คำตอบเผยแพร่แล้ว22 แหล่งที่มา
รู้จัก PHP2Shell: ช่องโหว่ร้ายแรงที่ผู้โจมตีอาจใช้สั่งรันโค้ดบนเซิร์ฟเวอร์
PHP2Shell คือชื่อเรียกช่องโหว่ร้ายแรง 2 รายการใน PHP ได้คะแนน CVSS v4.0 ที่ 9.2 และอาจเปิดทางให้ผู้โจมตีสั่งรันโค้ดบนเซิร์ฟเวอร์ได้โดยไม่ต้องยืนยันตัวตน PHP ออกแพตช์เมื่อ 21 ตุลาคม 2026 หลังรหัส CVE หลุดก่อนกำหนด ขณะที่รายงานการโจมตีที่พบยังไม่ใช่หลักฐานว่าทุกครั้งโจมตีสำเร็จ
เผยแพร่โดยแก้ไขด้วย GPT-6 Lunaรูปภาพสร้างด้วย GPT Image 2
คำตอบการวิจัย
ประเด็นสำคัญ
- PHP2Shell คือชื่อเรียกช่องโหว่ร้ายแรง 2 รายการใน PHP ได้คะแนน CVSS v4.0 ที่ 9.2 และอาจเปิดทางให้ผู้โจมตีสั่งรันโค้ดบนเซิร์ฟเวอร์ได้โดยไม่ต้องยืนยันตัวตน
- PHP ออกแพตช์เมื่อ 21 ตุลาคม 2026 หลังรหัส CVE หลุดก่อนกำหนด ขณะที่รายงานการโจมตีที่พบยังไม่ใช่หลักฐานว่าทุกครั้งโจมตีสำเร็จ
AI พรอมต์
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the October 22, 2026 report reveal about the PHP2Shell vulnerabilities CVE-2026-109618 and CVE-2026-109619, including their 9.2 se. Article summary: The October 22 coverage describes PHP2Shell as an urgent patching crisis: CVE-2026-109618 and CVE-2026-109619 were rated 9.2 and could allow remote attackers to execute code without authentication, prompting emergency up. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
PHP2Shell คือชื่อเรียกช่องโหว่ร้ายแรง 2 รายการใน PHP ได้แก่ CVE-2026-109618 และ CVE-2026-109619 ทั้งคู่ได้คะแนนความรุนแรง 9.2 ตามเกณฑ์ CVSS v4.0 และอาจเปิดทางให้ผู้โจมตีจากระยะไกลสั่งรันโค้ดบนเซิร์ฟเวอร์ที่ได้รับผลกระทบได้โดยไม่ต้องล็อกอิน PHP ออกแพตช์เมื่อวันที่ 21 ตุลาคม 2026 หลังรายละเอียดบางส่วนถูกเปิดเผยก่อนกำหนด รายงานการพยายามโจมตีเริ่มปรากฏตามมาอย่างรวดเร็ว แต่การพบความพยายามโจมตีไม่ได้ยืนยันว่าระบบถูกเจาะสำเร็จ 1
3
14
ช่องโหว่ PHP2Shell ทำอะไรได้บ้าง
ปัญหาอยู่ที่การจัดการคำขอและหน่วยความจำภายใน PHP ไม่ได้จำกัดอยู่กับเฟรมเวิร์กหรือเว็บไซต์ใดเว็บไซต์หนึ่ง โดย CVE-2026-109618 เกี่ยวข้องกับการจัดการภาวะหน่วยความจำไม่เพียงพอ ส่วน CVE-2026-109619 เกี่ยวข้องกับสถานะภายในที่ค้างหรือไม่ถูกต้อง ความเสี่ยงที่รายงานคือการสั่งรันโค้ดจากระยะไกลได้โดยไม่ต้องยืนยันตัวตน 1
14
