AI ขุดเจอช่องโหว่ PHP อายุกว่า 10 ปี อัปเดตแค่ WordPress ไม่ช่วย

บั๊กที่ซ่อนอยู่ใน PHP มานานกว่าสิบปี เพิ่งถูกขุดเจอโดยมี AI ช่วย ตามที่ Wiz บริษัทความปลอดภัยในเครือ Google ระบุ และอาจเปิดทางให้ผู้โจมตียึดเว็บเซิร์ฟเวอร์ได้โดยไม่ต้องล็อกอิน

โครงการ PHP ออกอัปเดตอุดช่องโหว่ทั้ง 2 รายการเมื่อ 21 ตุลาคม 2026 คือเวอร์ชัน 8.5.12, 8.4.27, 8.3.36 และ 8.2.35 วันรุ่งขึ้น ThaiCERT หรือศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ ออกประกาศเตือน ให้หน่วยงานรีบติดตั้ง

แต่การอัปเดตปลั๊กอิน ธีม WordPress หรือโค้ดของเว็บอย่างเดียวแก้ไม่ได้ เพราะช่องโหว่อยู่ในตัว PHP เอง ตามที่ Cloudflare ชี้ แปลว่าต้องอัปเดต PHP บนเซิร์ฟเวอร์ จะทำเองหรือให้ผู้ให้บริการโฮสติ้งทำให้ก็ได้

PHP คือภาษาฝั่งเซิร์ฟเวอร์ที่อยู่เบื้องหลังเว็บไซต์บริษัทและร้านค้าออนไลน์ที่ทำด้วย WordPress, Joomla, Drupal หรือ Magento ข้อมูลของ W3Techs ณ 22 ตุลาคม 2026 ชี้ว่า ในบรรดาเว็บไซต์ที่ทราบภาษาฝั่งเซิร์ฟเวอร์ ราว 7 ใน 10 (69.3%) ใช้ PHP

Wiz บอกว่า PHP แทบทุกเวอร์ชันย้อนไปถึง 5.4 ได้รับผลกระทบ และ ThaiCERT แจ้งว่ามีโค้ดสาธิตการโจมตี (Proof of Concept หรือ PoC) เผยแพร่สู่สาธารณะแล้ว

SV News สรุปให้ว่าต้องเช็กอะไร อัปเดตเป็นเวอร์ชันไหน ถ้ายังใช้เวอร์ชันเก่าต้องทำอย่างไร และ AI เข้ามาเกี่ยวตรงไหน

แก้ได้ใน 4 ขั้น ตั้งแต่เช็กเวอร์ชันถึงตรวจร่องรอย

ThaiCERT ให้ตรวจ PHP ทุกระบบที่มี ตามขั้นตอนนี้

1. เช็กเวอร์ชัน: พิมพ์ php -v บนเซิร์ฟเวอร์ หรือดูเลขเวอร์ชันในหน้า Control Panel ของโฮสติ้ง ให้ครบทั้ง Web Server, Application Server, Container, Hosting Control Panel และผลิตภัณฑ์สำเร็จรูปที่มี PHP อยู่ข้างใน
2. อัปเดต: PHP 8.5 เป็น 8.5.12, PHP 8.4 เป็น 8.4.27, PHP 8.3 เป็น 8.3.36 และ PHP 8.2 เป็น 8.2.35 หรือใหม่กว่า แพ็กเกจจาก Linux Distribution โฮสติ้ง หรือ Control Panel บางรายใส่แพตช์แล้วแต่ยังใช้เลขเวอร์ชันเดิม จึงต้องดูประกาศของผู้ให้บริการด้วย
3. รีสตาร์ต: รีสตาร์ต PHP-FPM, Apache หรือ LiteSpeed และสร้าง Container Image ใหม่จาก Base Image ที่แก้แล้ว
4. ตรวจร่องรอย: ดู Log หาร่องรอย Out-of-Memory หรือ Fatal Error และหาไฟล์ที่ไม่รู้ที่มาในโฟลเดอร์เว็บและโฟลเดอร์อัปโหลด

ThaiCERT เตือนว่า Log ที่ไม่มีข้อผิดพลาดไม่ได้แปลว่าระบบปลอดภัย เพราะบางกรณีการโจมตีอาจเกิดขึ้นก่อนที่ PHP จะบันทึกเหตุการณ์

