คำตอบเผยแพร่แล้ว25 แหล่งที่มา
PHP2Shell: เกิดอะไรขึ้น และ PHP เวอร์ชันใดได้รับการแก้ไขแล้ว
PHP ออกแพตช์เมื่อ 21 ตุลาคม 2026 เพื่อแก้ช่องโหว่ร้ายแรง 2 รายการที่เปิดทางให้ผู้โจมตีรันโค้ดบนเซิร์ฟเวอร์จากระยะไกลได้โดยไม่ต้องเข้าสู่ระบบ วันถัดมามีรายงานความพยายามโจมตีเพิ่มขึ้นมาก เวอร์ชันที่แก้ไขแล้วคือ PHP 8.5.12, 8.4.27, 8.3.36 และ 8.2.35 ผู้ดูแลระบบควรตรวจสอบเวอร์ชันที่ใช้งานและอัปเดตให้ตรงกับสายเวอร์ชันของตน
เผยแพร่โดยแก้ไขด้วย GPT-6 Lunaรูปภาพสร้างด้วย GPT Image 2
คำตอบการวิจัย
ประเด็นสำคัญ
- PHP ออกแพตช์เมื่อ 21 ตุลาคม 2026 เพื่อแก้ช่องโหว่ร้ายแรง 2 รายการที่เปิดทางให้ผู้โจมตีรันโค้ดบนเซิร์ฟเวอร์จากระยะไกลได้โดยไม่ต้องเข้าสู่ระบบ วันถัดมามีรายงานความพยายามโจมตีเพิ่มขึ้นมาก
- เวอร์ชันที่แก้ไขแล้วคือ PHP 8.5.12, 8.4.27, 8.3.36 และ 8.2.35 ผู้ดูแลระบบควรตรวจสอบเวอร์ชันที่ใช้งานและอัปเดตให้ตรงกับสายเวอร์ชันของตน
AI พรอมต์
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened during the October 21–22, 2026 PHP2Shell security crisis, including PHP’s use by about 70% of websites; the unauthenticated re. Article summary: PHP2Shell prompted an emergency patching race on October 21, followed by reports of millions of exploitation attempts on October 22; its significance came from PHP’s reported use by roughly 70% of websites, not evidence . Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
PHP2Shell เป็นชื่อเรียกรวมของช่องโหว่ร้ายแรง 2 รายการใน PHP ได้แก่ CVE-2026-109618 และ CVE-2026-109619 โดย PHP เผยแพร่แพตช์เมื่อ 21 ตุลาคม 2026 หลังรายละเอียดรั่วไหลก่อนกำหนดเปิดเผยตามแผน และภายในวันที่ 22 ตุลาคม บริษัทด้านความปลอดภัยรายงานว่าความพยายามโจมตีเพิ่มขึ้นอย่างรวดเร็ว 1
2
9
18
19
PHP ถูกประเมินว่าใช้งานอยู่ในเว็บไซต์ราว 70% ตัวเลขนี้ช่วยให้เห็นว่าทำไมการแก้ไขจึงเร่งด่วน แต่ไม่ได้หมายความว่าเว็บไซต์ 70% ถูกเจาะระบบแล้ว 1
2
9
18
19
ช่องโหว่ PHP2Shell ทำอะไรได้บ้าง
ช่องโหว่ทั้งสองถูกจัดว่าเป็นช่องโหว่การรันโค้ดจากระยะไกลโดยไม่ต้องยืนยันตัวตน กล่าวคือ ในเงื่อนไขที่ได้รับผลกระทบ ผู้โจมตีอาจสั่งให้เซิร์ฟเวอร์ที่มีช่องโหว่ทำงานตามโค้ดที่ส่งมาได้ โดยไม่ต้องล็อกอินก่อน ช่องโหว่หนึ่งเกี่ยวข้องกับความเสียหายจากการจัดการหน่วยความจำไม่เพียงพอ (out-of-memory) ส่วนอีกช่องโหว่เกี่ยวข้องกับสถานะส่วนกลางที่ค้างอยู่ 6
7
รายงานระบุว่าความเสี่ยงอาจย้อนกลับไปถึง PHP 5.4 อย่างไรก็ตาม ขอบเขตเวอร์ชันที่อาจได้รับผลกระทบไม่ได้ยืนยันว่าเว็บไซต์ PHP ทุกแห่งเสี่ยงในรูปแบบเดียวกัน หรือถูกโจมตีสำเร็จแล้ว 14
21
แพตช์ฉุกเฉินหลังรายละเอียดรั่วไหล
PHP ออกเวอร์ชันที่แก้ไขแล้วเมื่อ 21 ตุลาคม ได้แก่ 8.5.12, 8.4.27, 8.3.36 และ 8.2.35 1
6 ก่อนหน้านั้น รายละเอียดช่องโหว่รั่วไหลเมื่อ 20 ตุลาคม ทั้งที่กำหนดเปิดเผยตามแผนคือ 22 ตุลาคม การรั่วไหลดังกล่าวทำให้แผนการเปิดเผยข้อมูลร่วมกันสะดุด และตามมาด้วยการออกแพตช์ฉุกเฉิน
2
9
13