ดังนั้น แม้โค้ดของเว็บไซต์จะไม่มีช่องโหว่ที่ทราบอยู่แล้ว ก็ยังต้องตรวจสอบเวอร์ชัน PHP ที่ใช้งาน แนวทางปฏิบัติการของ PHP ระบุว่าการติดตั้งที่ให้บริการคำขอผ่านเว็บอยู่ในขอบเขตที่ต้องตรวจสอบ 55
เวอร์ชัน PHP ที่แก้ไขแล้ว
PHP เผยแพร่เวอร์ชันที่แก้ช่องโหว่เมื่อวันที่ 21 ตุลาคม 2026 ได้แก่
หากระบบใช้งานเวอร์ชันก่อนหน้าในสายเดียวกัน ควรอัปเดตเป็นเวอร์ชันที่แก้ไขแล้วให้ตรงกับสายที่ใช้อยู่ รายงานระบุว่ารายละเอียดของช่องโหว่หลุดออกมาก่อนวันเปิดเผยตามแผน จึงมีการเร่งเผยแพร่แพตช์ 3
13
33
รหัสช่องโหว่หลุดก่อนกำหนดได้อย่างไร
เมื่อวันที่ 20 ตุลาคม มีโพสต์บน Hacker News กล่าวถึงรหัส CVE ของช่องโหว่ทั้งสอง พร้อมระบุว่ารายละเอียดมีกำหนดเปิดเผยในวันที่ 22 ตุลาคม แม้โพสต์ถูกลบไปแล้ว แต่ภาพหน้าจอแพร่กระจายต่อ นักวิจัยด้านความปลอดภัยยืนยันภายหลังว่าข้อมูลดังกล่าวเป็นเรื่องจริงและยังอยู่ภายใต้กำหนดการเปิดเผยแบบจำกัดเวลา 3
รายงานให้เครดิต Calif ว่าค้นพบช่องโหว่หนึ่งรายการโดยมีโมเดลของ OpenAI ช่วย ส่วน Wiz ก็ตรวจพบและรายงานช่องโหว่เหล่านี้แยกต่างหาก ตามรายงานเกี่ยวกับการประสานงานเพื่อแก้ปัญหา อย่างไรก็ตาม ข้อมูลที่มีไม่ได้ยืนยันว่าช่องโหว่มีมานานเกือบ 20 ปี และยังไม่เพียงพอที่จะระบุว่าทีมใดค้นพบ CVE แต่ละรายการโดยเฉพาะ 27
33
เว็บไซต์ที่หยุดให้บริการและคำแนะนำจากหน่วยงาน
มีบางองค์กรนำบริการออกจากระบบชั่วคราวเพื่อเป็นมาตรการป้องกันระหว่างจัดการความเสี่ยง รายงานระบุถึงบริการที่เกี่ยวข้องกับกระทรวงการคลังญี่ปุ่น BambooHR บริษัทแพลตฟอร์มทรัพยากรบุคคลจากสหรัฐฯ ท่าเรือรอตเทอร์ดาม และ Wikimedia การหยุดให้บริการเพียงอย่างเดียวไม่ได้แปลว่าองค์กรเหล่านั้นถูกเจาะระบบแล้ว 19
หน่วยงาน CISA ของสหรัฐฯ แนะนำให้องค์กรที่ใช้เว็บไซต์ PHP ติดตั้งแพตช์โดยเร็ว 33 ส่วนข้อมูลที่ให้มายังไม่ยืนยันจำนวนบริการที่หยุดให้บริการทั้งหมด หรือยืนยันครบถ้วนถึงรายงานเกี่ยวกับโรงพยาบาล โรงเรียน และหน่วยงานภาครัฐที่ได้รับผลกระทบ
รายงานการโจมตีบอกอะไร และไม่ได้ยืนยันอะไร
รายงานต่าง ๆ พบกิจกรรมทั้งก่อนและหลังเปิดเผยช่องโหว่ต่อสาธารณะ:
- Amazon ระบุว่า MadPot ซึ่งเป็นระบบล่อเก็บข้อมูลการโจมตี (honeypot) ของบริษัท ตรวจพบความพยายามโจมตีเมื่อวันที่ 17 ตุลาคม ก่อน PHP ออกแพตช์วันที่ 21 ตุลาคม การพบเหตุการณ์บน honeypot ยืนยันได้ว่ามีความพยายามโจมตีเซนเซอร์ดังกล่าว แต่ไม่ได้ยืนยันว่าระบบอื่นถูกเจาะสำเร็จ
