PHP2Shell คือชื่อเรียกช่องโหว่ร้ายแรงสองจุดใน PHP ที่อาจทำให้ผู้โจมตีรันโค้ดบนเซิร์ฟเวอร์ได้โดยไม่ต้องรู้รหัสผ่านใดๆ ถ้าเว็บไซต์ของคุณทำงานบนระบบที่ใช้ PHP เช่น WordPress ก็อาจมีความเสี่ยง วิธีแก้ไม่ใช่การอัปเดต WordPress แต่เป็นการอัปเดต PHP บนเซิร์ฟเวอร์เป็นเวอร์ชัน 8.5.12, 8.4.27, 8.3.36, 8.2.35 หรือใหม่กว่า และให้ผู้ให้บริการโฮสติ้งยืนยัน
สองวันที่ผ่านมา คำว่า "PHP" อยู่ในข่าวทุกที่ ที่เนเธอร์แลนด์ DigiD ระบบล็อกอินเข้าบริการภาครัฐของประชาชนใช้งานไม่ได้ ที่ฟินแลนด์ เว็บไซต์ภาครัฐบางแห่งถูกปิดเพื่อป้องกันไว้ก่อน ที่สหรัฐฯ FBI และ NSA เรียกร้องให้องค์กรปิดเซิร์ฟเวอร์หากยังแพตช์ไม่ได้ ส่วนที่ตุรกี สำนักงานความมั่นคงปลอดภัยไซเบอร์ของทำเนียบประธานาธิบดีเริ่มสแกนระบบทั่วประเทศ
ในบทความนี้ เราจะอธิบายว่าเกิดอะไรขึ้นโดยไม่ลงรายละเอียดทางเทคนิคมากเกินไป จากนั้นจะไล่ทีละขั้นว่าผู้ประกอบการทัวร์จะรู้ได้อย่างไรว่าเว็บไซต์ได้รับผลกระทบหรือไม่ วันนี้ควรทำอะไร และจะเตรียมตัวให้ดีขึ้นสำหรับครั้งหน้าได้อย่างไร
เริ่มจากพื้นฐาน: PHP คืออะไร
PHP เป็นภาษาโปรแกรมที่ทำงานอยู่เบื้องหลังเว็บไซต์จำนวนมาก เมื่อผู้เข้าชมเปิดเว็บไซต์ของคุณ โค้ดที่สร้างหน้าเว็บ เปลี่ยนแบบฟอร์มติดต่อเป็นอีเมล หรือบันทึกการจองลงฐานข้อมูล มักเขียนด้วย PHP
แม้คุณจะไม่เคยได้ยินชื่อนี้ แต่ก็มีโอกาสสูงที่คุณใช้งานมันอยู่ที่ใดที่หนึ่ง WordPress, WooCommerce, Joomla, Drupal และปลั๊กอินระบบจองสำเร็จรูปจำนวนมากทำงานด้วย PHP ตามข้อมูลของ FBI เว็บไซต์ราว 70% ทั่วโลกใช้ PHP
เกิดอะไรขึ้น
ระหว่างวันที่ 20–21 ตุลาคม 2026 ทีม PHP ได้ปล่อยอัปเดตฉุกเฉินสำหรับช่องโหว่ความปลอดภัยร้ายแรงสองจุด ซึ่งมีรหัส CVE-2026-109618 และ CVE-2026-109619 และเรียกรวมกันว่า "PHP2Shell" ทั้งสองได้คะแนนความรุนแรง 9.2 จาก 10
เหตุที่ร้ายแรง: ภายใต้เงื่อนไขบางอย่าง ช่องโหว่นี้ทำให้ผู้โจมตีรันโค้ดอะไรก็ได้บนเซิร์ฟเวอร์ของคุณผ่านอินเทอร์เน็ต โดยไม่ต้องใช้ชื่อผู้ใช้หรือรหัสผ่าน ในวงการความปลอดภัยเรียกว่าการรันโค้ดจากระยะไกล (RCE) พูดง่ายๆ คือมีคนเข้าประตูบ้านคุณได้โดยไม่ต้องมีกุญแจ