Cloudflare บอกว่าลูกค้าที่ใช้ไฟร์วอลล์เว็บ (WAF) ของบริษัท ทั้งแพ็กเกจฟรีและเสียเงิน ได้รับการป้องกันอัตโนมัติตั้งแต่ 21 ตุลาคม แต่ลูกค้าแพ็กเกจ Pro, Business และ Enterprise ควรเช็กว่าเปิด Managed Ruleset ในโหมดบล็อกแล้ว

โครงการ PHP ย้ำว่าการปรับการตั้งค่าช่วยปิดช่องทางโจมตีได้บางทาง แต่ไม่ได้ทำให้เซิร์ฟเวอร์ปลอดภัย มีเพียงการอัปเดตเท่านั้นที่แก้ได้ครบ

ถ้ายังแพตช์ไม่ได้และใช้การตั้งค่าชั่วคราวไม่ได้ ThaiCERT แนะนำให้พิจารณาแยกระบบออกจากอินเทอร์เน็ต หรือเปิดให้เข้าถึงได้เฉพาะเครือข่ายและ IP Address ที่อนุญาต จนกว่าจะแพตช์เสร็จ ส่วน TechCrunch รายงานว่าสำนักงานความมั่นคงแห่งชาติสหรัฐฯ (NSA) แนะนำให้นำเว็บที่ยังแพตช์ไม่ได้ออกจากอินเทอร์เน็ตไว้ก่อน

เว็บ PHP มากกว่า 1 ใน 3 ใช้เวอร์ชันที่ไม่ได้รับอัปเดตแล้ว

ทุกระบบที่ใช้ PHP ให้บริการเว็บอยู่ในข่ายเสี่ยง

ประกาศของ PHP ครอบคลุม PHP-FPM, Apache ที่ใช้ mod_php, php-cgi, FrankenPHP และ LiteSpeed โดยประเมินว่า mod_php เสี่ยงที่สุด เพราะผู้โจมตีที่ไม่ได้ล็อกอินส่งคำขอเข้ามาก็เริ่มโจมตีได้ ก่อนที่โค้ดของเว็บจะทำงานเสียอีก

Wiz เปิดเผยว่าทีมรันโค้ดบน WordPress, Drupal และ Joomla ที่สร้างจาก Container Image รุ่นล่าสุดได้โดยไม่ต้องล็อกอิน และพิสูจน์ได้ว่าผู้โจมตีอ่านข้อมูลในหน่วยความจำของเซิร์ฟเวอร์ได้ ทั้งรหัสผ่าน โทเคน และ API Key

ข้อมูลของ W3Techs ชี้ว่าเว็บที่ใช้ PHP ยังใช้เวอร์ชัน 7 อยู่ 26.9% และเวอร์ชัน 5 อีก 7.7% ส่วนเว็บที่ใช้ PHP 8 มี 15.2% ที่ยังอยู่บน 8.1 และ 5.8% อยู่บน 8.0 รวมแล้วเว็บ PHP มากกว่า 1 ใน 3 ใช้เวอร์ชันที่โครงการ PHP ไม่อัปเดตแล้ว

เว็บที่ยังใช้ PHP 8.1 หรือเก่ากว่าจะไม่มีรุ่นอัปเดตจากโครงการ PHP มีเพียงแพตช์ซอร์สโค้ดขั้นต่ำสำหรับ 7.4, 8.0 และ 8.1 ทางออกคือถาม Linux Distribution หรือโฮสติ้งว่ามีแพตช์ย้อนหลัง (backport) หรือไม่ หรือย้ายไปเวอร์ชันที่ยังได้รับการสนับสนุน

ด้าน Google Cloud แจ้งว่าตัวแพลตฟอร์มไม่มีช่องโหว่ แต่ลูกค้าที่สร้าง Container Image เองบน Cloud Run หรือ Google Kubernetes Engine ต้องสร้าง Image ใหม่ด้วย PHP ที่แพตช์แล้ว

Wiz อ้างว่า AI ช่วยให้นักวิจัยคนเดียวเจอบั๊กเก่าในหนึ่งสัปดาห์

ช่องโหว่ทั้งสองอยู่ในวิธีที่ PHP จัดการหน่วยความจำ

มูลนิธิ PHP อธิบายว่าช่องโหว่แรกเกิดตอนที่ PHP เก็บกวาดข้อมูลหลังคำขอใช้หน่วยความจำเกินขีดจำกัด ส่วนช่องโหว่ที่สอง หาก Fatal Error เกิดในจังหวะที่ผิด PHP อาจยังชี้ไปยังหน่วยความจำของคำขอก่อนหน้าที่คืนไปแล้ว และคำขอถัดมาอาจหยิบไปใช้

