ท่องเว็บยังปลอดภัยไหม หลังเจอช่องโหว่ PHP2Shell? สรุปเรื่องที่คุณต้องรู้

ช่องโหว่ความปลอดภัย PHP2Shell คืออะไร?

ช่วงนี้ถ้าใครท่องเว็บแล้วเจอหลายเว็บใหญ่ๆ ล่มกะทันหัน ไม่ต้องแปลกใจครับ สาเหตุมันมาจากไลบรารีโค้ดตัวหนึ่งที่เป็นหัวใจหลักของเว็บส่วนใหญ่บนโลกอินเทอร์เน็ต

PHP คือเอนจินหลังบ้านที่ขับเคลื่อนเว็บไซต์กว่า 70% ที่ใช้ภาษาฝั่งเซิร์ฟเวอร์ แต่เมื่อไม่นานมานี้ นักพัฒนาเพิ่งเจอช่องโหว่ความปลอดภัยร้ายแรง 2 จุดใน PHP ซึ่งถูกตั้งฉายารวมกันว่า PHP2Shell ช่องโหว่นี้เปิดทางให้แฮกเกอร์เข้ามาควบคุมเว็บเซิร์ฟเวอร์ที่มีช่องโหว่ได้แบบสมบูรณ์จากระยะไกล โดยไม่ต้องใช้รหัสผ่านเลยสักนิด

ตอนนี้ช่องโหว่ PHP2Shell ถูกแก้ไขแล้วหรือยัง?

คำตอบสั้นๆ คือ มีตัวอัปเดตออกมาแก้แล้วครับ แต่ระบบไม่ได้อัปเดตให้อัตโนมัติ โดยตามบันทึกการปล่อยอัปเดตของ PHP ระบุว่า เวอร์ชันแก้บั๊กอย่าง 8.5.12, 8.4.27, 8.3.36 และ 8.2.35 ได้ปล่อยออกมาอย่างเป็นทางการตั้งแต่วันพุธแล้ว

ไม่มีวิธีบรรเทาความเสี่ยงแบบอื่นได้สมบูรณ์ การอัปเดตเป็นเพียงทางเลือกเดียวที่ปลอดภัย

นับถึงวันพฤหัสบดี PHP ยังไม่ได้ปล่อยแพตช์เพิ่มเติม แพตช์จะทำงานได้ก็ต่อเมื่อมีคนกดติดตั้งและรีสตาร์ทเว็บแอปพลิเคชันแล้วเท่านั้น เนื่องจาก PHP อัปเดตตัวเองไม่ได้ ผู้ให้บริการเว็บโฮสติ้ง ทีม IT และคนดูแลเว็บทุกคนจึงต้องลงมืออัปเดตระบบของตัวเองครับ

สำหรับเซิร์ฟเวอร์เวอร์ชันเก่าอย่าง PHP 8.1 หรือเก่ากว่านั้น ถือว่าหมดอายุการสนับสนุน (EOL) แล้ว ทำให้ไม่มีแพตช์อย่างเป็นทางการปล่อยมาอัปเดตอัตโนมัติ ทีมความปลอดภัยของ PHP เลยปล่อยแพตช์แบบพื้นฐานสำหรับเวอร์ชัน 7.4, 8.0 และ 8.1 ออกมาช่วย แต่ผู้ดูแลระบบต้องนำโค้ดไปคอมไพล์เพื่ออัปเดตเองครับ

การโจมตีนับล้านครั้ง: มีใครโดนแฮกไปแล้วหรือยัง?

ในขณะที่ทีมความปลอดภัยกำลังเร่งอัปเดตระบบ แฮกเกอร์ก็เริ่มสแกนหาเป้าหมายบนเว็บทันที Matthew Prince ซีอีโอของ Cloudflare ได้แชร์ตัวเลขสุดช็อกที่แสดงให้เห็นว่า บอทโจมตีอัตโนมัติตอบสนองเร็วแค่ไหน

• มีการพยายามแฮกหลายพันครั้งในช่วง 10 ชั่วโมงก่อนหน้าการประกาศอย่างเป็นทางการ
• พุ่งสูงเป็นหลายหมื่นครั้งภายในเวลาเพียง 45 นาทีหลังการประกาศ
• ทะลักเข้ามาหลายแสนครั้งภายในเวลาไม่ถึง 2 ชั่วโมง
• และตรวจพบการพยายามโจมตีนับล้านครั้งบนเครือข่ายของ Cloudflare นับตั้งแต่นั้นมา

