คำตอบเผยแพร่แล้ว26 แหล่งที่มา
PHP2Shell: วิกฤตช่องโหว่ PHP เดือนตุลาคม 2026 และบทบาทของ AI ในการค้นพบ
PHP ออกแพตช์ฉุกเฉินเมื่อ 21 ตุลาคม 2026 หลังรายละเอียดช่องโหว่ PHP2Shell รั่วก่อนกำหนด ทั้งสองช่องโหว่อาจเปิดทางให้ผู้โจมตีรันโค้ดจากระยะไกลได้โดยไม่ต้องล็อกอิน [6][13] Calif และ Wiz มีส่วนในการค้นพบ โดยมีรายงานว่า GPT 5.6 Sol, Wiz Atlas และ Gemini 4 Argon ถูกใช้ช่วยงานวิจัยด้านความปลอดภัย [21] ช่องโหว่ทั้งสองได้คะแ...
เผยแพร่โดยแก้ไขด้วย GPT-6 Lunaรูปภาพสร้างด้วย GPT Image 2
คำตอบการวิจัย
ประเด็นสำคัญ
- PHP ออกแพตช์ฉุกเฉินเมื่อ 21 ตุลาคม 2026 หลังรายละเอียดช่องโหว่ PHP2Shell รั่วก่อนกำหนด ทั้งสองช่องโหว่อาจเปิดทางให้ผู้โจมตีรันโค้ดจากระยะไกลได้โดยไม่ต้องล็อกอิน [6][13]
- Calif และ Wiz มีส่วนในการค้นพบ โดยมีรายงานว่า GPT 5.6 Sol, Wiz Atlas และ Gemini 4 Argon ถูกใช้ช่วยงานวิจัยด้านความปลอดภัย [21]
- ช่องโหว่ทั้งสองได้คะแนน CVSS 9.2 และ PHP แนะนำให้อัปเดตเป็นเวอร์ชัน 8.5.12, 8.4.27, 8.3.36 หรือ 8.2.35 [14][15]
- มีรายงานพบความพยายามโจมตีตั้งแต่ก่อนเปิดเผยช่องโหว่ แต่หลักฐานที่มีไม่ยืนยันว่าการโจมตีเหล่านั้นทำให้เกิดการเจาะระบบวงกว้าง [4][10]
AI พรอมต์
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened during the October 2026 PHP2Shell security crisis, including the AI assisted discovery of CVE 2026 109618 and CVE 2026 109619. Article summary: PHP2Shell prompted emergency PHP security releases on October 21, 2026, after early disclosure disrupted the planned October 22 release; the two flaws could allow unauthenticated remote code execution.. Topic tags: general web, openai, prompt engineering, ai, code. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numb
PHP2Shell คือชื่อเรียกรวมของช่องโหว่ร้ายแรงสองรายการใน PHP ได้แก่ CVE-2026-109618 และ CVE-2026-109619 ทั้งคู่มีความเสี่ยงต่อการรันโค้ดจากระยะไกลโดยไม่ต้องยืนยันตัวตน จึงทำให้ผู้ดูแลเว็บไซต์และระบบที่ใช้ PHP ต้องเร่งตรวจสอบและติดตั้งแพตช์
เหตุการณ์ปะทุขึ้นเมื่อรายละเอียดถูกเปิดเผยก่อนกำหนดในวันที่ 20 ตุลาคม 2026 เดิมทีการปล่อยแพตช์วางแผนไว้วันที่ 22 ตุลาคม แต่ PHP ออกอัปเดตฉุกเฉินในวันที่ 21 ตุลาคมแทน 4
6 วิกฤตครั้งนี้ชี้ให้เห็นความเร่งด่วนในการอัปเดตระบบ แต่หลักฐานที่มีไม่ได้ยืนยันว่ามีการเจาะระบบสำเร็จเป็นวงกว้าง
AI ช่วยค้นพบช่องโหว่ได้อย่างไร
รายงานระบุว่า Calif พบช่องโหว่ในเดือนสิงหาคม ผ่านโครงการ Patch the Planet ของ OpenAI ขณะที่ Wiz ค้นพบช่องโหว่โดยอิสระ 6
