คำตอบเผยแพร่แล้ว25 แหล่งที่มา
PHP2Shell คืออะไร และเหตุใดช่องโหว่นี้จึงเร่งให้เว็บไซต์ทั่วโลกต้องรีบอัปเดต
PHP2Shell คือช่องโหว่ร้ายแรงสองรายการใน PHP ที่อาจเปิดทางให้ผู้โจมตีรันโค้ดจากระยะไกลโดยไม่ต้องล็อกอิน ทั้งคู่ได้คะแนน CVSS 4.0 ที่ 9.2 และมีแพตช์ออกเมื่อ 21 ตุลาคม 2026 Calif ใช้ GPT 5.6 Sol ของ OpenAI ช่วยค้นพบช่องโหว่หนึ่งรายการ ขณะที่ Wiz ค้นพบและรายงานช่องโหว่ทั้งสองรายการอย่างเป็นอิสระ โดยใช้เครื่องมือช่วยวิจั...
เผยแพร่โดยแก้ไขด้วย GPT-6 Lunaรูปภาพสร้างด้วย GPT Image 2
คำตอบการวิจัย
ประเด็นสำคัญ
- PHP2Shell คือช่องโหว่ร้ายแรงสองรายการใน PHP ที่อาจเปิดทางให้ผู้โจมตีรันโค้ดจากระยะไกลโดยไม่ต้องล็อกอิน ทั้งคู่ได้คะแนน CVSS 4.0 ที่ 9.2 และมีแพตช์ออกเมื่อ 21 ตุลาคม 2026
- Calif ใช้ GPT 5.6 Sol ของ OpenAI ช่วยค้นพบช่องโหว่หนึ่งรายการ ขณะที่ Wiz ค้นพบและรายงานช่องโหว่ทั้งสองรายการอย่างเป็นอิสระ โดยใช้เครื่องมือช่วยวิจัยด้านความปลอดภัยที่มี AI
AI พรอมต์
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the October 24, 2026 report on the AI-discovered PHP2Shell vulnerabilities reveal about CVE-2026-109618 and CVE-2026-109619, their. Article summary: The available evidence describes PHP2Shell as two critical PHP vulnerabilities enabling remote code execution, with CVSS 4.0 ratings of 9.2, discovered through AI-assisted security research and addressed with emergency p. Topic tags: general, general web, news. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers
PHP2Shell เป็นชื่อเรียกช่องโหว่ร้ายแรงสองรายการใน PHP ได้แก่ CVE-2026-109618 และ CVE-2026-109619 ทั้งคู่ได้คะแนนความรุนแรง 9.2 จาก 10 ตามมาตรฐาน CVSS 4.0 และอาจเปิดทางให้ผู้โจมตีรันโค้ดบนเซิร์ฟเวอร์จากระยะไกลได้ โดยไม่ต้องล็อกอิน ผู้พัฒนา PHP ออกแพตช์ฉุกเฉินเมื่อ 21 ตุลาคม 2026 8
9
10
เหตุการณ์นี้ยังทำให้คนหันมาสนใจบทบาทของ AI ในการวิจัยความปลอดภัยไซเบอร์มากขึ้น Calif ใช้ GPT-5.6 Sol ของ OpenAI ช่วยระบุช่องโหว่ร้ายแรงหนึ่งรายการ ส่วน Wiz ค้นพบและรายงานช่องโหว่ทั้งสองรายการอย่างเป็นอิสระ อย่างไรก็ตาม การพบการสแกนหรือความพยายามโจมตี ไม่ได้ยืนยันว่ามีเซิร์ฟเวอร์ถูกเจาะสำเร็จแล้ว 20
29
34
ช่องโหว่ PHP2Shell ทำอะไรได้บ้าง