ยิ่งไปกว่านั้น Amazon ได้เปิดเผยข้อมูลที่น่าตกใจยิ่งกว่า คือเซิร์ฟเวอร์ล่อซื้อ (Honeypot) ของ Amazon บันทึกการพยายามโจมตีได้ตั้งแต่วันที่ 17 ตุลาคม ซึ่งเป็นเวลา 4 วันเต็มๆ ก่อนการประกาศต่อสาธารณะในวันที่ 21 ตุลาคม 2026

CJ Moses ประธานเจ้าหน้าที่ฝ่ายความปลอดภัยสารสนเทศ (CISO) ของ Amazon ระบุว่า ยังไม่ชัดเจนว่าแฮกเกอร์ได้รายละเอียดช่องโหว่มาก่อนเปิดเผยต่อสาธารณะได้อย่างไร ซึ่งเป็นการยืนยันว่า PHP2Shell กำลังถูกนำมาใช้โจมตีเป็นวงกว้างในขณะนี้

แม้จะมีการโจมตีซัดเข้ามามหาศาล แต่หน่วยงานรัฐบาลยังไม่พบรายงานการเจาะระบบได้สำเร็จ Thomas Caspers รองประธานสำนักงานความมั่นคงไซเบอร์แห่งชาติเยอรมนี (BSI) ระบุว่า แม้จะพบการพยายามโจมตี แต่ยังไม่มีผู้ยึดระบบได้สำเร็จ พร้อมเสริมว่าตัวสคริปต์แฮกดูเหมือนจะซับซ้อนกว่าที่คิดไว้เล็กน้อย

ด้าน Minoru Kihara เลขาธิการคณะรัฐมนตรีญี่ปุ่น ก็ยืนยันในทำนองเดียวกันว่า ยังไม่พบการบุกรุกระบบของรัฐบาลผ่านช่องโหว่นี้ได้สำเร็จ

ถ้าให้เห็นภาพง่ายๆ ให้คิดว่าการพยายามโจมตีคือการที่มีคนมาโยกลูกบิดประตูบ้านคุณ การเจาะระบบสำเร็จคือการเปิดประตูเดินเข้าบ้านไปได้ ตัวเลขลูกบิดถูกโยกเป็นล้านครั้งโดยไม่มีใครเปิดประตูเข้ามาได้ถือเป็นข่าวดีครับ แม้ว่าการตรวจสอบประวัติเชิงลึกอาจต้องใช้เวลาเพิ่มเติมเพื่อค้นหาผู้บุกรุกที่ซ่อนอยู่ก็ตาม

ทำไมการแก้ไขช่องโหว่นี้ถึงล่าช้า?

ในบล็อกโพสต์เมื่อวันพุธ PHP Foundation เปิดเผยว่า ทีมความปลอดภัยพบสัญญาณแรกของปัญหาหน่วยความจำล้น (Out-Of-Memory หรือ OOM) ที่ซ่อนอยู่หลังรหัส CVE-2026-109618 มาตั้งแต่ปี 2024 แล้ว

เหล่านักพัฒนาได้เสนอวิธีแก้ไว้หลายรูปแบบ แต่ก็ตกลงกันไม่ได้ว่าวิธีไหนดีที่สุด เพราะกลัวผลกระทบถ้าปล่อยตัวแก้ที่ไม่ดีพอออกไป ทางมูลนิธิยอมรับว่าความล่าช้านี้คือความล้มเหลวเชิงโครงสร้างที่เกิดจากขั้นตอนการตัดสินใจภายในและทรัพยากรที่ไม่เพียงพอ

เพื่อแก้ปัญหาคอขวดด้านการบริหารนี้ ทีมความปลอดภัยจึงเปลี่ยนกฎจากการต้องเห็นพ้องต้องกันทุกคน มาเป็นการใช้เสียงข้างมากสั้นๆ แทน ทางมูลนิธิชี้ว่า โค้ดส่วนใหญ่ที่ค้ำจุนโลกอินเทอร์เน็ตยังคงพึ่งพานักพัฒนาและอาสาสมัครกลุ่มเล็กๆ เท่านั้น

ทำไมเว็บใหญ่ๆ ถึงต้องปิดบริการชั่วคราว?