15 มีรายงานเพิ่มเติมว่า Calif ใช้ GPT-5.6 Sol และทีม Wiz ใช้ Wiz Atlas, Gemini 4 Argon รวมถึง GPT-5.6 Sol ในงานค้นคว้าและตรวจสอบช่องโหว่
21
CVE-2026-109618 เกี่ยวข้องกับการจัดการหน่วยความจำผิดพลาดเมื่อเกิดภาวะหน่วยความจำไม่พอ ส่วน CVE-2026-109619 เชื่อมโยงกับสถานะส่วนกลางที่ล้าสมัย ทั้งสองปัญหาอาจนำไปสู่การรันโค้ดจากระยะไกลได้ โดยมีรายงานให้คะแนนความรุนแรง CVSS v4.0 ที่ 9.2 14
15
ช่องโหว่กระทบ PHP หลายรุ่น โดยมีรายงานระบุช่วงตั้งแต่ PHP 5.4 ถึง 8.5 3
7 ส่วนแพตช์ทางการที่ประกาศในเหตุการณ์นี้ครอบคลุม PHP 8.2 ถึง 8.5 ได้แก่ 8.2.35, 8.3.36, 8.4.27 และ 8.5.12
15 PHP 8.1 และรุ่นเก่ากว่านั้นพ้นช่วงการอัปเดตตามปกติแล้ว แม้ผู้ให้บริการบางรายหรือดิสโทร Linux อาจมีแพตช์ที่นำกลับไปปรับใช้กับรุ่นเก่า
ข้อมูลรั่วก่อนกำหนดและการตอบสนองฉุกเฉิน
หลังข้อมูลเกี่ยวกับช่องโหว่แพร่ออกมาก่อนกำหนด PHP จึงเลื่อนการปล่อยแพตช์จากวันที่ 22 มาเป็นวันที่ 21 ตุลาคม รายงานของ Forrester ระบุว่าแพตช์ออกเวลา 14:00 UTC ในวันดังกล่าว 4
7 PHP แนะนำให้ติดตั้งเวอร์ชันที่แก้ไขแล้ว โดยเฉพาะระบบที่ให้บริการคำขอผ่านเว็บ
3
หน่วยงานและผู้ให้บริการด้านเทคโนโลยีออกคำแนะนำตามมา NSA แนะนำให้สำรวจว่ามีบริการหรืออุปกรณ์ใดพึ่งพา PHP รุ่นที่มีช่องโหว่ และให้เร่งใช้แพตช์จากผู้พัฒนา 17 ขณะที่ CISA และผู้ให้บริการรายใหญ่อย่าง Google, AWS และ Microsoft ก็เผยแพร่คำแนะนำสำหรับลูกค้า
3
18
การหยุดให้บริการชั่วคราวเพื่ออัปเดตอาจเกิดขึ้นในบางเว็บไซต์ แต่แหล่งข้อมูลที่มีไม่ได้ระบุรายชื่อระบบหรือผลกระทบเชิงปฏิบัติการไว้อย่างละเอียด 3 ตัวเลขนี้จึงไม่ควรถูกใช้สรุปว่ามีเว็บไซต์จำนวนมากถูกปิดหรือถูกบุกรุก
จำนวนระบบที่เสี่ยงไม่เท่ากับจำนวนที่ถูกเจาะ
TechTarget รายงานว่า PHP ถูกใช้ในเว็บไซต์ราว 70% ของเว็บ และ Palo Alto Networks ประเมินว่ามีอินสแตนซ์ที่เปิดให้เข้าถึงจากอินเทอร์เน็ตมากกว่า 22.6 ล้านรายการ ซึ่งอาจมีช่องโหว่ PHP2Shell 8 ตัวเลขเหล่านี้สะท้อนขนาดของพื้นผิวความเสี่ยง ไม่ใช่จำนวนระบบที่ยืนยันแล้วว่าถูกเจาะสำเร็จ
มีรายงานว่า Amazon Threat Intelligence ตรวจพบความพยายามโจมตีในระบบ honeypot ของ MadPot ตั้งแต่วันที่ 17 ตุลาคม หรือสี่วันก่อนการเปิดเผยต่อสาธารณะ และยังพบความพยายามอื่นตามมา 4 อย่างไรก็ตาม ความพยายามโจมตีไม่ใช่หลักฐานว่าผู้โจมตีเข้าควบคุมระบบจริง
Sansec ปรับการประเมินเมื่อ 22 ตุลาคม โดยระบุว่าการโจมตีวงกว้างมีโอกาสเกิดขึ้นน้อยกว่าที่คาดไว้ในวันปล่อยแพตช์ 10 ข้อมูลที่มีจึงยังไม่ยืนยันภาพการเจาะระบบสำเร็จในวงกว้าง และควรแยกให้ชัดระหว่างการสแกนหรือทดลองโจมตี การสาธิตช่องโหว่ และการยืนยันว่าระบบถูกบุกรุกแล้ว
คำเตือนเพิ่มเติมวันที่ 23 ตุลาคม