ตามข้อมูลของ Qualys ช่องโหว่หนึ่งเกิดขึ้นเมื่อหน่วยความจำของเซิร์ฟเวอร์เต็มจนข้อมูลค้างอยู่ครึ่งๆ กลางๆ อีกช่องโหว่หนึ่งเกิดเมื่อหลังเกิดข้อผิดพลาด คำขอของผู้เข้าชมคนถัดไปกลับไปอ่านหน่วยความจำที่ถูกคืนไปแล้ว นักวิจัยยังแสดงให้เห็นว่าข้อมูลอย่างรหัสผ่าน ข้อมูลเซสชัน และคีย์ API อาจรั่วไหลออกจากหน่วยความจำของเซิร์ฟเวอร์ได้
สำนักข่าว Anadolu รายงานว่าช่องโหว่นี้ถูกค้นพบในเดือนสิงหาคมโดยบริษัทความปลอดภัยชื่อ Calif ด้วยความช่วยเหลือของ AI การแก้ไขถูกเตรียมอย่างเงียบๆ ราวสองเดือน แต่ข่าวรั่วไปถึงสื่อหนึ่งวันก่อนที่แพตช์จะออก
ทำไมเรื่องนี้ถึงใหญ่มาก
- ขนาดใหญ่มาก: Palo Alto Networks พบระบบที่เปิดสู่อินเทอร์เน็ตและอาจมีช่องโหว่มากกว่า 22.6 ล้านระบบ
- เวอร์ชันเก่ามีอยู่ทั่วไป: ตามข้อมูลของ Qualys 71% ของการติดตั้ง PHP ที่ทราบเวอร์ชันใช้เวอร์ชันที่หมดการสนับสนุนแล้ว และไม่ได้รับแพตช์ตามปกติ
- การโจมตีเริ่มแล้ว: Cloudflare รายงานว่าพบทราฟฟิกโจมตีที่มุ่งเป้าช่องโหว่นี้ และโค้ดที่ใช้โจมตีก็เผยแพร่ออกมาแล้ว
- การแพตช์เป็นไปอย่างช้าๆ: ใน 12 ชั่วโมงแรก มีเพียงราว 199,000 จาก 167 ล้านการติดตั้งที่ Qualys ติดตามได้รับการอัปเดต
นี่คือเหตุผลที่รัฐบาลต่างๆ ปิดเว็บไซต์ ระหว่างที่ระบบยังไม่ได้แพตช์ วิธีที่ปลอดภัยที่สุดคือปิดประตูที่ผู้โจมตีอาจเดินเข้ามา ที่ตุรกี สำนักงานความมั่นคงปลอดภัยไซเบอร์ส่งแจ้งเตือนเร่งด่วนถึงหน่วยงานรัฐ และเรียกร้องให้บริษัทเอกชนตรวจสอบระบบ PHP ของตน ทั้งนี้แจ้งว่าไม่พบปัญหาที่กระทบบริการบน e-Devlet ซึ่งเป็นพอร์ทัลบริการภาครัฐแห่งชาติ
เรื่องนี้หมายถึงอะไรสำหรับผู้ประกอบการทัวร์
สิ่งที่ผู้โจมตีทำได้หลังเข้ามาแล้วขึ้นอยู่กับว่าเว็บไซต์ของคุณเก็บข้อมูลอะไรไว้ สถานการณ์ที่น่าจะเกิดขึ้นมากที่สุด:
- ข้อมูลลูกค้ารั่วไหล: ชื่อ เบอร์โทร อีเมล และข้อมูลพาสปอร์ตจากแบบฟอร์มจอง ขึ้นอยู่กับว่าคุณและลูกค้าอยู่ที่ไหน กฎหมายคุ้มครองข้อมูล เช่น PDPA หรือ GDPR อาจกำหนดให้คุณต้องแจ้งเหตุ
- รหัสผ่านและคีย์ถูกขโมย: รหัสผ่านฐานข้อมูล และคีย์ API ของระบบชำระเงิน channel manager หรือบริการอีเมล
- มีเนื้อหาอันตรายบนเว็บไซต์: หน้าสแปมที่ซ่อนอยู่ หรือโค้ดที่เปลี่ยนเส้นทางผู้เข้าชมไปที่อื่น หาก Google ตรวจพบ เว็บไซต์ของคุณอาจแสดงพร้อมคำเตือน และงาน SEO ที่ทำมาหลายเดือนอาจเสียหาย
- เซิร์ฟเวอร์ถูกนำไปใช้ทำอย่างอื่น: ขุดคริปโต ส่งสแปม หรือโจมตีเว็บไซต์อื่น