พูดง่าย ๆ คือ PHP อาจหยิบหน่วยความจำที่ควรทิ้งไปแล้วกลับมาใช้ต่อ ผู้โจมตีจึงอาศัยจังหวะนี้รันโค้ดของตัวเองบนเซิร์ฟเวอร์ได้

Wiz บอกว่าโค้ดที่มีช่องโหว่อยู่มานานกว่าสิบปี ทีมใช้เอเจนต์ Wiz Atlas หรือ AI ที่ทำงานต่อกันได้หลายขั้นตอน ร่วมกับ Gemini 4 Argon ของ Google และ GPT-5.6 Sol ของ OpenAI

Wiz อ้างว่านักวิจัยคนเดียวทำงานนี้เสร็จในหนึ่งสัปดาห์ ทั้งที่งานระดับนี้เคยต้องใช้ทีมชั้นนำหลายเดือน

OpenAI เปิดเผยว่า Calif บริษัททดสอบความปลอดภัย พบช่องโหว่หนึ่งรายการด้วย GPT-5.6 Sol ภายใต้โครงการ Patch the Planet ของ OpenAI ขณะที่ Wiz ค้นพบและรายงานทั้งสองรายการแยกกันเอง

OpenAI มองว่ากรณีนี้เป็น "หนึ่งในปัญหาความปลอดภัยที่ส่งผลกระทบมากที่สุดในช่วงหลายปีที่ผ่านมา" และเตือนว่าความสามารถเดียวกันนี้อาจช่วยให้ผู้โจมตีสร้างโค้ดเจาะระบบได้เร็วขึ้นเช่นกัน

มูลนิธิ PHP ชี้แจงว่านักพัฒนาหลักเห็นสัญญาณแรกของปัญหา Out-of-Memory เบื้องหลัง CVE-2026-109618 ตั้งแต่ปี 2024 ระหว่างแก้ปัญหาจากการตรวจสอบโดยหน่วยงานภายนอก แต่ทีมความปลอดภัยเลือกวิธีแก้ไม่ได้ งานจึงหยุดไปหลายเดือน มูลนิธิเรียกความล่าช้านี้ว่า "ความล้มเหลวเชิงโครงสร้าง"

เลข CVE รั่ว PHP ต้องร่นวันออกแพตช์

เลข CVE หรือเลขประจำตัวของช่องโหว่ทั้งสอง หลุดออกมาก่อนวันออกแพตช์

มูลนิธิ PHP เล่าว่าเลข CVE เริ่มหลุดในโลกออนไลน์ราว 22:00 น. ของวันที่ 20 ตุลาคม ตามเวลาไทย พร้อมเวลาออกแพตช์ที่ผิด และคะแนนความรุนแรง 10.0 ทั้งที่คะแนนจริงคือ 9.2 ส่วนรายละเอียดทางเทคนิคไม่ได้หลุดออกมา

โครงการ PHP จึงร่นวันออกแพตช์เข้ามาหนึ่งวัน จากวันที่ 22 ตุลาคม เป็นวันที่ 21 ตุลาคม เวลา 21:00 น. ตามเวลาไทย

หลังข้อมูลรั่ว Calif เผลอเผยแพร่วิดีโอที่ใช้ PoC ของบริษัทเจาะเป้าหมายได้หลายราย มูลนิธิบอกว่าวิดีโอนี้มีส่วนเร่งให้มีการพัฒนาโค้ดโจมตีตามมา

เวลา 14:41 น. ของวันที่ 21 ตุลาคม ตามเวลาไทย หรือกว่า 6 ชั่วโมงก่อนเวลาที่ตกลงกันไว้ Chainguard ผิดข้อตกลงห้ามเปิดเผยล่วงหน้า (embargo) โดยเผยแพร่ Image ที่มีแพตช์ออกมาก่อน ผู้โจมตีจึงศึกษาแพตช์ได้ล่วงหน้า ตามที่มูลนิธิระบุ

