ทีมพัฒนา PHP ประกาศออกแพตช์ความปลอดภัยฉุกเฉินเมื่อวันที่ 21 ตุลาคม 2026 เพื่อแก้ไขช่องโหว่ร้ายแรง 2 รายการ ได้แก่ CVE-2026-109618 และ CVE-2026-109619 หรือที่เรียกรวมกันว่า PHP2Shell ซึ่งอาจเปิดโอกาสให้ผู้ไม่หวังดีรันโค้ดที่เป็นอันตรายบนเซิร์ฟเวอร์จากระยะไกลได้ โดยไม่จำเป็นต้องเข้าสู่ระบบ
ช่องโหว่ดังกล่าวมีความรุนแรงระดับ Critical (CVSS 9.2) และส่งผลต่อ PHP ซึ่งเป็นภาษาที่ใช้พัฒนาและประมวลผลเว็บไซต์จำนวนมาก รวมถึงเว็บไซต์ที่ใช้งาน WordPress, Joomla และ Drupal ผู้ดูแลเว็บไซต์จึงควรตรวจสอบสถานะแพตช์และดำเนินการอัปเดตโดยเร็ว
สำหรับลูกค้าที่ใช้งานบริการ Shared Hosting ของ hostatom ทางทีมงานได้ดำเนินการติดตั้งแพตช์ความปลอดภัยเพื่อแก้ไขช่องโหว่ PHP2Shell เรียบร้อยแล้ว ลูกค้าจึงไม่จำเป็นต้องติดตั้งแพตช์ดังกล่าวบนเซิร์ฟเวอร์ด้วยตนเอง
ช่องโหว่ PHP2Shell คืออะไร?
PHP2Shell เป็นชื่อเรียกช่องโหว่ความปลอดภัย 2 รายการที่เกิดจากปัญหาการจัดการหน่วยความจำภายใน PHP ซึ่งอาจทำให้ผู้โจมตีสามารถสั่งรันโค้ดบนเซิร์ฟเวอร์ได้จากระยะไกล
โดยช่องโหว่ทั้งสองมีรายละเอียดดังนี้
- CVE-2026-109618: เกิดจากปัญหาการจัดการหน่วยความจำเมื่อระบบมีหน่วยความจำไม่เพียงพอ ส่งผลให้ PHP อาจนำข้อมูลที่ไม่สมบูรณ์มาใช้งาน และเปิดโอกาสให้ผู้โจมตีรันโค้ดที่เป็นอันตรายได้
- CVE-2026-109619: เกิดจากการที่ PHP อาจนำข้อมูลในหน่วยความจำที่ถูกคืนให้ระบบไปแล้วกลับมาใช้งาน ทำให้ผู้โจมตีอาจใช้ประโยชน์จากช่องโหว่นี้เพื่อรันโค้ดจากระยะไกลได้
ช่องโหว่ทั้งสองมีคะแนนความรุนแรง CVSS 4.0 เท่ากับ 9.2 จาก 10 คะแนน อยู่ในระดับ Critical
หากผู้โจมตีใช้ประโยชน์จากช่องโหว่ได้สำเร็จ อาจสามารถเข้าถึงไฟล์ ข้อมูล หรือสั่งให้เซิร์ฟเวอร์ทำงานโดยไม่ได้รับอนุญาต ภายใต้สิทธิ์ของระบบที่ใช้ประมวลผลเว็บไซต์
เว็บไซต์ประเภทใดบ้างที่อาจได้รับผลกระทบ?
ช่องโหว่ PHP2Shell อาจส่งผลกระทบต่อเว็บไซต์ที่ใช้งาน PHP เวอร์ชันซึ่งยังไม่ได้รับแพตช์ความปลอดภัย โดยครอบคลุมระบบประมวลผล PHP หลายรูปแบบ เช่น PHP-FPM, Apache mod_php, php-cgi, FrankenPHP และ LiteSpeed
ดังนั้น เว็บไซต์บริษัท ร้านค้าออนไลน์ หรือเว็บไซต์ที่พัฒนาด้วย WordPress ก็อาจได้รับผลกระทบ หากเซิร์ฟเวอร์ที่ให้บริการยังใช้งาน PHP เวอร์ชันที่มีช่องโหว่
สิ่งสำคัญที่ควรทราบ: การอัปเดต WordPress ธีม หรือปลั๊กอินเพียงอย่างเดียว ไม่สามารถแก้ไขช่องโหว่ PHP2Shell ได้ เนื่องจากปัญหานี้เกิดขึ้นภายในตัว PHP ที่ทำงานอยู่บนเซิร์ฟเวอร์ จึงจำเป็นต้องติดตั้งแพตช์ความปลอดภัยของ PHP โดยตรง
PHP เวอร์ชันใดได้รับการแก้ไขช่องโหว่แล้ว?
