PHP2Shell

PHP2Shell
	ฟราบริเคเตอร์ของวิกิมีเดียในช่วงก่อนการออกแพตช์แก้ไขโดยปิดใช้งานเพื่อเป็นการเฝ้าระวัง
ตัวระบุ CVE	CVE-2026-109618 ; CVE-2026-109619
วันที่ค้นพบ	สิงหาคม 2026
วันที่ออกแพตช์แก้ไข	21 ตุลาคม 2026; 2 วันก่อน
ผู้ค้นพบ	Calif; Wiz; โอเพนเอไอ;
ซอร์ฟแวร์ที่ได้รับผลกระทบ	พีเอชพี รุ่น 5.4–8.5
เว็บไซต์	php2shell.com

บทความนี้อ้างอิงคริสต์ศักราช/คริสต์ทศวรรษ/คริสต์ศตวรรษ ซึ่งเป็นสาระสำคัญของเนื้อหา

PHP2Shell เป็นชุดความเสี่ยงสองรายการที่มีผลกระทบสูงในภาษาพีเอชพีรุ่น 5.4–8.5 ระบุด้วยรหัสระบุความเสี่ยงและการเปิดเผยร่วมกันคือ CVE-2026-109618 และ CVE-2026-109619 ซึ่งทำให้ผู้โจมตีสามารถเรียกใช้คำสั่งจากระยะไกลได้ (RCE) การค้นพบนี้เผยแพร่เมื่อ 20 ตุลาคม 2026^[2] มีการเผยแพร่แพตช์ฉุกเฉินและรายละเอียดเกี่ยวกับความเสี่ยงถูกเผยแพร่ในวันถัดมา^[3]

การค้นพบ

รุ่นของพีเอชพีที่ได้รับผลกระทบจากความเสี่ยงนี้สามารถย้อนไปได้ถึงรุ่น 5.4 โดยแม้ว่าจะมีการพบบั๊กนี้ว่าอาจเป็นความเสี่ยงในอนาคตมานับทศวรรษ แต่เนื่องจากคาดการณ์ว่ายังไม่มีวิธีการในการเอ็กซ์พลอยต์หรือการใช้ช่องโหว่นี้เพื่อเข้าถึงข้อมูลได้จริงจึงยังไม่ได้ถูกดำเนินการใด ๆ^[4]^[5.1] นักพัฒนาแกนกลางของพีเอชพีพบข้อผิดพลาดประเภทเมโมรีไม่เพียงพอ (out-of-memory) ซึ่งเป็นเบื้องหลังของความเสี่ยงนี้ในช่วงการตรวจความปลอดภัยตั้งแต่ปี 2024 แต่กลุ่มของผู้พัฒนาในขณะนั้นยังไม่มีข้อสรุปว่าจะต้องมีการแก้ไขปัญหาอย่างไร และเนื่องด้วยยังไม่พบวิธีการจำเพาะในการใช้ช่องโหว่นี้เพื่อโจมตี ความพยายามในการแก้ไขช่องโหว่จึงไม่สมบูรณ์^[6]^[7]

ความเสี่ยงสองรายการนี้ถูกค้นพบโดย Calif ซึ่งเป็นบริษัทความปลอดภัยจากแคลิฟอร์เนีย^[8] ส่วนหนึ่งของโครงการแพตช์เดอะแพลเน็ตของโอเพนเอไอ ร่วมกับบริษัทความปลอดภัยคลาวด์สัญชาติอิสราเอล-อเมริกันชื่อ Wiz, Inc. ในช่วงเดือนสิงหาคม 2026^[5.2] มีการใช้งาน เจมีไน 4 อาร์กอน จีพีที-5.6 โซล และ Wiz Atlas เพื่อค้นหาช่องโหว่นี้^[9]

ความเสี่ยงนี้ได้รับคะแนน 9.2 เต็ม 10 ภายใต้ระบบ CVSS v4.0 ประเมินโดยผู้พัฒนาพีเอชพี^[10] อย่างไรก็ดี watchTowr บริษัทความปลอดภัยให้คะแนนความเสี่ยงนี้ถึง 10.0^[11]

