข้อมูลภายในเสร็จ แล้วตอนเก็บกวาดกลับนำข้อมูลที่ยังไม่สมบูรณ์นั้นไปใช้ รายการที่สอง (CVE-2026-109619) เกิดเมื่อคำขอหนึ่งจบลงแต่ยังเหลือการอ้างอิงไปยังหน่วยความจำที่คืนไปแล้ว คำขอถัดไปที่ใช้กระบวนการเดียวกันจึงอาจไปหยิบข้อมูลเก่าขึ้นมาใช้ ผลที่ผู้โจมตีอาจทำได้มีตั้งแต่ทำให้เว็บล่ม อ่านข้อมูลที่ไม่ควรเห็น ไปจนถึงสั่งรันโค้ดบนเซิร์ฟเวอร์

รุ่นที่แก้แล้วคือ PHP 8.5.12, 8.4.27, 8.3.36 และ 8.2.35 ส่วน PHP 8.1 ลงไปซึ่งหมดการดูแลจากโครงการแล้ว ต้องขอแพตช์จากผู้ให้บริการระบบปฏิบัติการหรือผู้ให้บริการโฮสต์ หรือย้ายไปรุ่นที่ยังได้รับการดูแล ทั้งนี้ PHP 8.2 จะหมดการดูแลสิ้นปี 2026 เว็บที่ใช้โฮสต์แบบแชร์หรือมีผู้ดูแลเซิร์ฟเวอร์ให้ ควรสอบถามผู้ให้บริการว่าอัปเดตแล้วหรือยัง

ถ้ายังอัปเดตไม่ได้ทันที ประกาศของ PHP แนะนำมาตรการลดความเสี่ยงชั่วคราว เช่น ปิดค่า session.upload_progress.enabled ในไฟล์ตั้งค่าระดับเซิร์ฟเวอร์ จำกัดขนาดข้อมูลที่รับได้ต่อคำขอ และจำกัดขนาดไฟล์อัปโหลด แล้วรีสตาร์ต PHP ทุกตัว แต่ย้ำว่ามาตรการเหล่านี้ลดความเสี่ยงได้บางส่วนเท่านั้น ไม่ได้ทำให้ปลอดภัย นอกจากนี้ 23 ตุลาคม PHP ยังออกประกาศเพิ่มอีกหนึ่งรายการที่เกิดเฉพาะกับการตั้งค่าที่พบไม่บ่อย และแนะนำการปิดค่าเดียวกันนี้ไว้ก่อนจนกว่ารุ่นถัดไปจะออก

ฝั่ง Cloudflare วางกฎไฟร์วอลล์เว็บ (WAF) ดักรูปแบบการโจมตีนี้ไว้ก่อนประกาศสาธารณะราว 9 ชั่วโมง และเปิดให้ทุกแพ็กเกจรวมถึงแบบฟรีโดยอัตโนมัติ พร้อมเครื่องมือใหม่ที่ตรวจทั้งคำขอและคำตอบจากเซิร์ฟเวอร์ ช่วยหยุดข้อมูลรั่วได้อีกชั้น Cloudflare บอกชัดว่ากฎเหล่านี้เป็นเพียงชั้นป้องกันเสริม การอัปเดต PHP ยังเป็นสิ่งที่ต้องทำ

เว็บไซต์ธุรกิจไทยจำนวนมากทำเสร็จแล้วไม่มีใครดูแลรุ่นของ PHP ต่อ ช่องโหว่ระดับตัวภาษาแบบนี้จึงเป็นเหตุผลชัดเจนที่ควรมีผู้รับผิดชอบอัปเดตเซิร์ฟเวอร์อย่างสม่ำเสมอ ดูกรณีคล้ายกันได้ที่ช่องโหว่ระดับวิกฤตของ Drupal ทีมงาน Smart Cyber Tech ดูแลเว็บไซต์รายเดือน รวมถึงอัปเดต PHP และปลั๊กอิน ปรึกษาได้ที่ แบบฟอร์มติดต่อ