วันที่ 23 ตุลาคม PHP แจ้งถึงช่องทาง RCE อีกกรณีหนึ่งซึ่งเกิดได้ยากและเกี่ยวข้องกับการตั้งค่า session ที่ไม่ปกติ โดยมีการระบุ CVE-2026-115560 9
19 PHP แนะนำให้ตั้งค่า
session.upload_progress.enabled=0 เพื่อป้องกันไว้ก่อน จนกว่าจะมีรุ่นแก้ไขในรอบบั๊กฟิกซ์ปกติ 19
คำแนะนำดังกล่าวมีเงื่อนไขเฉพาะ: หากแอปพลิเคชันไม่เปลี่ยนตัวจัดการ serialization ระหว่างรัน ก็สามารถเปิดฟีเจอร์นี้ไว้ได้ตามคำชี้แจงของ PHP 9
ประเด็นที่ยังไม่มีหลักฐานยืนยันชัดเจน
ข้อมูลที่มีไม่เพียงพอจะยืนยันรายละเอียดทั้งหมดเกี่ยวกับคำกล่าวของ PHP Foundation เรื่อง “ความล้มเหลวเชิงโครงสร้าง” หรือข้อจำกัดด้านทรัพยากรที่อาจเกี่ยวข้องกับการจัดการสัญญาณเตือนซึ่งพบตั้งแต่ปี 2024 เช่นเดียวกับข้อกล่าวอ้างเรื่องเครื่องมือตรวจเวอร์ชัน PHP ของ OpenAI และเงินอุดหนุน Daybreak มูลค่า 1 พันล้านดอลลาร์ ซึ่งยังไม่มีหลักฐานรองรับในแหล่งข้อมูลที่นำมาใช้
แม้กรณีนี้แสดงให้เห็นว่า AI มีส่วนช่วยค้นพบช่องโหว่ แต่ข้อมูลยังไม่พอจะสรุปว่า AI ช่วยฝ่ายป้องกันหรือฝ่ายโจมตีได้มากกว่ากัน 5
6 เช่นเดียวกัน ยังไม่มีข้อมูลเพียงพอที่จะยืนยันรายงานการโจมตีที่ทำให้เข้าใจผิด หรือประเมินภาระงานของทีมปฏิบัติการอย่างเป็นตัวเลข
ช่วงเวลาเดียวกันยังมีข่าวเหตุการณ์ด้านความปลอดภัยอื่น เช่น การสาธิตช่องโหว่ Node2Shell ใน Node.js รวมถึงรายงานเหตุเกี่ยวกับ LiteLLM และ eMudhra 2
10 แต่เหตุการณ์เหล่านี้เป็นคนละกรณีกับ PHP2Shell และข้อมูลที่มีไม่ยืนยันว่ามีสาเหตุเชื่อมโยงกัน
ข้อสรุปที่ชัดที่สุดสำหรับผู้ดูแลระบบคือให้ทำบัญชีระบบที่ใช้ PHP และติดตั้งแพตช์ที่ตรงกับเวอร์ชันโดยเร็ว อย่าตีความจำนวนอินสแตนซ์ที่อาจเสี่ยงว่าเป็นจำนวนระบบที่ถูกเจาะไปแล้ว 1
6
Studio Global AI
ทำการวิจัยต่อ
หน้านี้รวมคำตอบที่ได้รับการสนับสนุนจากแหล่งที่มาซึ่งคุณสามารถดำเนินการต่อภายใน Studio Global
คนยังถาม
คำตอบสั้น ๆ สำหรับ "PHP2Shell: วิกฤตช่องโหว่ PHP เดือนตุลาคม 2026 และบทบาทของ AI ในการค้นพบ" คืออะไร
PHP ออกแพตช์ฉุกเฉินเมื่อ 21 ตุลาคม 2026 หลังรายละเอียดช่องโหว่ PHP2Shell รั่วก่อนกำหนด ทั้งสองช่องโหว่อาจเปิดทางให้ผู้โจมตีรันโค้ดจากระยะไกลได้โดยไม่ต้องล็อกอิน [6][13]
ประเด็นสำคัญที่ต้องตรวจสอบก่อนคืออะไร?
PHP ออกแพตช์ฉุกเฉินเมื่อ 21 ตุลาคม 2026 หลังรายละเอียดช่องโหว่ PHP2Shell รั่วก่อนกำหนด ทั้งสองช่องโหว่อาจเปิดทางให้ผู้โจมตีรันโค้ดจากระยะไกลได้โดยไม่ต้องล็อกอิน [6][13] Calif และ Wiz มีส่วนในการค้นพบ โดยมีรายงานว่า GPT 5.6 Sol, Wiz Atlas และ Gemini 4 Argon ถูกใช้ช่วยงานวิจัยด้านความปลอดภัย [21]
ฉันควรทำอย่างไรต่อไปในทางปฏิบัติ?
ช่องโหว่ทั้งสองได้คะแนน CVSS 9.2 และ PHP แนะนำให้อัปเดตเป็นเวอร์ชัน 8.5.12, 8.4.27, 8.3.36 หรือ 8.2.35 [14][15]