พบช่องโหว่ร้ายแรง PHP ที่เปิดทางให้โจมตีจากระยะไกล (PHP2Shell)
พบช่องโหว่ร้ายแรง PHP ที่เปิดทางให้โจมตีจากระยะไกล (PHP2Shell)
Severity: CRITICAL (CVE-2026-109618, CVE-2026-109619)
CVSS Score: 9.2
ข้อมูลทั่วไป
PHP คือ ภาษาคอมพิวเตอร์ประเภท Server-side Scripting Language (ภาษาสคริปต์ที่ทำงานฝั่งเซิร์ฟเวอร์) ซึ่งถูกออกแบบมาเพื่อใช้ในการพัฒนาเว็บไซต์และเว็บแอปพลิเคชันโดยเฉพาะ
เหตุการณ์
เมื่อวันที่ 21 ตุลาคม 2026 ทีมพัฒนา PHP ได้เผยแพร่การแก้ไขช่องโหว่ระดับวิกฤต 2 รายการ ได้แก่ CVE-2026-109618 และ CVE-2026-109619 ซึ่งเรียกรวมกันว่า PHP2Shell
• CVE-2026-109618: การจัดการกรณีหน่วยความจำไม่เพียงพอ (Out-of-Memory) อาจทำให้ข้อมูลคำขอภายใน PHP ถูกเตรียมไว้ไม่สมบูรณ์ และขั้นตอนล้างข้อมูลอาจนำหน่วยความจำที่ไม่ถูกต้องมาใช้งาน จนนำไปสู่ Memory Corruption และ Remote Code Execution
• CVE-2026-109619: สถานะข้อมูลภายใน PHP อาจยังอ้างอิงหน่วยความจำที่ถูกคืนพื้นที่ไปแล้ว เมื่อ Worker ประมวลผลคำขอถัดไป อาจนำข้อมูลเก่าดังกล่าวมาใช้และเปิดทางให้รันโค้ดจากระยะไกลได้
ช่องโหว่ทั้งสองรายการ มีคะแนน CVSS v4.0 ที่ 9.2 ส่งผลกระทบต่อ PHP เกือบทุกเวอร์ชันย้อนไปถึง PHP 5.4 จุดที่ทำให้ช่องโหว่ทั้งสองอันตรายคือปัญหาที่อยู่ใน engine ของ PHP เอง ระบบที่ใช้ Apache mop_php มีความเสี่ยงสูงที่สุด เนื่องจากมีการสาธิต exploit ที่ใช้ request เพียงครั้งเดียวโดยไม่ต้องยืนยันตัวตน และทำงานก่อนที่โค้ดของแอปพลิเคชันจะถูกรันด้วยซ้ำ ส่วน PHP-FPM มีพฤติกรรมต่างออกไปเพราะจะปิด worker เมื่อ request ล้มเหลวตั้งแต่ช่วงเริ่มต้น โดยสำหรับ CVE-2026-109618 ผลการวิเคราะห์ของ PHP ระบุว่า FPM มีความเสี่ยงแต่ยังไม่มีการสาธิต exploit ที่สมบูรณ์ ขณะที่ CVE-2026-109619 ถูกพิสูจน์แล้วว่าสามารถรันโค้ดได้ทั้งบน mod_php และ PHP-FPM
หากโจมตีสำเร็จ ผู้โจมตีที่ไม่ผ่านการยืนยันตัวตนอาจรันโค้ดด้วยสิทธิ์ของ PHP Process เข้าถึงข้อมูลที่ Process อ่านได้ หรือทำให้บริการหยุดชะงัก มีรายงานการเผยแพร่รายละเอียด Proof-of-Concept แล้ว จึงควรเร่งดำเนินการแก้ไข
ผลิตภัณฑ์และเวอร์ชันที่ได้รับผลกระทบ
•PHP 8.5.0–8.5.11
•PHP 8.4.0–8.4.26
•PHP 8.3.0–8.3.35
•PHP 8.2.0–8.2.34
•PHP 8.1 และเวอร์ชันที่เก่ากว่า
คำแนะนำ
•อัปเดต PHP 8.5 เป็นเวอร์ชัน 8.5.12 ขึ้นไป
•อัปเดต PHP 8.4 เป็นเวอร์ชัน 8.4.27 ขึ้นไป
•อัปเดต PHP 8.3 เป็นเวอร์ชัน 8.3.36 ขึ้นไป
•อัปเดต PHP 8.2 เป็นเวอร์ชัน 8.2.35 ขึ้นไป
•สำหรับ PHP 8.1 และเก่ากว่า ให้ย้ายไปใช้เวอร์ชันที่ยังได้รับการสนับสนุน หรือใช้แพตช์จากผู้ให้บริการที่ผ่านการยืนยันแล้ว โดยให้ความสำคัญกับระบบที่เปิดให้เข้าถึงจากอินเทอร์เน็ต
•หากยังไม่สามารถอัปเดตเวอร์ชันได้ให้กำหนดค่า session.upload_progress.enabled=0 และ memory_limit=-1 ในไฟล์ php.ini
•ตรวจสอบการอัปเดตด้านความปลอดภัยจากผู้จำหน่ายซอฟต์แวร์ภายนอกอย่างต่อเนื่อง รวมถึงอุปกรณ์และบริการที่อาจรวม PHP ไว้ด้วย NCSC-NL ได้เผยแพร่รายการผลิตภัณฑ์ซอฟต์แวร์ที่มีการพึ่งพา PHP ซึ่งอาจได้รับผลกระทบจากช่องโหว่ดังกล่าว ติดตั้งการอัปเดตที่เกี่ยวข้องเมื่อมีการเผยแพร่
ข้อมูลอ้างอิง
•https://www.ncsc.gov.uk/news/critical-security-issue-affecting-php
•https://watchtowr.com/intelligence/php-remote-code-execution-php2shell/
• https://www.recordedfuture.com/blog/php2shell-vulnerability-exploitation
• https://blog.cloudflare.com/php-vulnerabilities-waf-protection/
•https://www.hackthebox.com/blog/php2shell-php-rce-vulnerabilities
•https://www.offsec.com/blog/php2shell-critical-vulnerabilities-in-php-core/