- เสียยอดขาย: ถ้าต้องปิดเว็บไซต์เพื่อป้องกันไว้ก่อน คุณจะรับจองไม่ได้ แม้จะเป็นช่วงไฮซีซัน
เว็บไซต์ของคุณได้รับผลกระทบไหม ให้เช็กเวอร์ชันก่อน
ขั้นแรกคือดูว่าเว็บไซต์ของคุณทำงานด้วย PHP หรือไม่ และใช้เวอร์ชันใด ใน WordPress ให้ไปที่ เครื่องมือ → สุขภาพเว็บไซต์ → ข้อมูล → เซิร์ฟเวอร์ ในหน้าผู้ดูแลระบบ แผงควบคุมโฮสติ้ง (cPanel, Plesk ฯลฯ) ก็มักแสดงไว้ในหัวข้อ "PHP Version"
เวอร์ชันที่ปิดช่องโหว่แล้วมีดังนี้:
- PHP 8.5: 8.5.12 ขึ้นไป
- PHP 8.4: 8.4.27 ขึ้นไป
- PHP 8.3: 8.3.36 ขึ้นไป
- PHP 8.2: 8.2.35 ขึ้นไป
- PHP 8.1 หรือเก่ากว่า: ไม่มีอัปเดตอย่างเป็นทางการตามปกติ หากผู้ให้บริการโฮสติ้งไม่ได้ใส่แพตช์พิเศษ คุณต้องย้ายไปใช้เวอร์ชันที่ใหม่กว่า
หมายเหตุ: ดิสทริบิวชัน Linux บางตัวปล่อยการแก้ไขโดยยังคงเลขเวอร์ชันเดิม ดังนั้นเลขเวอร์ชันที่ต่ำกว่าไม่ได้แปลว่าเว็บไซต์มีช่องโหว่แน่นอนเสมอไป วิธีที่เชื่อถือได้ที่สุดจึงเป็นการถามผู้ให้บริการโฮสติ้งโดยตรง
สิ่งที่ควรทำวันนี้
- ส่งข้อความถึงผู้ให้บริการโฮสติ้งและถามว่า: "PHP บนเซิร์ฟเวอร์ของฉันได้รับการอัปเดตเพื่อแก้ PHP2Shell (CVE-2026-109618 และ CVE-2026-109619) แล้วหรือยัง" คำตอบว่า "เราเพิ่มกฎไฟร์วอลล์แล้ว" อย่างเดียวยังไม่พอ ให้ยืนยันว่าตัว PHP เองได้รับการอัปเดตแล้ว
- เข้าใจว่าการอัปเดต WordPress ไม่ได้แก้ปัญหานี้: ช่องโหว่ไม่ได้อยู่ใน WordPress แต่อยู่ใน PHP ที่ทำงานอยู่ข้างใต้ การอัปเดตปลั๊กอินหรือธีม ปลั๊กอินความปลอดภัย และโหมดปิดปรับปรุงไม่ได้ช่วยป้องกัน เพราะการโจมตีอาจทำงานก่อนที่ WordPress จะโหลดเสียอีก
- ถ้ามีเซิร์ฟเวอร์ของตัวเอง (VPS): อัปเดตแพ็กเกจ PHP แล้วรีสตาร์ต PHP-FPM หรือ Apache เซิร์ฟเวอร์ที่ไม่ได้รีสตาร์ตจะยังรันโค้ดเก่าที่มีช่องโหว่ต่อไป ถ้าใช้ Docker ให้ดึง image ใหม่และสร้าง container ใหม่
- ถ้าใช้เวอร์ชันเก่า: สำรองข้อมูลทั้งหมดและเก็บไว้นอกเซิร์ฟเวอร์ จากนั้นย้ายไปใช้ PHP 8.3 หรือ 8.4 แล้วทดสอบหน้าแรก หน้าทัวร์ แบบฟอร์มติดต่อ และขั้นตอนการจองทีละรายการ
- ถ้ายังแพตช์ทันทีไม่ได้: การนำเว็บไซต์ไปไว้หลังไฟร์วอลล์อย่าง Cloudflare ช่วยป้องกันได้ชั่วคราว ถ้ามีทีมเทคนิค ก็สามารถตั้งค่าชั่วคราวตามที่ PHP แนะนำได้ (เช่น session.upload_progress.enabled=0) แต่นี่ไม่ใช่ทางแก้ที่สมบูรณ์ เป็นเพียงการซื้อเวลา
