ข่าว 
ข้อมูลเหรียญ 
แนะนำสื่อ 
ช่องโหว่ร้ายแรง 2 รายการในภาษาเขียนโปรแกรมสำหรับเว็บเซิร์ฟเวอร์ PHP ที่เปิดทางให้แฮกเกอร์รันโค้ดจากภายนอกได้โดยไม่ต้องยืนยันตัวตน ถูกเปิดเผยพร้อมแพตช์ฉุกเฉินเมื่อวันที่ 21 (เวลาท้องถิ่น) PHP เป็นภาษาที่เว็บไซต์ทั่วโลกใช้งานมากถึง 70% แต่เวอร์ชันแก้ไขที่ออกมาครอบคลุมเฉพาะ PHP 8.2 ขึ้นไป ทำให้เว็บไซต์มากกว่า 1 ใน 3 ยังไม่ได้รับการแพตช์
ช่องโหว่ทั้งสองมีรหัส CVE-2026-109618 และ CVE-2026-109619 เรียกรวมกันว่า 'PHP2Shell' ผู้โจมตีสามารถรันโค้ดบนเว็บเซิร์ฟเวอร์โดยไม่ต้องล็อกอิน และส่งผลลัพธ์ที่ผิดปกติไปยังเบราว์เซอร์ของผู้ใช้ได้ แม้แต่ก่อนที่โค้ดของเว็บไซต์เองจะถูกรันก็ยังถูกโจมตีได้ ทั้งนี้ PHP ทำงานอยู่ฝั่งเซิร์ฟเวอร์ไม่ใช่ฝั่งเบราว์เซอร์ โดยเป็นภาษาแบ็กเอนด์ที่ประมวลผลแล้วส่งผลลัพธ์ เช่น HTML ไปแสดงบนเบราว์เซอร์
เวอร์ชันที่แก้ไขแล้วคือ 8.5.12, 8.4.27, 8.3.36 และ 8.2.35 ส่วนเวอร์ชันเก่าตั้งแต่ 7.4 ถึง 8.1 เริ่มมีแพตช์แบบ backport (การย้ายแพตช์ล่าสุดไปใช้กับเวอร์ชันเก่า) ตามมาในภายหลัง
ในกลุ่มเว็บไซต์ที่ใช้ PHP ยังมี 27% ที่ใช้ PHP 7 และ 7.7% ที่ใช้ PHP 5 ซึ่งยังไม่ได้รับการแพตช์ จากการประเมินพบว่ามีโฮสต์อินเทอร์เน็ตมากกว่า 800,000 แห่งที่ใช้ PHP รุ่นเก่าซึ่งไม่มีแผนแก้ไขเลย และเว็บไซต์ที่ให้บริการโดยโฮสต์เหล่านี้มีจำนวนรวมหลายล้านเว็บไซต์
ทีมพัฒนา PHP ออกแพตช์ฉุกเฉินสำหรับช่องโหว่ทั้ง 2 รายการที่เปิดให้รันโค้ดระยะไกลโดยไม่ต้องยืนยันตัวตนเมื่อวันที่ 21 และผู้ใช้บริการโฮสติ้งควรตรวจสอบกับผู้ให้บริการว่าได้อัปเดตแล้วหรือยัง เนื่องจากแพลตฟอร์มซื้อขายสินทรัพย์ดิจิทัล กระเป๋าเงินดิจิทัล และเว็บไซต์ข้อมูลที่เกี่ยวข้องก็ให้บริการผ่านเว็บเช่นกัน จึงอยู่ในกลุ่มที่ต้องตรวจสอบสภาพแวดล้อมเซิร์ฟเวอร์ด้วย
ช่องโหว่นี้ถูกพบจากการตรวจสอบความปลอดภัยเมื่อเดือนสิงหาคมที่ OpenAI ให้การสนับสนุนด้านทุน โดยนักวิจัยจากบริษัทด้านความปลอดภัย Calif ใช้โมเดล GPT-5.6 Sol ของ OpenAI ในการค้นหาช่องโหว่ดังกล่าว Calif เป็นพันธมิตรในโครงการ 'Patch the Planet' ของ OpenAI ที่ผสานโมเดล AI ขั้นสูงเข้ากับการตรวจสอบโดยผู้เชี่ยวชาญ
