พบช่องโหว่ความปลอดภัยร้ายแรง 2 รายการใน PHP เสี่ยงเปิดทางให้แฮกเกอร์สั่งรันโค้ดบนเซิร์ฟเวอร์จากระยะไกล ผู้ดูแลเว็บไซต์ควรอัปเดตระบบทันที
22ตุลาคม 2569
ทั่วโลก เร่งอัปเดตแพตช์ทันที
วงการความปลอดภัยไซเบอร์กำลังจับตาความเสี่ยงครั้งสำคัญ หลังทีมพัฒนา PHP ประกาศแก้ไขช่องโหว่ความปลอดภัยระดับร้ายแรง 2 รายการ ซึ่งอาจเปิดโอกาสให้ผู้ไม่หวังดีสั่งรันโค้ดบนเซิร์ฟเวอร์จากระยะไกลได้โดยไม่ต้องผ่านการยืนยันตัวตน ส่งผลให้หน่วยงานและผู้ดูแลเว็บไซต์หลายแห่งต้องเร่งตรวจสอบระบบ พร้อมติดตั้งแพตช์เพื่อป้องกันการโจมตี
พบช่องโหว่ PHP ระดับร้ายแรง กระทบระบบเว็บไซต์จำนวนมาก
PHP เป็นภาษาโปรแกรมที่นิยมใช้พัฒนาเว็บไซต์และระบบเว็บแอปพลิเคชัน โดยทำงานอยู่เบื้องหลังการแสดงผลหน้าเว็บ ระบบสมาชิก ระบบจัดการเนื้อหา และการเชื่อมต่อฐานข้อมูล
ช่องโหว่ที่ได้รับการเปิดเผยครั้งนี้มีรหัส CVE-2026-109618 และ CVE-2026-109619 โดยทั้งสองรายการถูกจัดอยู่ในระดับความรุนแรงสูงมาก ด้วยคะแนน CVSS v4.0 ที่ 9.2 จาก 10
ความเสี่ยงสำคัญคือการเปิดช่องให้ผู้โจมตีสามารถสั่งรันโค้ดจากระยะไกลบนระบบที่มีช่องโหว่ได้ ซึ่งอาจนำไปสู่การเข้าถึงข้อมูล การเปลี่ยนแปลงการทำงานของเว็บไซต์ หรือการโจมตีระบบอื่นที่เชื่อมโยงอยู่ ทั้งนี้ ผลกระทบจริงขึ้นอยู่กับรูปแบบการติดตั้งและการตั้งค่าของแต่ละระบบ
หลายหน่วยงานเร่งปิดช่องโหว่เพื่อป้องกันการโจมตี
รายงานจากสื่อต่างประเทศระบุว่า หน่วยงานภาครัฐและองค์กรบางแห่งในยุโรปได้ระงับการให้บริการเว็บไซต์บางส่วนชั่วคราว เพื่อป้องกันความเสี่ยงระหว่างดำเนินการแก้ไขระบบ
ขณะเดียวกัน หน่วยงานด้านความปลอดภัยไซเบอร์ของสหภาพยุโรปได้ออกคำแนะนำให้องค์กรที่เกี่ยวข้องเร่งดำเนินการแก้ไข หากไม่สามารถติดตั้งแพตช์ได้ทันเวลา ควรพิจารณาปิดระบบที่ได้รับผลกระทบชั่วคราวจนกว่าจะสามารถจัดการความเสี่ยงได้อย่างเหมาะสม
การดำเนินการดังกล่าวสะท้อนให้เห็นว่า ช่องโหว่ในซอฟต์แวร์พื้นฐานที่เว็บไซต์จำนวนมากใช้งานร่วมกัน อาจส่งผลกระทบเป็นวงกว้างได้ แม้เว็บไซต์แต่ละแห่งจะมีระบบและผู้ดูแลแตกต่างกันก็ตาม
AI มีส่วนช่วยค้นพบช่องโหว่ที่ซ่อนอยู่
อีกประเด็นที่น่าสนใจคือบทบาทของปัญญาประดิษฐ์ หรือ AI ในการช่วยนักวิจัยตรวจสอบโค้ดและค้นหาจุดอ่อนด้านความปลอดภัย ซึ่งอาจช่วยให้ค้นพบข้อผิดพลาดที่ตรวจสอบได้ยากด้วยวิธีการแบบเดิม
อย่างไรก็ตาม AI ไม่ได้มีประโยชน์เฉพาะฝ่ายป้องกันเท่านั้น เพราะผู้โจมตีอาจนำเครื่องมือประเภทเดียวกันมาใช้วิเคราะห์ช่องโหว่และพัฒนาวิธีโจมตีได้เช่นกัน
กรณีนี้จึงเป็นตัวอย่างสำคัญที่แสดงให้เห็นว่า เมื่อ AI ช่วยให้การค้นหาช่องโหว่ทำได้รวดเร็วขึ้น ผู้พัฒนาซอฟต์แวร์และผู้ดูแลระบบจำเป็นต้องเร่งตรวจสอบ แก้ไข และอัปเดตระบบให้ทันต่อความเสี่ยงที่เปลี่ยนแปลงไป
ผู้ดูแลเว็บไซต์ควรทำอย่างไร?