มีใครเข้ามาแล้วหรือยัง สัญญาณที่ควรตรวจสอบ
หลังแพตช์แล้ว ควรตรวจดูว่ามีใครเข้ามาก่อนที่ช่องโหว่จะถูกปิดหรือไม่:
- ใน WordPress มีบัญชีผู้ดูแลระบบที่คุณไม่รู้จักหรือไม่
- มีปลั๊กอินที่คุณไม่ได้ติดตั้งปรากฏอยู่หรือไม่
- มีไฟล์ .php อยู่ใน wp-content/uploads ซึ่งเป็นโฟลเดอร์เก็บรูปภาพหรือไม่ ในโฟลเดอร์นี้ไม่ควรมีไฟล์ PHP
- เมื่อค้นหา site:โดเมนของคุณ.com ใน Google มีหน้าที่คุณไม่เคยเขียนปรากฏขึ้นหรือไม่
- มีคำเตือนในส่วน "ปัญหาด้านความปลอดภัย" ของ Google Search Console หรือไม่
- ผู้ให้บริการโฮสติ้งส่งคำเตือนเรื่องมัลแวร์ สแปม หรือการใช้ทรัพยากรผิดปกติมาหรือไม่
ถ้าพบสัญญาณใดสัญญาณหนึ่ง ให้ขอผู้ให้บริการโฮสติ้งสแกนเซิร์ฟเวอร์ และกู้คืนข้อมูลสำรองที่สะอาดจากก่อนช่วงที่มีความผิดปกติ จากนั้นเปลี่ยนรหัสผ่านและคีย์ API ทั้งหมด ได้แก่ WordPress โฮสติ้ง ฐานข้อมูล อีเมล รวมถึงการเชื่อมต่อระบบชำระเงินหรือช่องทางขาย ถ้าข้อมูลลูกค้าอาจรั่วไหล ให้ปรึกษาที่ปรึกษากฎหมายเรื่องหน้าที่ของคุณ
มองไปข้างหน้า: มาตรการป้องกันระยะยาว
PHP2Shell จะไม่ใช่ช่องโหว่สุดท้าย คำถามที่แท้จริงคือครั้งหน้าคุณจะพร้อมแค่ไหน นิสัยที่เราแนะนำ:
- ใช้เวอร์ชันที่ยังได้รับการสนับสนุน: ซอฟต์แวร์ที่หมดการสนับสนุนจะไม่ได้รับแพตช์ ตอนนี้ PHP 8.3 หรือ 8.4 เป็นตัวเลือกที่ดี
- มอบหมายผู้รับผิดชอบการอัปเดต: ใครเป็นคนอัปเดตเว็บไซต์ และทำบ่อยแค่ไหน ต้องมีคำตอบที่ชัดเจน โฮสติ้งแบบมีผู้ดูแลหรือสัญญาบำรุงรักษาเป็นวิธีง่ายๆ ในการกำหนดเรื่องนี้เป็นลายลักษณ์อักษร
- รู้ว่าคุณมีอะไรอยู่บ้าง: เว็บไซต์หลัก หน้าแคมเปญเก่า เว็บทดสอบ ซับโดเมนที่ถูกลืม… จดรายการพร้อมเซิร์ฟเวอร์และเวอร์ชันของแต่ละอัน ผู้โจมตีชอบเว็บไซต์ที่ถูกลืมมาก
- ลบสิ่งที่ไม่จำเป็น: ลบปลั๊กอิน ธีม และเว็บไซต์เก่าที่ไม่ได้ใช้ ทุกส่วนที่เกินมาคือประตูอีกบานที่ช่องโหว่อาจเปิดได้
- นำเว็บไซต์ไปไว้หลังไฟร์วอลล์: บริการอย่าง Cloudflare จะเป็นด่านป้องกันแรกเมื่อมีการประกาศช่องโหว่ใหม่ จนกว่าคุณจะแพตช์ได้
- แยกรหัสผ่านและคีย์ออกจากกัน: อย่าเขียนคีย์ API ไว้ในโค้ด ให้สิทธิ์แต่ละบริการเท่าที่จำเป็น และเปลี่ยนคีย์เป็นระยะ