Thai Duong ซีอีโอของ Calif ให้สัมภาษณ์กับ The Wall Street Journal ว่าช่องโหว่ลักษณะนี้เคยถูกพูดถึงมาหลายสิบปีแล้ว แต่ถูกมองข้ามเพราะเชื่อว่ายากเกินกว่าจะถูกใช้โจมตีจริง ทว่าตอนนี้ AI สามารถหาวิธียึดหน่วยความจำของเซิร์ฟเวอร์ได้ด้วยคำสั่งเพียงไม่กี่สิบครั้ง
Wiz บริษัทความปลอดภัยในเครือ Google Cloud ตรวจสอบช่องโหว่นี้อย่างเป็นอิสระและยืนยันผลเช่นเดียวกัน ผู้ร่วมก่อตั้ง Wiz ระบุว่า PHP2Shell เป็น "ช่องโหว่ที่เกี่ยวข้องกับ AI ที่ร้ายแรงที่สุดที่เคยพบมา" และเสริมว่าหากเป็นมนุษย์ค้นหาเองคงเป็นเรื่องยาก
ความกังวลเรื่องความเสียหายนำไปสู่มาตรการจริงในหลายประเทศทันที ศูนย์ไอทีแห่งชาติของฟินแลนด์ปิดบริการเว็บของรัฐบาลบางส่วนเพื่อป้องกันความเสี่ยง ในเนเธอร์แลนด์ เว็บไซต์ของ NotuBiz ซึ่งดูแลข้อมูลสภาท้องถิ่นต้องออฟไลน์ ตามมาด้วยการปิดกั้นเว็บไซต์ MijnOverheid และเว็บไซต์รัฐสภาเนเธอร์แลนด์ ส่วนฝรั่งเศส กระทรวงที่เกี่ยวข้องระบุว่าได้ระงับเว็บไซต์หน่วยงานปกครองท้องถิ่นชั่วคราวจนกว่าแพตช์จะพร้อม
Dane Knecht ซีทีโอของคลาวด์แฟลร์(NET) ระบุว่าลูกค้าทุกกลุ่มรวมถึงผู้ใช้แพ็กเกจฟรีมีช่องทางที่อาจถูกโจมตีจริงเปิดอยู่ โดยคลาวด์แฟลร์ใช้มาตรการฉุกเฉินชั่วคราวในชั่วข้ามคืน ก่อนประกาศแพตช์เพิ่มเติมอีกไม่กี่ชั่วโมงต่อมา ด้าน GoDaddy ผู้ให้บริการเว็บโฮสติ้ง เรียกร้องให้ลูกค้าอัปเกรดระบบโดยเร็ว
BlockTempo รายงานว่า OpenAI จะทุ่มงบ 1,000 ล้านดอลลาร์เพื่อสนับสนุนฝ่ายป้องกัน
ผู้ดูแลเซิร์ฟเวอร์ PHP ควรอัปเกรดเป็นเวอร์ชันแก้ไขที่ตรงกับสายที่ใช้งาน หรือติดตั้งแพ็กเกจแก้ไขจากดิสทริบิวชันของตน ส่วนผู้ที่ใช้เวอร์ชัน 8.1 หรือต่ำกว่าควรย้ายไปยังสายที่ยังได้รับการสนับสนุน หรือตรวจสอบกับดิสทริบิวชัน/ผู้ให้บริการซัพพอร์ตระยะยาวว่ามีแพตช์สำหรับเวอร์ชันเก่าหรือไม่
ความคิดเห็น 0