ทีมพัฒนา PHP ได้เผยแพร่เวอร์ชันที่แก้ไขช่องโหว่ PHP2Shell แล้ว ดังนี้
| PHP เวอร์ชัน | เวอร์ชันที่แก้ไขแล้ว |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
ผู้ดูแลเซิร์ฟเวอร์ควรอัปเดต PHP ให้เป็นเวอร์ชันที่แก้ไขแล้ว หรือใหม่กว่าในสายเวอร์ชันเดียวกัน
สำหรับผู้ที่ยังใช้งาน PHP 8.1 หรือเก่ากว่า ซึ่งไม่ได้รับการอัปเดตความปลอดภัยตามปกติจากทีมพัฒนา PHP แล้ว ควรตรวจสอบว่าผู้ให้บริการระบบมีแพตช์รองรับหรือไม่ และวางแผนอัปเกรดไปยัง PHP เวอร์ชันที่ยังได้รับการสนับสนุน
ทั้งนี้ ผู้ให้บริการระบบบางรายอาจนำแพตช์ความปลอดภัยมาปรับใช้กับ PHP เวอร์ชันเดิม โดยไม่เปลี่ยนหมายเลขเวอร์ชัน จึงควรตรวจสอบสถานะแพตช์จากผู้ให้บริการประกอบด้วย
hostatom อัปเดตแพตช์ความปลอดภัยสำหรับ Shared Hosting เรียบร้อยแล้ว
เพื่อป้องกันความเสี่ยงจากช่องโหว่ PHP2Shell ทาง hostatom ได้ดำเนินการติดตั้งแพตช์ความปลอดภัยสำหรับบริการ Shared Hosting เรียบร้อยแล้ว โดยลูกค้าไม่จำเป็นต้องดำเนินการติดตั้งแพตช์ดังกล่าวในระดับเซิร์ฟเวอร์ด้วยตนเอง
อย่างไรก็ตาม ลูกค้ายังคงควรดูแลเว็บไซต์ให้มีความปลอดภัยอย่างสม่ำเสมอ เช่น อัปเดต WordPress ธีม และปลั๊กอินให้เป็นเวอร์ชันที่ได้รับการแก้ไขช่องโหว่ล่าสุด เพื่อช่วยลดความเสี่ยงจากปัญหาความปลอดภัยอื่น ๆ ที่อาจเกิดขึ้น
ลูกค้าที่ใช้งาน VPS หรือ Dedicated Server ควรดำเนินการอย่างไร?
สำหรับลูกค้าที่ใช้งานบริการ Cloud VPS, Private Server และ Dedicated Server ควรตรวจสอบสถานะแพตช์ของ PHP ตามระบบและขอบเขตการดูแลเซิร์ฟเวอร์ที่ใช้งาน โดยมีคำแนะนำดังนี้
- ตรวจสอบเวอร์ชัน PHP ที่ใช้งาน ผ่านระบบจัดการเซิร์ฟเวอร์ เช่น DirectAdmin หรือ Plesk หรือตรวจสอบจากแพ็กเกจ PHP ที่ติดตั้งบนระบบ
- ตรวจสอบสถานะแพตช์ความปลอดภัย หาก PHP ยังไม่ได้รับการแก้ไขช่องโหว่ ควรดำเนินการอัปเดตโดยเร็ว
- สำรองข้อมูลก่อนดำเนินการ โดยเฉพาะกรณีที่จำเป็นต้องเปลี่ยนเวอร์ชัน PHP เพื่อป้องกันผลกระทบจากปัญหาความเข้ากันได้ของเว็บไซต์
- ตรวจสอบเว็บไซต์หลังอัปเดต เช่น การเข้าสู่ระบบ การส่งแบบฟอร์ม ระบบสั่งซื้อสินค้า และฟังก์ชันสำคัญ เพื่อให้มั่นใจว่ายังสามารถใช้งานได้ตามปกติ
หากไม่แน่ใจเกี่ยวกับเวอร์ชัน PHP หรือวิธีการอัปเดต สามารถติดต่อทีม Support ของ hostatom เพื่อขอคำแนะนำเพิ่มเติมได้
การติดตั้งแพตช์ PHP สำคัญอย่างไร?
การติดตั้งแพตช์ความปลอดภัยเป็นวิธีสำคัญในการป้องกันการโจมตีผ่านช่องโหว่ PHP2Shell เนื่องจากช่องโหว่นี้เกิดขึ้นภายในตัว PHP แม้เว็บไซต์จะมีระบบป้องกันการโจมตีอย่าง Web Application Firewall (WAF) ก็ไม่สามารถใช้ทดแทนการติดตั้งแพตช์ได้อย่างสมบูรณ์
นอกจากการอัปเดต PHP แล้ว ผู้ดูแลเว็บไซต์ยังควรตรวจสอบความปลอดภัยของระบบอย่างสม่ำเสมอ ทั้งการอัปเดตซอฟต์แวร์ การสำรองข้อมูล และการตรวจสอบความผิดปกติของเว็บไซต์ เพื่อช่วยลดความเสี่ยงจากภัยคุกคามต่าง ๆ
สรุป
PHP2Shell เป็นช่องโหว่ความปลอดภัยระดับ Critical ที่อาจเปิดโอกาสให้ผู้ไม่หวังดีรันโค้ดบนเซิร์ฟเวอร์จากระยะไกลได้ ผู้ดูแลเว็บไซต์และเซิร์ฟเวอร์จึงควรตรวจสอบสถานะแพตช์และอัปเดต PHP ให้เป็นเวอร์ชันที่ได้รับการแก้ไขแล้วโดยเร็ว
สำหรับลูกค้าที่ใช้งาน Shared Hosting ของ hostatom ทางทีมงานได้ดำเนินการติดตั้งแพตช์ความปลอดภัยเรียบร้อยแล้ว ส่วนลูกค้าที่ดูแล VPS หรือ Dedicated Server ควรตรวจสอบและดำเนินการอัปเดตตามระบบที่ใช้งาน
หากมีข้อสงสัยเกี่ยวกับ PHP หรือการอัปเดตความปลอดภัยของเซิร์ฟเวอร์ สามารถติดต่อทีม Support ของ hostatom ได้ตลอด 24 ชั่วโมง เพื่อรับคำแนะนำและแนวทางดำเนินการที่เหมาะสม
ติดต่อ hostatom
- โทรศัพท์: 0-2107-3466
- LINE: @hostatom
- เว็บไซต์: https://www.hostatom.com/
แหล่งอ้างอิง
