เมื่อวันที่ 21 ตุลาคม 2026 ทีมพัฒนา PHP ออกอัปเดตความปลอดภัยแบบเร่งด่วนให้ทุกเวอร์ชันที่ยังได้รับการดูแล เพื่ออุดช่องโหว่ร้ายแรง 2 รายการ ได้แก่ CVE-2026-109618 และ CVE-2026-109619 ซึ่งถูกเรียกรวมกันว่า "PHP2Shell" หน่วยงานความมั่นคงไซเบอร์ของสหรัฐฯ (CISA) ออกประกาศเตือนให้รีบอัปเดตทันที เพราะพบการโจมตีจริงแล้ว
PHP เป็นภาษาที่อยู่เบื้องหลังเว็บไซต์จำนวนมหาศาล ตั้งแต่เว็บ WordPress, ระบบที่เขียนด้วย Laravel ไปจนถึงเว็บบริษัทบนโฮสติ้งทั่วไป เว็บของธุรกิจ SME จำนวนมากจึงอาจได้รับผลกระทบโดยที่เจ้าของไม่รู้ตัว
PHP2Shell คืออะไร ทำไมถึงร้ายแรง
ช่องโหว่ทั้งสองได้คะแนนความรุนแรง 9.2 จาก 10 (มาตรฐาน CVSS v4.0) จุดที่น่ากังวลที่สุดคือผู้โจมตีสามารถสั่งรันโค้ดบนเซิร์ฟเวอร์ได้จากระยะไกลโดยไม่ต้องล็อกอิน (Unauthenticated Remote Code Execution)
พูดง่าย ๆ คือถ้าเซิร์ฟเวอร์ยังใช้ PHP เวอร์ชันที่มีช่องโหว่ คนร้ายอาจเข้าไปควบคุมเซิร์ฟเวอร์ได้ ผลที่ตามมาอาจเป็น
- ข้อมูลลูกค้า ออเดอร์ หรือข้อมูลสมาชิกรั่วไหล
- เว็บถูกฝังลิงก์พนัน มัลแวร์ หรือหน้าหลอกลวง ทำให้ Google แจ้งเตือนว่าเว็บไม่ปลอดภัย
- เซิร์ฟเวอร์ถูกใช้ส่งสแปมหรือขุดคริปโต จนโฮสต์ระงับบริการ
- เสียความน่าเชื่อถือกับลูกค้า ซึ่งกู้คืนยากกว่าการกู้ไฟล์มาก
บริษัทวิจัยความปลอดภัย watchTowr รายงานว่าพบความพยายามโจมตีผ่านเครือข่ายเครื่องล่อ (honeypot) ตั้งแต่วันเดียวกับที่แพตช์ออก แปลว่าคนร้ายเริ่มไล่สแกนหาเว็บที่ยังไม่อัปเดตแล้ว
เวอร์ชันไหนปลอดภัย เวอร์ชันไหนต้องรีบอัป
PHP ออกเวอร์ชันแก้ไขให้ทุกสายที่ยังได้รับการดูแล ดังนี้
- PHP 8.5 → ต้องเป็น 8.5.12 ขึ้นไป
- PHP 8.4 → ต้องเป็น 8.4.27 ขึ้นไป
- PHP 8.3 → ต้องเป็น 8.3.36 ขึ้นไป
- PHP 8.2 → ต้องเป็น 8.2.35 ขึ้นไป (และสายนี้จะหมดอายุการดูแลวันที่ 31 ธันวาคม 2026)
- PHP 8.1 และเก่ากว่า → ไม่มีเวอร์ชันแก้ไขอย่างเป็นทางการ เพราะหมดอายุการดูแลไปแล้ว
ข้อสังเกตสำคัญคือ ไม่จำเป็นต้องย้ายไป PHP 8.5 อย่างที่บางข่าวเข้าใจผิด ถ้าเว็บใช้ 8.4 อยู่ แค่อัปเป็น 8.4.27 ก็ปลอดภัยจากช่องโหว่นี้แล้ว ตัวเลขหลังจุดสุดท้าย (เลขแพตช์) สำคัญกว่าเลขเวอร์ชันหลัก
เว็บของคุณได้รับผลกระทบไหม