สำหรับองค์กรที่ใช้ PHP ขั้นตอนสำคัญคือสำรวจเวอร์ชัน PHP บนเซิร์ฟเวอร์ที่เปิดให้รับคำขอจากเว็บ แล้วติดตั้งเวอร์ชันที่แก้ไขแล้วให้ตรงกับสายเวอร์ชันที่ใช้อยู่ คำแนะนำด้านความปลอดภัยยังเน้นให้ตรวจสอบระบบที่ให้บริการคำขอเว็บทั้งหมด ไม่ควรสันนิษฐานว่าปัญหาจำกัดอยู่แค่เว็บไซต์หรือแอปพลิเคชันบางประเภท 7
11
AI มีส่วนช่วยค้นหา แต่ไม่ได้ทำงานลำพัง
OpenAI ระบุว่า บริษัทด้านความปลอดภัย Calif พบช่องโหว่หนึ่งรายการโดยใช้ GPT-5.6 Sol ภายใต้โครงการ Patch the Planet ขณะที่ Wiz ค้นพบและรายงานช่องโหว่ทั้งสองรายการอย่างเป็นอิสระ ส่วนการแก้ไขและเผยแพร่แพตช์เป็นหน้าที่ของผู้ดูแลโครงการ PHP 48 OpenAI ยังระบุว่าได้ใช้เวลาสองเดือนก่อนหน้านั้นประสานงานกับผู้ดูแลโครงการ นักวิจัย และผู้ให้บริการด้านความปลอดภัย
48
กรณีนี้แสดงให้เห็นการใช้ AI ช่วยงานวิจัยช่องโหว่ แต่ไม่ได้ยืนยันว่า AI เพียงลำพังค้นพบ ตรวจสอบ หรือแก้ไขปัญหาได้ทั้งหมด ตามรายงาน กระบวนการยังเกี่ยวข้องกับบริษัทความปลอดภัยและผู้ดูแล PHP ด้วย 35
48
รายงานการโจมตีและการปิดบริการชั่วคราว
Cloudflare รายงานว่าความพยายามโจมตีเพิ่มจากระดับหลายพันครั้งก่อนเปิดเผยข้อมูล เป็นหลายล้านครั้งหลังจากนั้น ขณะที่มีรายงานว่า Amazon พบความพยายามโจมตีเมื่อ 17 ตุลาคม หรือสี่วันก่อนการเปิดเผยต่อสาธารณะ ตัวเลขเหล่านี้หมายถึง ความพยายามโจมตี ไม่ใช่จำนวนระบบที่ยืนยันว่าถูกเจาะสำเร็จ 19
ผู้ให้บริการด้านความปลอดภัยยังรายงานกิจกรรมที่พบมากกว่าบน honeypot หรือระบบล่อให้ผู้โจมตีเข้ามาทดลอง อย่างไรก็ตาม ในเวลานั้นหน่วยงานภาครัฐยังไม่ได้ยืนยันรายงานดังกล่าว 17 อีกด้านหนึ่ง มีรายงานว่าเว็บไซต์และบริการของรัฐบาลบางแห่งถูกปิดชั่วคราวเพื่อป้องกันความเสี่ยง รวมถึงบริการภาครัฐในสหราชอาณาจักรมากกว่า 30 รายการ
23
NSA เตือนว่าผู้โจมตีอาจใช้ช่องโหว่เข้าควบคุมเว็บเซิร์ฟเวอร์ ขโมยข้อมูล รบกวนบริการ หรือเจาะลึกเข้าไปในเครือข่ายองค์กรได้ ส่วนรายงานของ USA Today ระบุว่าหน่วยงานแนะนำให้เว็บไซต์ที่ยังแก้ไขปัญหาไม่ได้ทันทีปิดให้บริการชั่วคราว 18
23
ภาพรวมคือมีการตอบสนองด้านความปลอดภัยอย่างเร่งด่วนและพบปริมาณการโจมตีที่พยายามเกิดขึ้นสูง แต่ข้อมูลที่มีไม่ได้ระบุจำนวนการเจาะระบบสำเร็จทั่วโลกอย่างชัดเจน เช่นเดียวกัน การประเมินสัดส่วนเว็บไซต์ที่ใช้ PHP ไม่ควรนำไปตีความเป็นจำนวนเว็บไซต์ที่ยืนยันว่าได้รับผลกระทบหรือถูกเจาะแล้ว
Studio Global AI
ทำการวิจัยต่อ
หน้านี้รวมคำตอบที่ได้รับการสนับสนุนจากแหล่งที่มาซึ่งคุณสามารถดำเนินการต่อภายใน Studio Global
คนยังถาม
คำตอบสั้น ๆ สำหรับ "PHP2Shell: เกิดอะไรขึ้น และ PHP เวอร์ชันใดได้รับการแก้ไขแล้ว" คืออะไร
PHP ออกแพตช์เมื่อ 21 ตุลาคม 2026 เพื่อแก้ช่องโหว่ร้ายแรง 2 รายการที่เปิดทางให้ผู้โจมตีรันโค้ดบนเซิร์ฟเวอร์จากระยะไกลได้โดยไม่ต้องเข้าสู่ระบบ วันถัดมามีรายงานความพยายามโจมตีเพิ่มขึ้นมาก
ประเด็นสำคัญที่ต้องตรวจสอบก่อนคืออะไร?
PHP ออกแพตช์เมื่อ 21 ตุลาคม 2026 เพื่อแก้ช่องโหว่ร้ายแรง 2 รายการที่เปิดทางให้ผู้โจมตีรันโค้ดบนเซิร์ฟเวอร์จากระยะไกลได้โดยไม่ต้องเข้าสู่ระบบ วันถัดมามีรายงานความพยายามโจมตีเพิ่มขึ้นมาก เวอร์ชันที่แก้ไขแล้วคือ PHP 8.5.12, 8.4.27, 8.3.36 และ 8.2.35 ผู้ดูแลระบบควรตรวจสอบเวอร์ชันที่ใช้งานและอัปเดตให้ตรงกับสายเวอร์ชันของตน