PHP 8.2 หมดระยะสนับสนุน 31 ธันวาคม 2026

วันที่ต้องจับตาต่อไปคือ 31 ธันวาคม 2026

โครงการ PHP ประกาศว่า PHP 8.2 จะหมดระยะการสนับสนุน (end of life) ในวันนั้น และจะไม่มีแพตช์ความปลอดภัยอีก ข้อมูลของ W3Techs ชี้ว่าเว็บที่ใช้ PHP 8 กว่า 1 ใน 4 (27.7%) ยังใช้เวอร์ชัน 8.2

เว็บกลุ่มนี้แม้จะอัปเดตเป็น 8.2.35 ในสัปดาห์นี้ ก็ต้องย้ายไป 8.3 ขึ้นไปอีกรอบภายใน 10 สัปดาห์ ถ้าโฮสติ้งเป็นผู้ดูแล PHP ให้ ถามได้เลยว่าจะย้ายเวอร์ชันให้เมื่อไร

คำถามที่พบบ่อย

จะรู้ได้อย่างไรว่าเว็บของเราได้รับผลกระทบ

ใช้คำสั่ง php -v บนเซิร์ฟเวอร์ หรือดูเลขเวอร์ชันในหน้า Control Panel ของโฮสติ้ง ถ้าต่ำกว่า 8.5.12, 8.4.27, 8.3.36 หรือ 8.2.35 (ตามรุ่นที่ใช้) หรือยังเป็น 8.1 และเก่ากว่า แปลว่ายังเสี่ยง เว้นแต่ Linux Distribution หรือผู้ให้บริการโฮสติ้งใส่แพตช์ไว้แล้ว ซึ่งบางรายไม่เปลี่ยนเลขเวอร์ชัน จึงควรเช็กประกาศของผู้ให้บริการด้วย

อัปเดต WordPress แล้วช่วยได้ไหม

ไม่ช่วย ช่องโหว่อยู่ใน PHP จึงต้องอัปเดต PHP บนเซิร์ฟเวอร์ ไม่ว่าจะทำเองหรือให้ผู้ให้บริการโฮสติ้งทำให้

มีการนำช่องโหว่ไปโจมตีแล้วหรือยัง

ทีมความปลอดภัยของ PHP ไม่พบโค้ดเจาะระบบที่ใช้ได้จริงในบรรดา PoC ที่แพร่อยู่ ณ เวลาออกแพตช์ แต่ ThaiCERT แจ้งว่าตอนนี้มี PoC เผยแพร่สู่สาธารณะแล้ว และ Cloudflare เผยว่าพบทราฟฟิกโจมตีที่พุ่งเป้าไปยังลูกค้าของตน

ถ้ายังใช้ PHP 8.1 หรือเก่ากว่า ต้องทำอย่างไร

โครงการ PHP ไม่ออกรุ่นอัปเดตให้เวอร์ชันเหล่านี้แล้ว มีเพียงแพตช์ซอร์สโค้ดขั้นต่ำสำหรับ 7.4, 8.0 และ 8.1 ควรสอบถาม Linux Distribution หรือผู้ให้บริการโฮสติ้งว่ามีแพตช์ย้อนหลัง (backport) หรือไม่ หรือย้ายไปเวอร์ชันที่ยังได้รับการสนับสนุน ระหว่างนี้ให้ใช้การตั้งค่าชั่วคราวตามประกาศของ PHP และหากทำไม่ได้ ThaiCERT แนะนำให้พิจารณาแยกเซิร์ฟเวอร์ออกจากอินเทอร์เน็ต หรือจำกัดการเข้าถึงเฉพาะเครือข่ายที่อนุญาต

แหล่งข้อมูล

• PHP: Security advisory, critical remote code execution vulnerabilities
• PHP: PHP 8.2.35 Released!
• The PHP Foundation: Today's PHP Security Release, and How We're Strengthening PHP Security
• ThaiCERT: แจ้งเตือน พบช่องโหว่ PHP2Shell เสี่ยงถูกควบคุมเซิร์ฟเวอร์จากภายนอก
• Wiz: PHP2Shell, AI uncovers critical RCE vulnerabilities affecting 70% of the Internet
• OpenAI: Patch the Planet, global response coordination as agents uncover critical vulnerabilities
• TechCrunch: PHP Armageddon: OpenAI, Google's Wiz find ancient holes, panicking the internet
• Cloudflare: Cloudflare deploys protections against php2shell vulnerability
• Google Cloud: Responding to core PHP vulnerabilities CVE-2026-109618 and CVE-2026-109619
• W3Techs: Usage statistics of PHP
• W3Techs: Usage statistics of PHP version 8