Mirai บุกช่องโหว่ PHP2Shell หลังพบการบายพาส ASLR ในระบบจริง

เพียงสองวันหลังจาก PHP ปล่อยแพตช์ฉุกเฉินเพื่อแก้ไขช่องโหว่ PHP2Shell กลุ่มผู้ไม่หวังดีได้เริ่มพยายามใช้ประโยชน์จากช่องโหว่ดังกล่าวเพื่อแพร่กระจายบอตเน็ต Mirai ขณะเดียวกันบริษัทด้านความปลอดภัยสามารถสร้าง exploit ที่สามารถข้ามผ่านระบบป้องกันหน่วยความจำหลักได้สำเร็จ พร้อมตรวจพบเครื่องมือโจมตีเฉพาะทางบนเซิร์ฟเวอร์ของผู้ไม่หวังดี

อย่างไรก็ตาม จนถึงขณะนี้ยังไม่มีการยืนยันว่ามีการเจาะระบบสำเร็จในสภาพแวดล้อมจริง (in-the-wild) แม้ภัยคุกคามนี้จะส่งผลให้หลายองค์กรตัดสินใจปิดระบบออฟไลน์เพื่อป้องกันไว้ก่อน โดยเว็บไซต์รัฐบาล โรงเรียน และโรงพยาบาลหลายแห่งในยุโรปหยุดให้บริการเมื่อวันที่ 21 ตุลาคม ขณะที่รัฐบาลสหราชอาณาจักรระบุว่ามีบริการ 32 รายการที่ใช้งานไม่ได้จากการปิดระบบเพื่อลงแพตช์

PHP2Shell เป็นชื่อเรียกของ CVE-2026-109618 และ CVE-2026-109619 ซึ่งเป็นข้อบกพร่องระดับวิกฤตในเอนจิน PHP ที่เปิดโอกาสให้รันรหัสจากระยะไกลได้โดยไม่ต้องยืนยันตัวตน (unauthenticated remote code execution) โดยมีคะแนนความรุนแรง CVSS v4.0 สูงถึง 9.2

ช่องโหว่นี้ถูกตรวจพบโดย Wiz, OpenAI และ Calif ตั้งแต่เดือนสิงหาคม และ PHP ได้ออกแพตช์เร็วกว่ากำหนดในวันที่ 21 ตุลาคม สำหรับเวอร์ชัน 8.5.12, 8.4.27, 8.3.36 และ 8.2.35 หลังจากรหัส CVE leaked online โดย Amazon พบ first exploitation attempt ครั้งแรกเมื่อ 17 ตุลาคมที่ผ่านมา

บอตเน็ต Mirai เชื่อมโยงกับความพยายามโจมตี

Sophos ระบุว่าพบความพยายามใช้ PHP2Shell เพื่อ install Potassium ซึ่งเป็นสายพันธุ์หนึ่งของบอตเน็ต Mirai แต่ความพยายามดังกล่าวถูกสกัดกั้นไว้ได้ทัน มัลแวร์จึงยังไม่สามารถเข้าถึงระบบเป้าหมาย โดยมัลแวร์ตัวนี้เป็นเวอร์ชันอัปเดตที่สามารถดาวน์โหลดมัลแวร์เพิ่มเติมและสั่งการโจมตี DDoS ได้

ทางด้าน Arctic Wolf ได้ connected ไฟล์ไบนารีของ Potassium เข้ากับเซิร์ฟเวอร์ที่โฮสต์ payload ของ PHP2Shell แต่ยังไม่พบหลักฐานว่ามีการรันมัลแวร์สำเร็จ เช่นเดียวกับ Hunt.io ที่ attributed ทราฟฟิกที่ตรวจพบว่ามาจากบอตเน็ตตระกูล Mirai ที่เริ่มเคลื่อนไหวมาตั้งแต่เดือนพฤษภาคม 2026

มีความพยายาม แต่ยังไม่มีการยืนยันการบุกรุก

แม้จะมีความพยายามโจมตีอย่างต่อเนื่อง แต่ผู้เชี่ยวชาญระบุว่าผู้โจมตีกำลังประสบความยากลำบากในการทำให้ exploit ใช้งานได้จริง Sansec ให้ความเห็นว่า attackers need detailed knowledge เกี่ยวกับสภาพแวดล้อมของเซิร์ฟเวอร์เป้าหมายอย่างละเอียด และ exploit ที่เปิดเผยต่อสาธารณะส่วนใหญ่ไม่สามารถใช้กับระบบ PHP ที่ตั้งค่าแบบเริ่มต้น (default) ได้

Exploit เอาชนะ ASLR ในการตั้งค่าแบบ Production

อุปสรรคสำคัญอย่าง Address Space Layout Randomization (ASLR) ที่คอยสุ่มตำแหน่งรหัสในหน่วยความจำเริ่มถูกท้าทาย โดย VulnCheck เผยว่าพบทางหลีกเลี่ยงแล้ว exploit for CVE-2026-109618 ของบริษัทอาศัยช่องโหว่หน่วยความจำรั่วไหล (memory leak) เพื่อรันรหัสบนระบบ x86-64 ที่เปิดใช้งาน ASLR แม้จะเป็นการตั้งค่าแบบ production ที่ปิดการแสดงข้อผิดพลาดก็ตาม

เซิร์ฟเวอร์ผู้โจมตีเผยชุดเครื่องมือ PHP2Shell

SOCRadar ตรวจพบ PHP2Shell tooling บนเซิร์ฟเวอร์เปิดของผู้โจมตี ซึ่งประกอบด้วย exploit chain สำหรับ PHP 8.4.26 บน Apache mod_php ที่อ้างว่าเป็นแบบ "คลิกเดียว" (one-click) อย่างไรก็ตาม เครื่องมือนี้จะทำงานได้เฉพาะบนเซิร์ฟเวอร์ที่มีการตั้งค่าเฉพาะเจาะจงเหมือนระบบทดสอบเท่านั้น

การลงแพตช์ยังล่าช้า

Qualys analyzed ข้อมูลพบว่ามีเพียง 199,000 อินสแตนซ์ที่ได้รับการแพตช์ทันทีหลังเปิดเผยข้อมูล ขณะที่อีกกว่า 110 ล้านเครื่องยังคงใช้ PHP เวอร์ชันเก่าที่สิ้นสุดอายุการใช้งาน (End of Life) ซึ่งจะไม่ได้รับแพตช์แก้ไข

ปัจจุบัน Censys กำลัง tracking patching progress for PHP2Shell ผ่านแดชบอร์ดสาธารณะ เพื่อติดตามจำนวนบริการ PHP ที่ยังคงมีความเสี่ยงทั่วโลก แนะนำให้ผู้ดูแลระบบรีบอัปเดตเป็นเวอร์ชัน 8.5.12, 8.4.27, 8.3.36 หรือ 8.2.35 โดยเร็วที่สุด