การแพตช์และการแก้ไข

ผู้ดูแลระบบของ PHP ได้ปล่อยเวอร์ชันที่ได้รับการแก้ไขแล้วสำหรับ PHP 8.2, 8.3, 8.4 และ 8.5 นอกจากนี้ยังมีการปล่อยซอร์สโค้ดแพตช์สำหรับเวอร์ชัน 7.4, 8.0 และ 8.1 ด้วย แต่ไม่มีการปล่อยไฟล์ไบนารีอย่างเป็นทางการสำหรับเวอร์ชันเหล่านี้เนื่องจากถือว่าสิ้นสุดระยะสนับสนุน (End of life) แล้ว ช่องโหว่ทั้งสองถูกเผยแพร่ผ่านประกาศความปลอดภัยของ GitHub เมื่อวันที่ 21 ตุลาคม เวลา 13:34 UTC ซึ่งเร็วกว่ากำหนดเวลาที่ประกาศไว้ 26 นาที และเว็บไซต์ PHP ก็ได้รับการอัปเดตตามมาทันที

ผู้ดูแลระบบ PHP ได้ประกาศอัปเดตล่วงหน้าก่อนกำหนดหลังมีข่าวรั่วไหลบนฟอรัม Hacker News และได้รับการยืนยันผ่านบัญชี X ของ watchTowr labs การแจ้งเตือนล่วงหน้าบนเว็บไซต์ PHP.net ช่วยให้ผู้ใช้สามารถเตรียมตัวและอัปเดตได้ทันทีที่แพตช์ออก บริษัทรักษาความปลอดภัย Sansec คาดการณ์ว่าการโจมตีระลอกใหญ่อาจเริ่มต้นขึ้นภายใน 15 นาทีหลังจากปล่อยแพตช์ ขณะที่ชุดคำสั่งทดสอบการโจมตี (PoCs) และบทความวิเคราะห์เริ่มแพร่กระจายบนอินเทอร์เน็ตก่อนหมดเวลาคว่ำบาตร (Embargo)

Cloudflare รายงานว่าตรวจพบสัญญาณการแสวงหาประโยชน์จากช่องโหว่ดังกล่าวก่อนที่จะมีการปล่อยแพตช์สู่สาธารณะ และได้ติดตั้งกฎไฟร์วอลล์แอปพลิเคชันเว็บ (WAF) ชั่วคราวเพื่อเป็นการป้องกันเบื้องต้น

ผลกระทบ

เว็บไซต์ประมาณ 69% ทั่วโลกใช้งาน PHP รวมถึงเว็บไซต์ที่ใช้ระบบจัดการเนื้อหา (CMS) อย่าง Drupal, Joomla และ WordPress ทำให้ผลกระทบที่อาจเกิดขึ้นมีเป็นวงกว้าง หลังจากได้รับคำแนะนำจาก CERT-EU และศูนย์ความปลอดภัยทางไซเบอร์แห่งชาติของสหราชอาณาจักร (NCSC) องค์กรจำนวนมากทั่วยุโรปได้เลือกปิดเว็บไซต์ชั่วคราวเพื่อความปลอดภัยในระหว่างรอแพตช์ ซึ่งรวมถึงพอร์ทัลรัฐบาลเนเธอร์แลนด์ Overheid.nl, แพลตฟอร์มสื่อสารโรงเรียนแห่งชาติของเดนมาร์ก, บริการเว็บสาธารณะของรัฐบาลฟินแลนด์ทั้งหมด และเว็บไซต์บริหารราชการส่วนท้องถิ่นของฝรั่งเศส

สำนักงานความมั่นคงแห่งชาติสหรัฐฯ (NSA) แนะนำให้เว็บไซต์ต่าง ๆ ปิดการใช้งานชั่วคราวหากไม่สามารถอัปเดตได้ทันที ขณะที่ มูลนิธิวิกิมีเดีย ได้ปิดบริการสนับสนุนหลายรายการ เช่นเดียวกับเว็บไซต์ฟอรัมอย่าง 4Chan และ Something Awful ที่ต้องปิดตัวลงชั่วคราว นอกจากนี้ ระบบไอทีและบริการออนไลน์บางส่วนในญี่ปุ่นก็ต้องหยุดให้บริการเพื่อบำรุงรักษาฉุกเฉิน รวมถึงเกมการ์ดออนไลน์ Shadowverse: Worlds Beyond และเว็บไซต์อีคอมเมิร์ซจำนวนมาก