ช่องโหว่ทั้งสองอยู่ในตัว PHP ซึ่งเป็นภาษาที่ใช้ทำงานเบื้องหลังเว็บไซต์ ไม่ได้จำกัดอยู่กับแพลตฟอร์มเว็บไซต์หรือปลั๊กอินตัวใดตัวหนึ่ง
CVE-2026-109618 เกี่ยวข้องกับการจัดการภาวะหน่วยความจำไม่เพียงพอ (out-of-memory) ในช่วงที่ข้อมูลภายในของคำขอยังถูกเตรียมไว้ไม่ครบ ส่วน CVE-2026-109619 เกี่ยวข้องกับสถานะภายในที่ยังค้างอยู่ แม้หน่วยความจำที่รองรับสถานะนั้นจะถูกคืนไปแล้ว ทั้งสองกรณีอาจนำไปสู่การรันโค้ดจากระยะไกลได้ 10
26
คะแนน CVSS 4.0 ที่ 9.2 จัดอยู่ในระดับวิกฤต ความเสี่ยงสำคัญคือผู้โจมตีอาจสั่งให้เซิร์ฟเวอร์ที่ได้รับผลกระทบรันโค้ดได้จากระยะไกล โดยไม่ต้องผ่านการยืนยันตัวตน 9
10
AI ช่วยนักวิจัยค้นพบช่องโหว่อย่างไร
Calif ระบุช่องโหว่ร้ายแรงหนึ่งรายการโดยใช้ GPT-5.6 Sol ของ OpenAI ภายใต้โครงการ Patch the Planet ส่วน Wiz ค้นพบและรายงานช่องโหว่ทั้งสองรายการโดยอิสระ รายงานระบุว่า Wiz ใช้ Wiz Atlas ร่วมกับ Gemini 4 Argon และ GPT-5.6 Sol ในการวิจัย 20
29
รายงานต่างแหล่งให้รายละเอียดช่วงเริ่มต้นไม่ตรงกันทั้งหมด: แหล่งหนึ่งระบุว่า Calif พบช่องโหว่เมื่อ 1 สิงหาคม ขณะที่อีกแหล่งระบุว่านักวิจัยรายงานช่องโหว่รายการแรกต่อทีม PHP เมื่อ 11 สิงหาคม อย่างไรก็ดี ทั้งสองแหล่งกล่าวถึงการค้นพบและการประสานงานกับผู้ดูแลก่อนการเปิดเผยต่อสาธารณะในเดือนตุลาคม 20
30
ประเด็นที่ควรแยกให้ชัดคือ AI มีส่วนช่วยนักวิจัยค้นพบช่องโหว่ แต่รายงานที่อ้างถึงไม่ได้ยืนยันว่า AI แบบเอเจนต์เป็นผู้ลงมือโจมตีในเวลาต่อมา
แพตช์ฉุกเฉินและผลกระทบต่อเว็บไซต์
PHP ออกเวอร์ชันแก้ไขเมื่อ 21 ตุลาคม ได้แก่ 8.2.35, 8.3.36, 8.4.27 และ 8.5.12 หมายเลขเหล่านี้เป็นเวอร์ชันของ PHP ต้นทางโดยตรง ส่วนแพ็กเกจจากดิสทริบิวชัน Linux อาจนำแพตช์ไปปรับใช้ย้อนหลัง โดยยังใช้หมายเลขเวอร์ชันแพ็กเกจคนละแบบ ผู้ดูแลระบบจึงควรตรวจประกาศความปลอดภัยของดิสทริบิวชันที่ใช้อยู่ควบคู่กับการเช็กเลขเวอร์ชัน 8
27
หลังมีการเปิดเผยช่องโหว่ ผู้ดูแลเว็บไซต์บางรายปิดระบบชั่วคราวระหว่างประเมินความเสี่ยง โดยมีรายงานว่าเว็บไซต์ภาครัฐในยุโรปและภูมิภาคอื่น ๆ ออฟไลน์เมื่อ 21 ตุลาคม 21 อีกแหล่งข่าวระบุว่ารายละเอียดช่องโหว่ที่รั่วไหลมีส่วนทำให้ PHP เลื่อนกำหนดเผยแพร่แพตช์ให้เร็วขึ้นหนึ่งวัน
22
33