50
58
- Cloudflare รายงานความพยายามโจมตีหลายพันครั้งในช่วง 10 ชั่วโมงก่อนประกาศต่อสาธารณะ และหลายล้านครั้งหลังจากนั้น ตัวเลขนี้นับความพยายามที่ระบบของบริษัทสังเกตเห็น ไม่ใช่จำนวนเซิร์ฟเวอร์ที่ถูกเจาะสำเร็จ
36
- CISA ระบุว่า ณ เวลาที่ออกคำเตือน หน่วยงานยังไม่พบการโจมตีที่สังเกตได้ ข้อความนี้สะท้อนข้อมูลที่ CISA มีในเวลานั้น และไม่ได้หักล้างรายงานความพยายามโจมตีจากผู้ให้บริการความปลอดภัยที่อาศัยข้อมูลจากระบบตรวจวัดอื่น
- Sophos แก้ไขรายงานก่อนหน้าที่ระบุว่าพบการโจมตีสำเร็จในสภาพแวดล้อมของลูกค้า โดยชี้แจงว่าข้อมูลที่ตรวจพบเป็นการสแกนและความพยายามโจมตีที่ล้มเหลวจำนวนเล็กน้อย และจนถึงเวลาที่อัปเดตยังไม่มีหลักฐานว่าระบบในสภาพแวดล้อมของบริษัทถูกเจาะสำเร็จ
7
เมื่อพิจารณาร่วมกัน รายงานเหล่านี้ชี้ว่าควรเร่งจัดการ PHP2Shell เพราะมีการพบความพยายามโจมตีและผลกระทบที่อาจเกิดขึ้นรุนแรง แต่ยังไม่มีหลักฐานว่าความพยายามทุกครั้งสำเร็จ หรือมีตัวเลขสรุปที่เชื่อถือได้ว่าระบบถูกเจาะไปทั้งหมดกี่แห่ง
สิ่งที่ข้อมูลยังยืนยันไม่ได้
รายงานที่ให้มายังไม่มีตัวเลขที่เชื่อถือได้เกี่ยวกับจำนวนเซิร์ฟเวอร์ที่เปิดรับการเชื่อมต่อจากอินเทอร์เน็ตและยังมีช่องโหว่ ไม่ยืนยันว่าช่องโหว่มีอยู่มานานเกือบ 20 ปี และไม่ได้พิสูจน์ว่าผู้โจมตีใช้ AI เพื่อพัฒนาเครื่องมือโจมตี PHP2Shell แม้มีรายงานว่า AI ช่วยในกระบวนการค้นพบช่องโหว่ แต่เรื่องนั้นไม่ใช่หลักฐานว่าผู้โจมตีใช้ AI ค้นพบหรือนำช่องโหว่ไปใช้ 27
33
Studio Global AI
ทำการวิจัยต่อ
หน้านี้รวมคำตอบที่ได้รับการสนับสนุนจากแหล่งที่มาซึ่งคุณสามารถดำเนินการต่อภายใน Studio Global
คนยังถาม
คำตอบสั้น ๆ สำหรับ "รู้จัก PHP2Shell: ช่องโหว่ร้ายแรงที่ผู้โจมตีอาจใช้สั่งรันโค้ดบนเซิร์ฟเวอร์" คืออะไร
PHP2Shell คือชื่อเรียกช่องโหว่ร้ายแรง 2 รายการใน PHP ได้คะแนน CVSS v4.0 ที่ 9.2 และอาจเปิดทางให้ผู้โจมตีสั่งรันโค้ดบนเซิร์ฟเวอร์ได้โดยไม่ต้องยืนยันตัวตน
ประเด็นสำคัญที่ต้องตรวจสอบก่อนคืออะไร?
PHP2Shell คือชื่อเรียกช่องโหว่ร้ายแรง 2 รายการใน PHP ได้คะแนน CVSS v4.0 ที่ 9.2 และอาจเปิดทางให้ผู้โจมตีสั่งรันโค้ดบนเซิร์ฟเวอร์ได้โดยไม่ต้องยืนยันตัวตน PHP ออกแพตช์เมื่อ 21 ตุลาคม 2026 หลังรหัส CVE หลุดก่อนกำหนด ขณะที่รายงานการโจมตีที่พบยังไม่ใช่หลักฐานว่าทุกครั้งโจมตีสำเร็จ