ข่าว 
ข้อมูลเหรียญ 
แนะนำสื่อ 
ช่องโหว่ร้ายแรงระดับ 9.2 คะแนนจากคะแนนเต็ม 10 ในเอนจิน PHP จำนวน 2 รายการ ถูกค้นพบและได้รับการแก้ไขก่อนที่ผู้ไม่หวังดีจะนำไปใช้โจมตี โดยโอเพนเอไอ(OpenAI) เปิดเผยเมื่อวันที่ 21 ว่าเครื่องมือด้านความปลอดภัยของบริษัทที่ชื่อ Codex Security มีส่วนช่วยในการค้นพบครั้งนี้
การค้นพบดังกล่าวมีทีมวิจัยจากองค์กรด้านความปลอดภัย Calif และบริษัท วิซ(Wiz) เข้าร่วมด้วย ช่องโหว่ทั้งสองรายการถูกระบุรหัสเป็น CVE-2026-109618 และ CVE-2026-109619 โดยทั้งคู่ได้คะแนน CVSS 9.2 ซึ่ง CVSS เป็นระบบให้คะแนนความรุนแรงของช่องโหว่แบบมาตรฐานกลาง มีช่วงคะแนน 0-10 และระดับ 9 ขึ้นไปถือว่าอยู่ในกลุ่มเสี่ยงสูงที่สุด ข้อมูลนี้รายงานโดย Cryptobriefing
ช่องโหว่ทั้งสองเปิดทางให้เกิดการโจมตีแบบ Remote Code Execution (RCE) หรือการสั่งรันโค้ดจากระยะไกล และการรั่วไหลของข้อมูลในหน่วยความจำ โดย RCE คือการที่ผู้โจมตีสามารถสั่งรันคำสั่งของตนเองบนเซิร์ฟเวอร์จากที่ไกลออกไปได้ ส่วนการรั่วไหลของหน่วยความจำคือการอ่านข้อมูลสำคัญที่ถูกเก็บไว้ในหน่วยความจำของโปรเซสเซิร์ฟเวอร์ได้ ที่สำคัญคือช่องโหว่นี้ไม่ต้องผ่านการยืนยันตัวตนใดๆ ผู้โจมตีจึงสามารถทดลองโจมตีได้โดยไม่ต้องมีข้อมูลเข้าสู่ระบบ ครอบคลุมหลายเวอร์ชันของ PHP ย้อนไปถึงรุ่น 5.4.0
สาเหตุมาจากปัญหาด้านความปลอดภัยของหน่วยความจำ (memory safety) โดยเฉพาะวิธีที่ PHP จัดการกับสถานการณ์หน่วยความจำไม่พอ (out-of-memory) ร่วมกับสถานะข้อมูลส่วนกลางที่หลงเหลือข้ามคำขอ (stale global state) ซึ่งกลายเป็นช่องโหว่ในที่สุด พฤติกรรมการรันโค้ดจากระยะไกลนี้ได้รับการยืนยันแยกกันบนเวิร์ดเพรส(WordPress) และดรูปาล(Drupal) เมื่อเดือนสิงหาคมที่ผ่านมา
มีการประเมินขนาดผลกระทบด้วย โดย Cryptobriefing รายงานว่าเว็บไซต์ที่พึ่งพา PHP ราว 70% อาจได้รับผลกระทบ แต่ไม่ได้เปิดเผยหลักเกณฑ์การคำนวณตัวเลขดังกล่าว แพลตฟอร์มที่ถูกระบุว่ามีความเสี่ยง ได้แก่ เวิร์ดเพรส ดรูปาล และมีเดียวิกิ(MediaWiki) ส่วนกระบวนการเปิดเผยข้อมูลได้มีการประสานงานร่วมกับบริษัทโครงสร้างพื้นฐานรายใหญ่ อย่าง อเมซอน เว็บ เซอร์วิส(AWS) กูเกิล(GOOGL) คลาวด์ และไมโครซอฟท์(MSFT)
โอเพนเอไอเรียกกรณีนี้ว่า 'Defender's Window' หรือ 'หน้าต่างแห่งการป้องกัน' แนวคิดคือเครื่องมือ AI สามารถค้นพบข้อบกพร่องได้ก่อนผู้ไม่หวังดี ทำให้ฝ่ายป้องกันมีเวลาเตรียมตัวมากขึ้น โดย Codex Security เป็นเครื่องมือด้านความปลอดภัยเฉพาะทางของโอเพนเอไอ และความดีความชอบในการค้นพบครั้งนี้ถูกแบ่งร่วมกันระหว่างโอเพนเอไอ, Calif และทีมวิจัยของวิซ
โอเพนเอไอประเมินว่าช่องโหว่ครั้งนี้เป็นหนึ่งในเหตุการณ์ด้านความปลอดภัยที่ร้ายแรงที่สุดในช่วงที่ผ่านมา และประกาศทุ่มงบ 1,000 ล้านดอลลาร์ (ประมาณ 3.5 หมื่นล้านบาท) เพื่อสนับสนุนบุคลากรด้านการป้องกันทางไซเบอร์ โดยงบดังกล่าวจะถูกจัดสรรผ่านโครงการเดย์เบรก(Daybreak)
ด้านการแก้ไขก็มีคำแนะนำตามมาเช่นกัน หลังทีมพัฒนา PHP เปิดตัวแพตช์เมื่อวันที่ 21 (เวลาท้องถิ่น) หน่วยงานด้านความปลอดภัยของยุโรปและสหราชอาณาจักรแนะนำให้ถอดเซิร์ฟเวอร์ที่ยังไม่สามารถติดตั้งแพตช์ได้ทันทีออกจากเครือข่ายสาธารณะ Cryptobriefing รายงานว่าหากการดำเนินการล่าช้า อาจนำไปสู่เหตุการณ์ด้านความปลอดภัยขนาดใหญ่ที่ส่งผลเสียต่อความเชื่อมั่นของผู้ใช้งานและสถานะทางการเงินของบริษัทต่างๆ
สำหรับผู้ดูแลเว็บไซต์ที่ใช้ PHP สิ่งที่ควรทำเป็นพื้นฐานคือการอัปเดตไปยังเวอร์ชัน PHP ที่ได้รับการแก้ไขแล้ว โดยเฉพาะผู้ดูแลเวิร์ดเพรสและดรูปาลที่จำเป็นต้องเร่งดำเนินการโดยเร็ว
ความคิดเห็น 0