PHP2Shell คืออะไร? ช่องโหว่ PHP ล่าสุด ใครเสี่ยง และเจ้าของเว็บควรทำอะไร

ข่าวช่องโหว่ PHP ทำให้หลายคนสงสัยว่า แค่เข้าเว็บไซต์ก็เสี่ยงแล้วหรือไม่ ร้านค้าออนไลน์ต้องปิดเว็บไหม เรื่องนี้ต้องแยกให้ชัดระหว่างเซิร์ฟเวอร์ที่มีช่องโหว่ เว็บไซต์ที่ถูกโจมตีจริง และผู้ใช้งานทั่วไป เพราะแต่ละกลุ่มมีสิ่งที่ต้องทำไม่เหมือนกัน

ข่าว PHP ครั้งนี้เกิดอะไรขึ้น

วันที่ 21 ตุลาคม 2569 มีการเผยแพร่แพตช์สำหรับช่องโหว่ที่เรียกรวมกันว่า PHP2Shell สองรายการ คือ CVE-2026-109618 และ CVE-2026-109619 ซึ่งอาจเปิดทางให้รันโค้ดบนเซิร์ฟเวอร์จากระยะไกลโดยไม่ต้องมีบัญชีผู้ใช้ แต่ไม่ได้แปลว่าเว็บไซต์ที่ใช้ PHP ทุกแห่งถูกเจาะสำเร็จแล้ว

แถลงการณ์ร่วมของหน่วยงานไซเบอร์ยุโรป แนะนำให้เร่งสำรวจระบบและประสานผู้ให้บริการ หากยังแก้ไขไม่ได้ให้พิจารณาแยกระบบที่เสี่ยงออกจากอินเทอร์เน็ต การหยุดให้บริการเพื่อป้องกันจึงต้องแยกจากการล่มเพราะถูกโจมตี

PHP คืออะไร ทำไมเจ้าของเว็บต้องสนใจ

ลองนึกถึงหน้าเว็บที่แสดงคำสั่งซื้อหรือดึงข้อมูลสมาชิก PHP อาจเป็นส่วนที่ทำงานอยู่หลังบ้านเพื่อประมวลผล ก่อนส่งผลลัพธ์ให้เบราว์เซอร์ เจ้าของร้านจึงอาจใช้ PHP อยู่โดยไม่เคยติดตั้งหรือเขียนมันเอง โดยเฉพาะเมื่อจ้างทำเว็บหรือใช้โฮสติ้งสำเร็จรูป

คำอธิบายเชิงเทคนิคของ CVE-2026-109618 ระบุปัญหาเกี่ยวกับการจัดการหน่วยความจำเมื่อหน่วยความจำไม่พอ ส่วน CVE-2026-109619 เกี่ยวข้องกับสถานะภายในที่ค้างอยู่หลังหน่วยความจำถูกคืนแล้ว ความสำเร็จของการโจมตีขึ้นอยู่กับสภาพแวดล้อม จึงไม่ควรใช้วิธีติดตั้ง PHP เพียงอย่างเดียวมาตัดสินว่าเว็บปลอดภัย

PHP รุ่นไหนมีแพตช์แล้ว

รุ่นที่ออกแก้ช่องโหว่สองรายการนี้แสดงด้านล่าง โดยตรวจได้จาก ประกาศช่องโหว่ของโครงการ PHP ควรใช้รุ่นที่มีแพตช์หรือรุ่นใหม่กว่าที่ผู้ดูแลรองรับ

แพ็กเกจของผู้ให้บริการบางรายอาจนำแพตช์กลับไปใส่ในรุ่นเดิม จึงต้องดูประกาศของผู้ให้บริการประกอบ ไม่ตัดสินจากเลขรุ่นสั้น ๆ เพียงอย่างเดียว สำหรับระบบเก่าให้ถามเรื่องแพตช์เฉพาะหรือแผนย้ายไปสายรุ่นที่ยังได้รับการดูแล ตามแนวทางของ University of Toronto

เจ้าของเว็บไซต์ควรเช็กอะไรบ้าง

คำถามแรกไม่ใช่ “ต้องซื้อปลั๊กอินอะไร” แต่คือ “ใครดูแล PHP ของเว็บเรา” หากใช้บริษัทรับทำเว็บ ให้ส่งคำถามไปทั้งผู้พัฒนาและโฮสติ้ง แล้วขอคำตอบเป็นลายลักษณ์อักษร

• มีเว็บไซต์ ระบบหลังบ้าน ซับโดเมน หรือระบบทดสอบใดใช้ PHP บ้าง
• ติดตั้งแพตช์จากแพ็กเกจใด และอ้างอิงประกาศฉบับไหน
• รีสตาร์ตบริการและยืนยันแล้วหรือยังว่าระบบที่กำลังรับคำขอใช้แพตช์ใหม่จริง
• ตรวจบันทึกเหตุการณ์และไฟล์ผิดปกติหรือยัง โดยเฉพาะระบบที่เปิดรับอินเทอร์เน็ตก่อนอัปเดต
• ถ้าพบความผิดปกติ ใครเป็นผู้รับผิดชอบแยกระบบ เก็บหลักฐาน และกู้คืน