- เก็บข้อมูลสำรองไว้นอกเซิร์ฟเวอร์และทดลองกู้คืน: ข้อมูลสำรองที่ไม่เคยกู้คืนคือข้อมูลสำรองที่คุณไม่แน่ใจว่าจะใช้ได้จริง
- ติดตามเว็บไซต์: การตรวจสอบสถานะออนไลน์ การแจ้งเตือนจาก Search Console และการแจ้งเตือนเมื่อไฟล์เปลี่ยน ช่วยให้คุณเห็นปัญหาก่อนลูกค้า
- เขียนแผนรับมือเหตุการณ์สั้นๆ: กำหนดไว้ล่วงหน้าว่าจะโทรหาใคร จะปิดเว็บไซต์ชั่วคราวอย่างไร และจะแจ้งลูกค้าอย่างไรเมื่อเกิดปัญหา
ภาพใหญ่: ช่องโหว่ถูกค้นพบเร็วขึ้นเรื่อยๆ
สิ่งที่น่าสนใจที่สุดของเรื่องนี้คือช่องโหว่ถูกค้นพบด้วยความช่วยเหลือของ AI เครื่องมือเดียวกันนี้ก็อยู่ในมือของคนที่มีเจตนาร้ายเช่นกัน ต่อจากนี้ช่องโหว่จะถูกค้นพบเร็วขึ้น และถูกนำไปใช้โจมตีเร็วขึ้นด้วย
หมายความว่ายุคของ "ไว้ว่างแล้วค่อยอัปเดต" จบลงแล้ว สำหรับผู้ประกอบการทัวร์ เว็บไซต์ไม่ได้เป็นแค่หน้าร้านอีกต่อไป แต่เป็นเครื่องมือธุรกิจที่รับจองและเก็บข้อมูลลูกค้า การดูแลให้ปลอดภัยจึงเป็นส่วนหนึ่งของการทำให้ธุรกิจเดินหน้าต่อได้
ที่ Monotim เราสร้างเว็บไซต์บนพื้นฐานที่ทันสมัย ซึ่งไม่ได้รับผลกระทบโดยตรงจากช่องโหว่ภาษาฝั่งเซิร์ฟเวอร์ลักษณะนี้ แต่ไม่มีเทคโนโลยีใดปลอดภัยตลอดไป สิ่งที่สร้างความแตกต่างจริงๆ คือการคอยดูแลเว็บไซต์และลงมือแก้ไขได้รวดเร็วเมื่อเกิดปัญหา
ถ้าคุณไม่แน่ใจว่าเว็บไซต์ได้รับผลกระทบจาก PHP2Shell หรือไม่ หรือผู้ให้บริการโฮสติ้งยังตอบไม่ชัดเจน เราสามารถช่วยกันตรวจดูได้
แหล่งอ้างอิง
- PHP Announces Critical Security Release for Two Vulnerabilities (PHP2Shell), Qualys (blog.qualys.com)
- Threat Brief: Critical Vulnerabilities in PHP, Palo Alto Networks Unit 42 (unit42.paloaltonetworks.com)
- Responding to core PHP vulnerabilities CVE-2026-109618 and CVE-2026-109619, Google Cloud (cloud.google.com)
- Hundreds of websites taken offline as concern grows over two PHP vulnerabilities, The Record (therecord.media)
- Dünya çapında PHP kaynaklı güvenlik açığının giderilmesi için çok sayıda internet sitesi erişime kapatıldı, Anadolu Ajansı (aa.com.tr)
- PHP2Shell: what it is, and what to do on your WordPress site, Meow Apps (meowapps.com)
ประวัติการอัปเดต
- ล่าสุด
เผยแพร่ครั้งแรก