ทีมพัฒนา PHP ได้เผยแพร่เวอร์ชันที่แก้ไขช่องโหว่แล้วเมื่อวันที่ 21 ตุลาคม 2026 โดยระบุเวอร์ชันที่ได้รับการแก้ไข ได้แก่
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
ผู้ดูแลระบบควรดำเนินการตามขั้นตอนต่อไปนี้
- ตรวจสอบเวอร์ชัน PHP ที่ใช้งานอยู่ ทั้งบนเซิร์ฟเวอร์หลัก เซิร์ฟเวอร์สำรอง และสภาพแวดล้อมที่ใช้ทดสอบระบบ
- สำรองข้อมูลก่อนอัปเดต รวมถึงไฟล์เว็บไซต์ ฐานข้อมูล และการตั้งค่าที่จำเป็น
- อัปเดตเป็นเวอร์ชันที่ได้รับการแก้ไข โดยเลือกเวอร์ชันที่รองรับกับระบบปัจจุบัน และประสานงานกับผู้ให้บริการโฮสติ้งหากไม่สามารถอัปเดตเองได้
- ตรวจสอบบันทึกการทำงานของเซิร์ฟเวอร์ เพื่อค้นหาคำขอหรือพฤติกรรมที่ผิดปกติ และตรวจสอบว่ามีสัญญาณการบุกรุกหรือไม่
- ทดสอบเว็บไซต์หลังอัปเดต เพื่อให้มั่นใจว่าระบบหลัก ปลั๊กอิน และการเชื่อมต่อฐานข้อมูลยังทำงานได้ตามปกติ
สำหรับผู้ใช้งาน WordPress หรือระบบ CMS อื่น ๆ ควรสอบถามผู้ให้บริการโฮสติ้งว่ามีการอัปเดต PHP ให้แล้วหรือไม่ เนื่องจากการอัปเดต WordPress หรือปลั๊กอินเพียงอย่างเดียวไม่ได้หมายความว่าเวอร์ชัน PHP บนเซิร์ฟเวอร์จะได้รับการแก้ไขตามไปด้วย
สรุป: อย่ามองข้ามการอัปเดตซอฟต์แวร์
เหตุการณ์ช่องโหว่ PHP ครั้งนี้เป็นเครื่องเตือนใจว่า การดูแลความปลอดภัยเว็บไซต์ไม่ได้จำกัดอยู่แค่การตั้งรหัสผ่านที่รัดกุมหรือการติดตั้งปลั๊กอินรักษาความปลอดภัยเท่านั้น แต่ยังรวมถึงการอัปเดตซอฟต์แวร์พื้นฐานที่ทำงานอยู่เบื้องหลังเว็บไซต์ด้วย
ผู้ดูแลเว็บไซต์ควรตรวจสอบระบบและติดตั้งแพตช์ที่เกี่ยวข้องโดยเร็ว หากพบพฤติกรรมผิดปกติ ควรตรวจสอบเหตุการณ์ด้านความปลอดภัยเพิ่มเติม ไม่ควรสันนิษฐานว่าการอัปเดตเพียงอย่างเดียวจะกำจัดความเสี่ยงจากการบุกรุกที่อาจเกิดขึ้นก่อนหน้านี้ได้ทั้งหมด
แหล่งข่าวอ้างอิง
- PHP Official https://www.php.net/archive/2026.php
- ENISA https://www.enisa.europa.eu/news/joint-statement-on-critical-php-vulnerabilities
- Reuters https://www.reuters.com/business/php-programming-language-developers-issue-new-version-fixing-critical-2026-10-21/