เว็บที่น่าจะได้รับผลกระทบ คือเว็บที่ทำงานด้วย PHP เช่น WordPress, WooCommerce, Joomla, Laravel หรือเว็บที่รันบนโฮสติ้งที่มีแผงควบคุมอย่าง cPanel หรือ DirectAdmin ส่วนเว็บที่เป็นไฟล์ HTML ล้วน หรือใช้แพลตฟอร์มสำเร็จรูปที่ไม่ได้ดูแลเซิร์ฟเวอร์เอง มักไม่ต้องทำอะไร เพราะผู้ให้บริการจัดการให้
สำหรับคนใช้ WordPress มีรายงานว่าทาง WordPress.org ยืนยันว่าไม่ต้องอัปเดตตัว WordPress สำหรับกรณีนี้ เพราะปัญหาอยู่ที่ตัว PHP บนเซิร์ฟเวอร์ ไม่ใช่ที่ WordPress
อีกเรื่องที่ควรรู้คือ ผู้ให้บริการโฮสติ้งบางรายใส่แพตช์ให้แล้วแต่เลขเวอร์ชันยังแสดงเป็นเลขเดิม เช่นยังขึ้น 8.4.26 ทั้งที่แก้แล้ว วิธีเช็คที่แม่นกว่าคือดูวันที่ build ของ PHP หรือสอบถามผู้ให้บริการโดยตรง
5 สิ่งที่เจ้าของเว็บ SME ควรทำตอนนี้
- เช็คว่าเว็บใช้ PHP เวอร์ชันอะไร ดูได้จากแผงควบคุมโฮสติ้ง (เมนู Select PHP Version หรือ PHP Selector) หรือถามคนที่ดูแลเว็บ
- เปิด ticket ถามโฮสติ้งทันที ว่าอัปเดตแก้ CVE-2026-109618 และ CVE-2026-109619 แล้วหรือยัง ถ้าใช้ shared hosting เจ้าของเว็บอัป PHP เองไม่ได้ ต้องให้โฮสต์เป็นคนทำ
- อย่าพึ่งแค่การปรับตั้งค่าชั่วคราว PHP แนะนำวิธีบรรเทา เช่น ปิด session.upload_progress หรือลดขนาด post_max_size แต่ยืนยันเองว่าไม่มีวิธีไหนทำให้ปลอดภัยได้ทั้งหมด ทางเดียวที่ปิดช่องโหว่ได้ครบคือการอัปเดต
- ถ้ายังใช้ PHP 8.1 หรือเก่ากว่า ให้วางแผนย้ายเวอร์ชันโดยด่วน เพราะจะไม่มีแพตช์ความปลอดภัยออกมาอีก ควรทดสอบเว็บบนเวอร์ชันใหม่ก่อนสลับจริง เพราะโค้ดเก่าบางส่วนอาจใช้ไม่ได้
- สำรองข้อมูลให้พร้อม ตรวจว่ามี backup ไฟล์และฐานข้อมูลล่าสุด เก็บไว้นอกเซิร์ฟเวอร์ ถ้าเกิดเหตุจะได้กู้คืนได้เร็ว
บทเรียนระยะยาว: เว็บไม่ใช่ทำครั้งเดียวจบ
เหตุการณ์นี้ย้ำว่าเว็บไซต์ต้องมีคนดูแลต่อเนื่อง เหมือนรถที่ต้องเข้าศูนย์ตามระยะ ซอฟต์แวร์ทุกตัวมีช่องโหว่ใหม่ถูกค้นพบได้เสมอ สิ่งที่แยกเว็บที่รอดกับเว็บที่โดนเจาะคือความเร็วในการอัปเดต
ธุรกิจที่ไม่มีทีมไอทีเป็นของตัวเองควรมีอย่างน้อย 3 อย่าง ได้แก่ ผู้ดูแลเว็บที่ติดต่อได้เมื่อมีข่าวแบบนี้, โฮสติ้งที่อัปเดตความปลอดภัยสม่ำเสมอ และระบบสำรองข้อมูลอัตโนมัติ ค่าใช้จ่ายส่วนนี้น้อยกว่าความเสียหายจากการถูกเจาะหลายเท่า
ถ้าไม่แน่ใจว่าเว็บของคุณปลอดภัยหรือยัง หรืออยากให้มีคนช่วยดูแลอัปเดตเว็บอย่างสม่ำเสมอ ทีม WeDevPlus ยินดีช่วยตรวจสอบให้ ติดต่อเรา ได้เลย
ที่มา: ประกาศของ CISA และ ประกาศ PHP 8.5.12 จาก php.net