คำตอบเผยแพร่แล้ว23 แหล่งที่มา
PHP2Shell: ช่องโหว่ PHP ที่ควรรีบอัปเดตแพตช์
PHP2Shell คือช่องโหว่ร้ายแรงสองรายการใน PHP ได้คะแนน 9.2 ตาม CVSS v4.0 และอาจเปิดทางให้รันโค้ดจากระยะไกลโดยไม่ต้องยืนยันตัวตน ช่องโหว่เกี่ยวข้องกับการจัดการหน่วยความจำไม่เพียงพอและสถานะภายในที่ค้างอยู่ รายงานระบุว่าอาจกระทบ PHP ตั้งแต่เวอร์ชัน 5.4 ขึ้นไป ส่วนระบบรุ่นเก่าหรือไม่รองรับควรตรวจคำแนะนำจากผู้จำหน่ายโดยตรง
เผยแพร่โดยแก้ไขด้วย GPT-6 Lunaรูปภาพสร้างด้วย GPT Image 2
คำตอบการวิจัย
ประเด็นสำคัญ
- PHP2Shell คือช่องโหว่ร้ายแรงสองรายการใน PHP ได้คะแนน 9.2 ตาม CVSS v4.0 และอาจเปิดทางให้รันโค้ดจากระยะไกลโดยไม่ต้องยืนยันตัวตน
- ช่องโหว่เกี่ยวข้องกับการจัดการหน่วยความจำไม่เพียงพอและสถานะภายในที่ค้างอยู่ รายงานระบุว่าอาจกระทบ PHP ตั้งแต่เวอร์ชัน 5.4 ขึ้นไป ส่วนระบบรุ่นเก่าหรือไม่รองรับควรตรวจคำแนะนำจากผู้จำหน่ายโดยตรง
AI พรอมต์
openai.comCreate a landscape editorial hero image for this Studio Global article: What are the PHP2Shell vulnerabilities CVE-2026-109618 and CVE-2026-109619, why are both rated 9.2 out of 10, how do they enable unauthentic. Article summary: PHP2Shell is the collective name for two critical PHP flaws, CVE-2026-109618 and CVE-2026-109619, reported to permit unauthenticated remote code execution; emergency fixes were released on October 21, 2026. [3][5] The av. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
PHP2Shell เป็นชื่อเรียกรวมของช่องโหว่ร้ายแรงสองรายการในแกนการทำงานของ PHP ได้แก่ CVE-2026-109618 และ CVE-2026-109619 ทั้งคู่ได้คะแนน 9.2 ระดับ Critical ตามเกณฑ์ CVSS v4.0 และอาจเปิดให้ผู้โจมตีที่ไม่ต้องล็อกอินรันโค้ดบนเซิร์ฟเวอร์ที่มีช่องโหว่ได้ โครงการ PHP ออกแพตช์ฉุกเฉินเมื่อวันที่ 21 ตุลาคม 2026 
สิ่งที่ผู้ดูแลระบบควรทำก่อนคืออัปเดต PHP รายงานการพยายามโจมตี รวมถึงข้อมูลจาก honeypot ของ Amazon ที่พบกิจกรรมก่อนเปิดเผยช่องโหว่ เป็นเหตุผลให้เร่งตรวจสอบและแก้ไข แต่ไม่ได้ยืนยันว่าระบบใช้งานจริงถูกเจาะสำเร็จ 36
ช่องโหว่ PHP2Shell ทั้งสองรายการทำงานอย่างไร
ช่องโหว่แต่ละรายการมีสาเหตุที่รายงานไว้ต่างกัน:
- CVE-2026-109618 เกี่ยวข้องกับการจัดการหน่วยความจำไม่เพียงพอ (out-of-memory) เมื่อ PHP จัดการภาวะหน่วยความจำหมด การประมวลผลอาจหยุดชะงักในช่วงที่ข้อมูลคำขอภายในยังถูกเตรียมไม่ครบ จากนั้นขั้นตอนล้างข้อมูลอาจปฏิบัติต่อข้อมูลที่ไม่ถูกต้องราวกับว่าใช้งานได้