ดูเพิ่ม

อ้างอิง

↑ "PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet | Wiz Blog". wiz.io (ภาษาอังกฤษแบบอเมริกัน). 21 ตุลาคม 2026.
↑ "PHP: News Archive - 20 Oct 2026". www.php.net (ภาษาอังกฤษ). 20 ตุลาคม 2026. สืบค้นเมื่อ 21 ตุลาคม 2026.
↑ "PHP: News Archive - 21 Oct 2026". www.php.net (ภาษาอังกฤษ). 21 ตุลาคม 2026. สืบค้นเมื่อ 21 ตุลาคม 2026.
↑ Kan, Michael (21 ตุลาคม 2026). "This Flaw Is So Serious Websites Should Consider Going Offline, NSA Says". PCMAG (ภาษาอังกฤษ). สืบค้นเมื่อ 21 ตุลาคม 2026.
McMillan, Robert (21 ตุลาคม 2026). "Exclusive | AI Just Found a Bug That Puts up to 70% of the World's Websites at Risk". Wall Street Journal. สืบค้นเมื่อ 21 ตุลาคม 2026.
1. ↑ "The class of bugs had been hiding in PHP's source code for years. A security researcher had flagged it as a problem area decades earlier, but the flaw had been considered too difficult to exploit and was largely forgotten, Duong said."
2. ↑ "Ryan Austin, a researcher at Calif, uncovered the flaws with help from GPT-5.6 Sol, one of OpenAI's most advanced models, during an audit of PHP's source code in August. ... Researchers from Google's Wiz cybersecurity team soon reached out with new exploits, which they had discovered independent of Calif."
↑ Constantin, Ana Maria (21 ตุลาคม 2026). "PHP knew about one of the flaws in 2024 but could not agree a fix". The Next Web. สืบค้นเมื่อ 21 ตุลาคม 2026.
↑ "Today's PHP Security Release, and How We're Strengthening PHP Security". thephp.foundation (ภาษาอังกฤษ). สืบค้นเมื่อ 21 ตุลาคม 2026.
↑ Volz, Dustin (8 กันยายน 2026). "A Hacking Tool Built With A.I. Can Breach Phones Without a Click". The New York Times. สืบค้นเมื่อ 21 ตุลาคม 2026.
↑ Satter, Raphael; Marchandon, Leo; Ghosh, Kanjyik; Pardesi, Rajveer (21 ตุลาคม 2026). "Government websites go dark after AI-discovered flaw sparks security scramble". Reuters (ภาษาอังกฤษ). สืบค้นเมื่อ 21 ตุลาคม 2026.
↑ "php.announce: [ANNOUNCE] Upcoming Critical PHP Security Release". news-web.php.net. สืบค้นเมื่อ 21 ตุลาคม 2026.
↑ Abrams, Lawrence. "PHP warns admins of two critical flaws, emergency patches coming tomorrow". BleepingComputer (ภาษาอังกฤษแบบอเมริกัน). สืบค้นเมื่อ 21 ตุลาคม 2026.

แหล่งข้อมูลอื่น

Announcement by the PHP Project บนเว็บไซต์ทางการของ PHP

[1] "PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet | Wiz Blog". wiz.io (ภาษาอังกฤษแบบอเมริกัน). 21 ตุลาคม 2026.

[oct20-2] "PHP: News Archive - 20 Oct 2026". www.php.net (ภาษาอังกฤษ). 20 ตุลาคม 2026. สืบค้นเมื่อ 21 ตุลาคม 2026.

[oct21-3] "PHP: News Archive - 21 Oct 2026". www.php.net (ภาษาอังกฤษ). 21 ตุลาคม 2026. สืบค้นเมื่อ 21 ตุลาคม 2026.

[Kan2026-4] Kan, Michael (21 ตุลาคม 2026). "This Flaw Is So Serious Websites Should Consider Going Offline, NSA Says". PCMAG (ภาษาอังกฤษ). สืบค้นเมื่อ 21 ตุลาคม 2026.