สำหรับองค์กรที่ใช้ PHP สิ่งสำคัญคือยืนยันว่า PHP ซึ่งให้บริการทราฟฟิกเว็บไซต์ได้รับแพตช์แล้ว ติดตั้งอัปเดตที่เหมาะสม และทำตามคำแนะนำเรื่องการรีสตาร์ตหรือการตรวจสอบจากผู้ให้บริการ หากบริษัทโฮสติ้งเป็นผู้ดูแลเซิร์ฟเวอร์ ควรขอให้ยืนยันสถานะแพตช์โดยตรง แทนที่จะดูเพียงว่าเว็บไซต์ยังเปิดใช้งานได้หรือไม่ 8
24
ความพยายามโจมตีไม่เท่ากับการเจาะระบบสำเร็จ
มีรายงานว่า Cloudflare และ Patchstack พบกิจกรรมตรวจสอบหรือพยายามโจมตีช่องโหว่ก่อน PHP ออกแพตช์เมื่อ 21 ตุลาคม รายงานด้านความปลอดภัยฉบับหนึ่งกล่าวถึงความพยายามโจมตีจำนวนหลายล้านครั้ง ขณะที่ BBC ระบุเมื่อ 22 ตุลาคมว่ายังไม่มีรายงานการโจมตีที่ยืนยันความสำเร็จ ข้อมูลเหล่านี้ชี้ว่าควรระมัดระวัง แต่ไม่ได้ยืนยันว่าความพยายามโจมตีที่นับได้ทำให้เกิดการเจาะระบบจริง 2
3
34
ข้อสรุปที่รอบคอบคือ PHP2Shell มีความรุนแรงสูงและได้รับความสนใจจากผู้โจมตีอย่างรวดเร็ว จึงควรรีบติดตั้งแพตช์ แต่ไม่ควรตีความจำนวนความพยายามโจมตีว่าเป็นจำนวนการบุกรุกที่สำเร็จ รายงานที่อ้างถึงยังไม่มีตัวเลขที่เชื่อถือได้ว่ามีเว็บไซต์เสี่ยงอยู่กี่แห่ง และไม่ได้ยืนยันว่าการโจมตีเกิดจาก AI แบบเอเจนต์
Studio Global AI
ทำการวิจัยต่อ
หน้านี้รวมคำตอบที่ได้รับการสนับสนุนจากแหล่งที่มาซึ่งคุณสามารถดำเนินการต่อภายใน Studio Global
คนยังถาม
คำตอบสั้น ๆ สำหรับ "PHP2Shell คืออะไร และเหตุใดช่องโหว่นี้จึงเร่งให้เว็บไซต์ทั่วโลกต้องรีบอัปเดต" คืออะไร
PHP2Shell คือช่องโหว่ร้ายแรงสองรายการใน PHP ที่อาจเปิดทางให้ผู้โจมตีรันโค้ดจากระยะไกลโดยไม่ต้องล็อกอิน ทั้งคู่ได้คะแนน CVSS 4.0 ที่ 9.2 และมีแพตช์ออกเมื่อ 21 ตุลาคม 2026
ประเด็นสำคัญที่ต้องตรวจสอบก่อนคืออะไร?
PHP2Shell คือช่องโหว่ร้ายแรงสองรายการใน PHP ที่อาจเปิดทางให้ผู้โจมตีรันโค้ดจากระยะไกลโดยไม่ต้องล็อกอิน ทั้งคู่ได้คะแนน CVSS 4.0 ที่ 9.2 และมีแพตช์ออกเมื่อ 21 ตุลาคม 2026 Calif ใช้ GPT 5.6 Sol ของ OpenAI ช่วยค้นพบช่องโหว่หนึ่งรายการ ขณะที่ Wiz ค้นพบและรายงานช่องโหว่ทั้งสองรายการอย่างเป็นอิสระ โดยใช้เครื่องมือช่วยวิจัยด้านความปลอดภัยที่มี AI
แหล่งที่มา
wppoland.comPHP2Shell: is my WordPress site at risk and what to do - WPPoland
expresscomputer.inPHP2Shell: Security vendors race to contain a critical vulnerability as exploitation attempts spread
nivector.comPHP2Shell: the two critical PHP flaws that pushed governments offline
internazionale.itGovernment websites go dark after AI-discovered flaw ...