58
- CVE-2026-109619 เกี่ยวข้องกับสถานะภายในที่ล้าสมัย รายงานระบุว่าสถานะบางส่วนของคำขออาจยังค้างอยู่หลังจากหน่วยความจำที่เก็บสถานะนั้นถูกคืนไปแล้ว จนเกิดปัญหา use-after-free หรือการนำหน่วยความจำที่ถูกปล่อยคืนไปกลับมาใช้งาน
9
ช่องโหว่เกี่ยวข้องกับการประมวลผลคำขอ HTTP ที่ถูกสร้างขึ้นเป็นพิเศษ รวมถึงข้อมูลแบบ multipart/form-data ซึ่งมักใช้กับการอัปโหลดไฟล์ 1
ทำไมได้คะแนน 9.2 และคะแนนนี้บอกอะไร
ช่องโหว่ทั้งคู่ได้คะแนน 9.2 จาก 10 ระดับ Critical ตาม CVSS v4.0 ความเสี่ยงสำคัญคือผู้โจมตีอาจรันโค้ดจากระยะไกลได้โดยไม่ต้องเข้าสู่ระบบก่อน
อย่างไรก็ตาม แหล่งข้อมูลที่มีไม่ได้ให้รายละเอียดเวกเตอร์ CVSS ครบถ้วน จึงยังอธิบายอย่างเจาะจงไม่ได้ว่าปัจจัยการประเมินแต่ละข้อรวมกันเป็นคะแนน 9.2 ได้อย่างไร คะแนนนี้บอกระดับความรุนแรงของช่องโหว่ ไม่ได้บอกว่าระบบใดระบบหนึ่งมีโอกาสถูกโจมตีมากน้อยแค่ไหน หรือการโจมตีที่ตรวจพบทำสำเร็จแล้วหรือไม่
PHP เวอร์ชันใดได้รับผลกระทบ และควรอัปเดตเป็นรุ่นไหน
รายงานระบุช่วงเวอร์ชันที่ได้รับผลกระทบว่าเริ่มตั้งแต่ PHP 5.4 55 ส่วนรุ่นแก้ไขฉุกเฉินที่ประกาศสำหรับสาย PHP 8.x มีดังนี้:
| สาย PHP | รุ่นที่แก้ไขแล้ว |
|---|---|
| 8.2 | 8.2.35 |
| 8.3 | 8.3.36 |
| 8.4 | 8.4.27 |
| 8.5 | 8.5.12 |
รุ่นเหล่านี้เผยแพร่เมื่อวันที่ 21 ตุลาคม 2026 ให้อัปเกรดเป็นรุ่นแก้ไขของสายที่ใช้อยู่ หรือรุ่นใหม่กว่าภายในสายเดียวกัน
รายการข้างต้นครอบคลุมสาย 8.2 ถึง 8.5 หากระบบยังใช้สายเก่าหรือสายที่หมดระยะสนับสนุน ให้ตรวจสอบคำแนะนำจากผู้จัดจำหน่าย PHP หรือผู้ผลิตระบบปฏิบัติการ และอย่าคิดว่ารุ่นแก้ไขในตารางจะนำไปใช้กับระบบของคุณได้โดยตรง
การเปิดเผยช่องโหว่และรายงานการโจมตี: พยายามโจมตีไม่เท่ากับเจาะสำเร็จ
ข้อมูลเกี่ยวกับช่องโหว่ปรากฏต่อสาธารณะเมื่อวันที่ 20 ตุลาคม ก่อนกำหนดการเปิดเผยที่วางไว้ในวันที่ 22 ตุลาคม จากนั้น PHP ออกแพตช์ฉุกเฉินในวันที่ 21 ตุลาคม 8
42 แหล่งข้อมูลที่มีรองรับลำดับการเปิดเผยก่อนกำหนดและการออกแพตช์เร็วขึ้น แต่ยังยืนยันไม่ได้ว่าคลิปสาธิตที่เผยแพร่ผิดพลาดโดย Calif เป็นสาเหตุให้เร่งกำหนดการ
Amazon Threat Intelligence รายงานว่าพบความพยายามใช้ช่องโหว่ PHP2Shell ในข้อมูลจาก MadPot honeypot เมื่อวันที่ 17 ตุลาคม หรือสี่วันก่อนการเปิดเผยต่อสาธารณะ นอกจากนี้ Amazon ยังระบุว่าพบโค้ดพิสูจน์แนวคิด (proof of concept) หลายชุดในช่วงที่แพตช์ออกเมื่อวันที่ 21 ตุลาคม ข้อมูลจาก honeypot แสดงว่ามีการมุ่งเป้าไปยังระบบล่อ ไม่ใช่หลักฐานยืนยันว่ามีองค์กรจริงถูกเจาะ