[McMillan2026-5] McMillan, Robert (21 ตุลาคม 2026). "Exclusive | AI Just Found a Bug That Puts up to 70% of the World's Websites at Risk". Wall Street Journal. สืบค้นเมื่อ 21 ตุลาคม 2026.
↑ "The class of bugs had been hiding in PHP's source code for years. A security researcher had flagged it as a problem area decades earlier, but the flaw had been considered too difficult to exploit and was largely forgotten, Duong said."

↑ "Ryan Austin, a researcher at Calif, uncovered the flaws with help from GPT-5.6 Sol, one of OpenAI's most advanced models, during an audit of PHP's source code in August. ... Researchers from Google's Wiz cybersecurity team soon reached out with new exploits, which they had discovered independent of Calif."

[6] "The class of bugs had been hiding in PHP's source code for years. A security researcher had flagged it as a problem area decades earlier, but the flaw had been considered too difficult to exploit and was largely forgotten, Duong said."

[10] "Ryan Austin, a researcher at Calif, uncovered the flaws with help from GPT-5.6 Sol, one of OpenAI's most advanced models, during an audit of PHP's source code in August. ... Researchers from Google's Wiz cybersecurity team soon reached out with new exploits, which they had discovered independent of Calif."

[Constantin2026-7] Constantin, Ana Maria (21 ตุลาคม 2026). "PHP knew about one of the flaws in 2024 but could not agree a fix". The Next Web. สืบค้นเมื่อ 21 ตุลาคม 2026.

[8] "Today's PHP Security Release, and How We're Strengthening PHP Security". thephp.foundation (ภาษาอังกฤษ). สืบค้นเมื่อ 21 ตุลาคม 2026.

[9] Volz, Dustin (8 กันยายน 2026). "A Hacking Tool Built With A.I. Can Breach Phones Without a Click". The New York Times. สืบค้นเมื่อ 21 ตุลาคม 2026.

[Satter2026-11] Satter, Raphael; Marchandon, Leo; Ghosh, Kanjyik; Pardesi, Rajveer (21 ตุลาคม 2026). "Government websites go dark after AI-discovered flaw sparks security scramble". Reuters (ภาษาอังกฤษ). สืบค้นเมื่อ 21 ตุลาคม 2026.

[12] "php.announce: [ANNOUNCE] Upcoming Critical PHP Security Release". news-web.php.net. สืบค้นเมื่อ 21 ตุลาคม 2026.

[Website-3-13] Abrams, Lawrence. "PHP warns admins of two critical flaws, emergency patches coming tomorrow". BleepingComputer (ภาษาอังกฤษแบบอเมริกัน). สืบค้นเมื่อ 21 ตุลาคม 2026.

[6] "The class of bugs had been hiding in PHP's source code for years. A security researcher had flagged it as a problem area decades earlier, but the flaw had been considered too difficult to exploit and was largely forgotten, Duong said."

[10] "Ryan Austin, a researcher at Calif, uncovered the flaws with help from GPT-5.6 Sol, one of OpenAI's most advanced models, during an audit of PHP's source code in August. ... Researchers from Google's Wiz cybersecurity team soon reached out with new exploits, which they had discovered independent of Calif."

[1]

[2]

[3]

[4]

[5.1]

[6]

[7]

[8]

[5.2]

[9]

[10]

[11]

ฟราบริเคเตอร์ของวิกิมีเดียในช่วงก่อนการออกแพตช์แก้ไขโดยปิดใช้งานเพื่อเป็นการเฝ้าระวัง
ตัวระบุ CVE	CVE-2026-109618 CVE-2026-109619
วันที่ค้นพบ	สิงหาคม 2026
วันที่ออกแพตช์แก้ไข	21 ตุลาคม 2026; 2 วันก่อน (2026-10-21)
ผู้ค้นพบ	Calif Wiz โอเพนเอไอ
ซอร์ฟแวร์ที่ได้รับผลกระทบ	พีเอชพี รุ่น 5.4–8.5^[1]
เว็บไซต์	php2shell.com