พอข่าวช่องโหว่แพร่ออกไป ศูนย์ความมั่นคงไซเบอร์แห่งชาติของสหราชอาณาจักร (NCSC) ได้ให้คำแนะนำชัดเจนว่า หากคุณยังอัปเดตแพตช์ให้เซิร์ฟเวอร์ทันทีไม่ได้ ให้พิจารณาปิดระบบไปก่อนจนกว่าจะปลอดภัย

องค์กรใหญ่หลายแห่งจึงเลือกความปลอดภัยมากกว่าการเปิดใช้งาน และสั่งปิดแพลตฟอร์มชั่วคราว ข้อมูลจาก Tech Radar ระบุว่า บริการที่ได้รับผลกระทบมีดังนี้:

• บริการหลักและฐานข้อมูลของ Wikimedia
• เว็บไซต์และแอปพลิเคชันมือถือของ Orange ในหลายประเทศ
• บริการออนไลน์ของรัฐบาลสหราชอาณาจักรมากถึง 32 แห่ง
• พอร์ตัลของโรงพยาบาลหลายแห่งในเนเธอร์แลนด์
• ITZBund ซึ่งเป็นผู้ให้บริการ IT ส่วนกลางสำหรับรัฐบาลกลางเยอรมนี

จนถึงวันพฤหัสบดี หลายแพลตฟอร์มเริ่มกลับมาเปิดใช้งานได้แล้ว เช่น สำนักงานความรับผิดชอบด้านงบประมาณของสหราชอาณาจักร และพอร์ตัลสภาเมืองเอดินบะระ แต่บางแห่งอย่าง Meld Misdaad Anoniem พอร์ตัลแจ้งเบาะแสอาชญากรรมนิรนามของเนเธอร์แลนด์ ยังคงปิดปรับปรุงอยู่จนถึงเช้าวันพฤหัสบดี

ผู้ใช้งานอินเทอร์เน็ตทั่วไป ต้องเปลี่ยนรหัสผ่านไหม?

ในฐานะผู้ใช้งานทั่วไป คุณไม่จำเป็นต้องตื่นตระหนกหรือรีบเปลี่ยนรหัสผ่านทุกบัญชีทันทีครับ เพราะตอนนี้ยังไม่มีรายงานข้อมูลผู้บริโภครั่วไหลเป็นวงกว้างที่เชื่อมโยงกับ PHP2Shell โดยตรง

การเปลี่ยนรหัสผ่านบนเว็บที่ยังไม่ได้แก้ช่องโหว่ก็ไม่ได้ช่วยอะไร ถ้าตัวเซิร์ฟเวอร์ยังเสี่ยงโดนเจาะอยู่ สิ่งที่คุณควรเน้นทำคือมาตรการความปลอดภัยมาตรฐานครับ:

• ตั้งรหัสผ่านที่รัดกุมและไม่ซ้ำกันในแต่ละบัญชีออนไลน์
• เปิดใช้งานการยืนยันตัวตนสองปัจจัย (2FA) ในทุกบัญชีการเงินและบัญชีส่วนตัว
• คอยสังเกตการแจ้งเตือนความปลอดภัยจากผู้ให้บริการเว็บในช่วงสัปดาห์ข้างหน้า
• ถ้าแพลตฟอร์มไหนแจ้งเตือนเหตุความปลอดภัย ให้รีบอัปเดตข้อมูลเข้าสู่ระบบ และเปลี่ยนรหัสผ่านที่ซ้ำกันบนเว็บไซต์อื่นด้วย

แผนรับมือสำหรับเจ้าของเว็บและผู้ดูแลระบบ

ถ้าคุณดูแลเว็บไซต์หรือเว็บแอปพลิเคชัน การอัปเดตแพตช์จะช่วยปิดประตูไม่ให้แฮกเกอร์หน้าใหม่เข้ามาได้ แต่ไม่ได้ยืนยันว่ามีใครแอบมุดเข้ามาแล้วหรือยัง บริษัทความปลอดภัยไซเบอร์ Tag1 แนะนำขั้นตอนตั้งรับสำคัญดังนี้:

• สแกนโฟลเดอร์ต่างๆ เพื่อหาไฟล์ PHP แปลกปลอมหรือไฟล์ที่เพิ่งถูกเพิ่มเข้ามา
• ตรวจสอบ cron jobs และงานที่ตั้งเวลาไว้บนเซิร์ฟเวอร์ว่ามีคำสั่งที่ไม่ได้รับอนุญาตหรือไม่
• ตรวจสอบบัญชีผู้ใช้ในเซิร์ฟเวอร์เพื่อหาโปรไฟล์สิทธิ์ Admin แปลกหน้า
• เปลี่ยนรหัสผ่านฐานข้อมูล รหัสผ่านเซิร์ฟเวอร์ และ API keys ทั้งหมดบนเซิร์ฟเวอร์ที่รันเวอร์ชันที่มีช่องโหว่

PHP2Shell ส่งผลกระทบต่อสายคริปโตยังไง?

