เตือนภัย PHP2Shell ช่องโหว่ RCE ระดับวิกฤต กระทบเว็บ 70% ทั่วโลก

PHP ได้เปิดตัวแพตช์สำหรับช่องโหว่ระดับวิกฤต (critical-severity) สองรายการภายใต้ชื่อ PHP2Shell ซึ่งอาจเปิดทางให้ผู้โจมตีสามารถรันโค้ดจากระยะไกลได้โดยไม่ต้องผ่านการยืนยันตัวตน (unauthenticated remote code execution หรือ RCE)

ช่องโหว่ดังกล่าวถูกติดตามด้วยรหัส CVE-2026-109618 (การเสียหายของหน่วยความจำแบบ out-of-memory (OOM)) และ CVE-2026-109619 (stale global state) โดยมีคะแนนความรุนแรง CVSS สูงถึง 9.2 และได้รับการยืนยันว่าสามารถทำ RCE บนเทคโนโลยี Apache ที่ใช้งานร่วมกับ mod_php ได้

PHP Foundation ระบุว่าปัญหาทั้งสองพบในส่วนประกอบที่เกือบทุกคำขอ (request) ของ PHP ต้องเรียกใช้งาน ได้แก่ ระบบจัดการหน่วยความจำและจัดการข้อผิดพลาด ตำแหน่งศูนย์กลางนี้เองที่ทำให้ช่องโหว่ดังกล่าวทวีความร้ายแรงและแก้ไขได้ยากลำบากอย่างยิ่ง

รายละเอียดการอัปเดตและแพตช์

Patches สำหรับช่องโหว่ทั้งสองถูกรวมไว้ใน PHP เวอร์ชัน 8.5.12, 8.4.27, 8.3.36 และ 8.2.35 นอกจากนี้ยังมีการปล่อย source backports ขั้นต่ำสำหรับเวอร์ชันเก่าอย่าง PHP 7.4, 8.0 และ 8.1 ออกมาด้วย

อย่างไรก็ตาม ก่อนที่การแก้ไขจะเสร็จสมบูรณ์ เริ่มมีการแพร่กระจายของโค้ดต้นแบบในการโจมตีหรือ proof-of-concept (PoC) ที่มุ่งเป้าไปยังช่องโหว่เหล่านี้แล้ว โดย WatchTowr บริษัทบริหารจัดการพื้นที่การโจมตีเชิงรุกรายงานว่า พบความพยายามโจมตีในสภาพแวดล้อมจริง (in-the-wild) ผ่านระบบเซนเซอร์ในช่วงเวลาเดียวกับที่มีการปล่อยแพตช์ แม้จะยังไม่พบการโจมตีที่ประสบความสำเร็จก็ตาม

ด้านบริษัทความปลอดภัยรายอื่นอย่าง Hadrian reported พบว่ามีการโจมตีในวงกว้างผ่านเส้นทาง session upload-progress ของ PHP เพียงไม่กี่ชั่วโมงก่อนปล่อยตัวแก้ไขอย่างเป็นทางการ เช่นเดียวกับ Patchstack, Cloudflare และ Vega ที่ตรวจพบความพยายามในลักษณะเดียวกัน

ขอบเขตผลกระทบและข้อแนะนำ

ข้อมูลจากผู้ดูแล PHP ยืนยันว่า การติดตั้ง PHP ทั้งหมดที่จัดการกับเว็บรีเควสมีความเสี่ยงต่อการถูกเจาะระบบ รวมถึง PHP-FPM, Apache (mod_php), php-cgi, FrankenPHP และ LiteSpeed โดยครอบคลุมเกือบทุกรุ่นย้อนหลังไปถึงเวอร์ชัน 5.4

ช่องโหว่ PHP2Shell ไม่เพียงแต่ใช้รันโค้ดได้ แต่ยังสามารถเจาะเพื่ออ่านหน่วยความจำของโปรเซสที่มีข้อมูลสำคัญ เช่น ข้อมูลประจำตัว (credentials), API keys และความลับอื่นๆ ในกรณีที่ยังไม่สามารถลงแพตช์ได้ PHP Foundation แนะนำให้ใช้มาตรการทางเลือกเพื่อลดความเสี่ยงเฉพาะจุด แม้จะไม่สามารถทำให้ระบบปลอดภัยได้ร้อยเปอร์เซ็นต์ก็ตาม

Frontier AI กับการค้นพบ PHP2Shell

Wiz ร่วมกับ OpenAI และ Calif คือกลุ่มผู้ค้นพบช่องโหว่นี้ตั้งแต่เดือนสิงหาคม โดยระบุว่านี่เป็นหนึ่งในช่องโหว่ที่ร้ายแรงที่สุดในประวัติศาสตร์ซอฟต์แวร์ เนื่องจากจุดอ่อนนี้มีอยู่มานานหลายทศวรรษ แต่ขั้นตอนการโจมตีมีความซับซ้อนเกินกว่าขีดความสามารถที่มนุษย์จะวิเคราะห์ได้ในทางปฏิบัติ ทว่าด้วยความช่วยเหลือจากโมเดล Frontier AI ทำให้สามารถวิเคราะห์จุดอ่อน OOM จนนำไปสู่การค้นพบช่องโหว่ RCE ได้สำเร็จ

ตามข้อมูลจาก Wiz ในรายงาน technical deep-dive on PHP2Shell ระบุว่าช่องโหว่นี้ส่งผลกระทบต่อเว็บไซต์กว่า 70% ทั่วโลกที่รันด้วย PHP ไม่ว่าจะเป็น WordPress, Drupal หรือ MediaWiki (ที่ใช้รัน Wikipedia) แม้ตัวแอปพลิเคชันจะปลอดภัย แต่หาก Core Engine มีช่องโหว่ ระบบทั้งระบบก็มีความเสี่ยงทันที

การรั่วไหลล่วงหน้าและการตอบสนองฉุกเฉิน

เดิมที PHP2Shell มีกำหนดเปิดเผยข้อมูลในวันที่ 22 ตุลาคม แต่มีข้อมูลและวิดีโอ PoC รั่วไหลทางออนไลน์ในวันที่ 20 ตุลาคม ทำให้ทีมงานตัดสินใจเลื่อนการปล่อยแพตช์ให้เร็วขึ้นหนึ่งวัน เนื่องจากผู้โจมตีสามารถศึกษาตัวอย่างและพัฒนาโค้ดโจมตีได้อย่างรวดเร็ว เพื่อเป็นการเฝ้าระวัง Cloudflare ได้วางมาตรการป้องกันผ่าน WAF ล่วงหน้า 9 ชั่วโมงก่อนการประกาศต่อสาธารณะ ขณะที่ผู้เชี่ยวชาญย้ำว่าองค์กรควรตรวจสอบทันทีว่ามีการใช้งาน PHP อยู่ที่จุดใดบ้าง และมีใครเข้าถึงระบบก่อนที่การอัปเดตจะเสร็จสิ้นหรือไม่ เนื่องจากนี่เป็นกรณีศึกษาสำคัญที่แสดงให้เห็นว่าองค์กรต้องตอบสนองต่อภัยคุกคามระดับวิกฤตอย่างรวดเร็วเพียงใด