Cloudflare รายงานว่าได้ติดตั้งมาตรการป้องกันไว้ในช่วงใกล้กับการเปิดเผยช่องโหว่ และรายงานร่วมสมัยกล่าวถึงทราฟฟิกหรือความพยายามโจมตีที่ผู้ให้บริการด้านความปลอดภัยตรวจพบ 55
35 แต่รายงานเรื่องขนาดและความสำเร็จของการโจมตีไม่ตรงกัน: ผู้ให้บริการบางรายกล่าวว่าพบการโจมตีจริงหรือการโจมตีในวงกว้าง ขณะที่รายงานอื่นในช่วงเวลาเดียวกันระบุว่าหน่วยงานภาครัฐยังไม่ได้ยืนยันว่ามีการโจมตีสำเร็จ
33
36
หลักฐานที่มีสนับสนุนให้ถือว่าความพยายามโจมตีเป็นเรื่องจริงจัง แต่ยังไม่ควรเหมารวมว่าทุกความพยายามประสบผล หรือสรุปว่าการโจมตีเกิดขึ้นในวงกว้าง ควรแยกให้ชัดระหว่างการพยายามโจมตี การสาธิตว่าโจมตีได้ และการยืนยันว่าระบบจริงถูกบุกรุก
ระหว่างรออัปเดต ควรทำอย่างไร
การติดตั้ง PHP รุ่นที่แก้ไขแล้วคือวิธีแก้หลัก AWS ระบุว่าการอัปเกรดเป็นทางแก้ที่สมบูรณ์เพียงวิธีเดียว หากยังอัปเดตไม่ได้ทันที การลดความเสี่ยงชั่วคราวอาจรวมถึงการบล็อกการอัปโหลดไฟล์แบบ multipart แต่มาตรการเหล่านี้ใช้แทนการอัปเดตไม่ได้
ศูนย์ความมั่นคงปลอดภัยไซเบอร์ของแคนาดาออกประกาศเตือนระดับวิกฤตเกี่ยวกับช่องโหว่และความเสี่ยงในการรันโค้ดโดยไม่ต้องยืนยันตัวตน 2 แหล่งข้อมูลที่มีรายงานด้วยว่า NSA แนะนำให้ปิดระบบชั่วคราว หากยังไม่สามารถอัปเดตได้ทันที
27 ควรปฏิบัติตามประกาศจากผู้ผลิตและหน่วยงานที่เกี่ยวข้องกับระบบของคุณเป็นหลัก โดยเฉพาะกรณีที่ PHP รวมอยู่ในผลิตภัณฑ์หรือดูแลผ่านผู้ให้บริการโฮสติ้ง
สรุปคือ ให้สำรวจว่ามี PHP ทำงานอยู่ที่ใดบ้าง ติดตั้งรุ่นแก้ไขให้ตรงกับสายที่ใช้งาน และตรวจสอบการแจ้งเตือนอย่างรอบคอบ PHP2Shell ร้ายแรงพอที่จะต้องรีบจัดการ แต่การพบความพยายามโจมตี การมีช่องทางโจมตีที่ใช้งานได้ และการยืนยันว่าระบบจริงถูกเจาะ เป็นข้อเท็จจริงคนละระดับกัน
Studio Global AI
ทำการวิจัยต่อ
หน้านี้รวมคำตอบที่ได้รับการสนับสนุนจากแหล่งที่มาซึ่งคุณสามารถดำเนินการต่อภายใน Studio Global
คนยังถาม
คำตอบสั้น ๆ สำหรับ "PHP2Shell: ช่องโหว่ PHP ที่ควรรีบอัปเดตแพตช์" คืออะไร
PHP2Shell คือช่องโหว่ร้ายแรงสองรายการใน PHP ได้คะแนน 9.2 ตาม CVSS v4.0 และอาจเปิดทางให้รันโค้ดจากระยะไกลโดยไม่ต้องยืนยันตัวตน
ประเด็นสำคัญที่ต้องตรวจสอบก่อนคืออะไร?
PHP2Shell คือช่องโหว่ร้ายแรงสองรายการใน PHP ได้คะแนน 9.2 ตาม CVSS v4.0 และอาจเปิดทางให้รันโค้ดจากระยะไกลโดยไม่ต้องยืนยันตัวตน ช่องโหว่เกี่ยวข้องกับการจัดการหน่วยความจำไม่เพียงพอและสถานะภายในที่ค้างอยู่ รายงานระบุว่าอาจกระทบ PHP ตั้งแต่เวอร์ชัน 5.4 ขึ้นไป ส่วนระบบรุ่นเก่าหรือไม่รองรับควรตรวจคำแนะนำจากผู้จำหน่ายโดยตรง