Changpeng Zhao (CZ) อดีตซีอีโอของ Binance ได้ออกมาทวีตเตือนความปลอดภัยถึงชาวคริปโตบน X เมื่อวันที่ 21 ตุลาคม 2026 ว่า:

"หาว่าผมวิตกจริตเกินไปก็ได้นะ แต่ช่วงสองสามวันนี้ระวังการเข้าเว็บไซต์ไหนๆ เป็นพิเศษหน่อย เพราะแอดมินบางเว็บไม่ได้อัปเดตแพตช์ความปลอดภัยตลอดเวลา มีช่องโหว่ 2 จุด (CVE-2026-109618 และ CVE-2026-109619) ใน PHP ภาษาโปรแกรมเว็บ ที่ส่งผลกระทบต่อเซิร์ฟเวอร์..."

สำหรับชาวคริปโต ความเสี่ยงไม่ได้เกิดจากสมาร์ตคอนแทร็กต์หรือบั๊กบนบล็อกเชนโดยตรงครับ แต่ความเสี่ยงอยู่ที่หน้าเว็บส่วนหน้า (Front-end) ถ้าแฮกเกอร์ยึดเซิร์ฟเวอร์ที่รันหน้าเว็บ dApp ได้ พวกเขาอาจสลับกล่องข้อความโอนเงินของจริง แล้วใส่สคริปต์อันตรายเพื่อสูบเงินออกไปจากกระเป๋าของคุณได้

เพื่อปกป้องสินทรัพย์ดิจิทัลของคุณในช่วงที่เว็บทั่วโลกกำลังเสี่ยง ให้ปฏิบัติตามแนวทางความปลอดภัยดังนี้:

• ตรวจเช็กคำขออนุมัติทำธุรกรรมและการโต้ตอบกับคอนแทร็กต์ให้ดีเป็นสามเท่าก่อนกดยืนยัน
• เข้าใช้งานเว็บการเงินผ่านบุ๊กมาร์กที่บันทึกไว้โดยตรง หลีกเลี่ยงการกดลิงก์จากโซเชียลหรือโฆษณาบนการค้นหา
• ใช้ฮาร์ดแวร์วอลเล็ต (Cold Wallet) เพื่อตรวจสอบรายละเอียดสมาร์ตคอนแทร็กต์แยกต่างหากบนหน้าจอกายภาพที่ปลอดภัย

จนถึงปัจจุบัน ยังไม่มีกระดานเทรดคริปโตหรือโปรโตคอล DeFi รายใหญ่รายใดรายงานเหตุเจาะระบบที่เกี่ยวข้องกับช่องโหว่ PHP2Shell

สรุปสุดท้าย: ท่องเว็บตอนนี้ยังปลอดภัยไหม?

การท่องเว็บในวันนี้มีความเสี่ยงโดยรวมใกล้เคียงกับปกติ แต่เซิร์ฟเวอร์ที่ยังไม่อัปเดตแพตช์ก็ยังคงเปราะบาง บริษัทข่าวกรองไซเบอร์ Mallory ประเมินว่า ยังมีเซิร์ฟเวอร์ราว 884,000 เครื่องทั่วโลกที่รัน PHP เวอร์ชันเก่าและไม่ได้รับการสนับสนุนแพตช์ความปลอดภัยอย่างเป็นทางการอีกต่อไป

คำแนะนำความปลอดภัยจาก Amazon ย้ำเตือนผู้ดูแลระบบว่า งานป้องกันยังไม่จบแค่นี้ครับ ทุกองค์กรควรตระหนักว่าแฮกเกอร์อาจเริ่มสแกนระบบไปนานแล้วก่อนที่จะมีประกาศต่อสาธารณะ เว็บเซิร์ฟเวอร์ใดก็ตามที่รันเวอร์ชันมีช่องโหว่ในหรือหลังวันที่ 17 ตุลาคม ควรได้รับการตรวจสอบความปลอดภัยอย่างละเอียดควบคู่ไปกับการติดตั้งแพตช์ตามปกติ