แนวทางตรวจสอบหลังอัปเดต ย้ำประเด็นสำคัญว่า การติดตั้งแพตช์ไม่ได้นำสิ่งที่ผู้โจมตีอาจฝังไว้ก่อนหน้านั้นออกโดยอัตโนมัติ

สถานะการให้บริการของ SIAMBC

ขณะนี้ยังไม่มีข้อมูลยืนยันว่า SIAMBC ได้รับผลกระทบจากช่องโหว่นี้

คนซื้อของออนไลน์และผู้ใช้คริปโตต้องทำอะไร

อย่ารีบกดลิงก์ “อัปเดต PHP” จากข้อความที่ส่งมาให้ ในฐานะลูกค้า คุณไม่ต้องติดตั้งแพตช์เซิร์ฟเวอร์แทนร้านค้า หากมีประกาศเกี่ยวกับบัญชี ให้เปิดเว็บไซต์หรือแอปทางการด้วยตัวเองก่อนตรวจสอบ

สำหรับผู้ใช้คริปโต ไม่ควรมีใครขอ Seed Phrase เพื่อแก้ PHP ตรวจบัญชี หรือปลดล็อกกระเป๋า หากเว็บขอให้เชื่อมวอลเล็ตหรือเซ็นรายการที่ไม่เกี่ยวกับสิ่งที่ตั้งใจทำ ให้หยุดตรวจสอบก่อน

แยกการป้องกันเป็นคนละชั้น: แพตช์ดูแลช่องโหว่เซิร์ฟเวอร์ การยืนยันตัวตนดูแลการเข้าบัญชี ส่วน Hardware Wallet ช่วยจัดการกุญแจและการลงนาม ไม่ใช่อุปกรณ์ที่ทำให้เว็บไซต์ปลอดช่องโหว่ และไม่ได้ทำให้ทุกธุรกรรมที่กดยืนยันปลอดภัย

อัปเดตเพิ่มเติมวันที่ 23 ตุลาคม

PHP มีประกาศเพิ่มเติมเรื่อง Session upload progress สำหรับเงื่อนไขการตั้งค่าและโค้ดที่พบได้ไม่บ่อย โดยแนะนำ session.upload_progress.enabled=0 ระหว่างรอรุ่นแก้บั๊กถัดไป ผู้ดูแลที่ปิดไว้ตามคำแนะนำเดิมให้คงการตั้งค่านั้นไว้ และติดตาม CVE-2026-115560 ประเด็นนี้ต้องอ่านแยกจากแพตช์สองรายการวันที่ 21 ตุลาคม ไม่ใช่เหตุให้ข้ามการอัปเดตเดิม

คำถามที่พบบ่อย

อัปเดต WordPress หรือปลั๊กอินแล้วพอไหม?

อย่าเพิ่งถือว่าพอ ต้องยืนยันว่า PHP บนเซิร์ฟเวอร์ได้รับแพตช์ด้วย เพราะเป็นซอฟต์แวร์คนละส่วนกัน

ต้องเปลี่ยนรหัสผ่านทุกบัญชีทันทีหรือไม่?

ข่าวช่องโหว่เพียงอย่างเดียวไม่ได้บอกว่าบัญชีของคุณถูกขโมย ให้ติดตามประกาศของบริการ หากมีหลักฐานหรือการแจ้งเตือนบัญชีผิดปกติ ให้เปลี่ยนรหัสผ่านผ่านช่องทางทางการและตรวจเซสชันที่ใช้งานอยู่

เว็บมี HTTPS แล้วไม่เสี่ยงใช่ไหม?

HTTPS ไม่ใช่หลักฐานว่าเซิร์ฟเวอร์ติดตั้งแพตช์แล้ว อย่าใช้รูปกุญแจในเบราว์เซอร์แทนการตรวจระบบ

สิ่งที่ควรทำวันนี้คืออะไร?

เจ้าของเว็บควรรู้ว่าใครรับผิดชอบระบบ และขอหลักฐานการอัปเดต ส่วนผู้ใช้งานควรติดตามประกาศจริง ไม่ส่งข้อมูลลับให้ผู้ที่อ้างว่าช่วยแก้ปัญหา

แหล่งข่าวและข้อมูลประกอบ

• PHP: Security advisory / October 2026 updates
• CVE-2026-109618 · CVE-2026-109619
• ENISA · University of Toronto
• Post Today · TechTalkThai

ตรวจสอบข้อมูลวันที่ 23 ตุลาคม 2569 คำแนะนำอาจเปลี่ยนตามประกาศใหม่ของผู้พัฒนาและผู้ให้บริการ

โลโก้ PHP: Colin Viebrock จาก PHP.net ใช้ตามสัญญาอนุญาต CC BY-SA 4.0 โลโก้คงรูปเดิมและนำมาจัดวางบนภาพประกอบใหม่ ภาพปกฉบับประกอบนี้เผยแพร่ภายใต้สัญญาอนุญาตเดียวกัน ไม่ได้สื่อถึงการรับรองจากโครงการ PHP PHP.net · CC BY-SA 4.0