เว็บไซต์ทั่วโลกเสี่ยง! พบช่องโหว่ PHP ระดับวิกฤต 2 จุด ต้องรีบอัปเดต

PHP เป็นภาษาที่ใช้พัฒนาเว็บไซต์และเว็บแอปพลิเคชันจำนวนมาก ตั้งแต่เว็บไซต์ธุรกิจ ระบบจัดการข้อมูล ไปจนถึงระบบหลังบ้านของบริการออนไลน์ เมื่อวันที่ 21 ตุลาคม 2026 ทีมพัฒนา PHP ได้ประกาศอัปเดตความปลอดภัย เพื่อแก้ไขช่องโหว่ระดับวิกฤต 2 รายการ ซึ่งอาจทำให้ผู้โจมตีจากระยะไกล สามารถรันโค้ดบนเซิร์ฟเวอร์ที่มีช่องโหว่ได้โดยไม่ต้องเข้าสู่ระบบก่อน

ต่อมาในวันที่ 23 ตุลาคม 2026 มีการเผยแพร่ข้อมูลเพิ่มเติมเกี่ยวกับ ช่องโหว่ Remote Code Execution อีกหนึ่งรายการที่เกี่ยวข้องกับการตั้งค่า Session ในรูปแบบเฉพาะ แม้เงื่อนไขการเกิดปัญหาจะไม่ใช่รูปแบบที่พบได้ทั่วไป แต่ผู้ดูแลเว็บไซต์และระบบ IT ควรตรวจสอบเวอร์ชันและการตั้งค่าที่ใช้งานจริง

สรุปข่าวช่องโหว่ PHP เดือนตุลาคม 2026

ทีมพัฒนา PHP ประกาศอัปเดตความปลอดภัยเมื่อวันที่ 21 ตุลาคม 2026 เพื่อแก้ไขช่องโหว่ระดับ Critical สองรายการ ได้แก่ CVE-2026-109618 และ CVE-2026-109619 โดยแต่ละรายการมีคะแนนความรุนแรง CVSS v4.0 อยู่ที่ 9.2 จาก 10 และอาจนำไปสู่การรันโค้ดจากระยะไกลโดยไม่ต้องยืนยันตัวตน

หน่วยงานด้านความปลอดภัยทางไซเบอร์ได้แนะนำให้องค์กรตรวจสอบระบบ PHP ที่เปิดให้บริการผ่านอินเทอร์เน็ตและเร่งติดตั้งแพตช์ เนื่องจากมีรายงานการพยายามโจมตีและมีการเผยแพร่แนวทางทดสอบช่องโหว่ ทำให้ระบบที่ยังไม่ได้แก้ไขมีความเสี่ยงมากขึ้น

วันที่ 23 ตุลาคม 2026 ทีม PHP ยังเผยแพร่คำแนะนำเพิ่มเติมเกี่ยวกับ CVE-2026-115560 ซึ่งมีเงื่อนไขการเกิดปัญหาเฉพาะเจาะจง และมีคำแนะนำให้ปิดฟังก์ชัน Session Upload Progress ชั่วคราว จนกว่าจะมีการเผยแพร่รายละเอียดและการแก้ไขในรอบอัปเดตปกติ

แหล่งข้อมูล: PHP Official News Archive และ CERT-EU Security Advisory 2026-018

รู้จักช่องโหว่ PHP ทั้ง 2 รายการ

1. CVE-2026-109618: ปัญหาการจัดการหน่วยความจำเมื่อเกิด Out of Memory

ช่องโหว่นี้เกี่ยวข้องกับการจัดการหน่วยความจำในสถานการณ์ที่ PHP ทำงานเกินขีดจำกัดหรือเกิดภาวะ Out of Memory (OOM) ระหว่างประมวลผลคำขอ ข้อมูลภายในบางส่วนอาจยังอยู่ในสถานะที่เริ่มต้นไม่สมบูรณ์ แต่ขั้นตอนการจัดการข้อมูลเมื่อสิ้นสุดคำขออาจปฏิบัติต่อข้อมูลนั้นเสมือนว่าใช้งานได้ตามปกติ

ภายใต้เงื่อนไขที่เหมาะสม ข้อผิดพลาดนี้อาจนำไปสู่การจัดการหน่วยความจำที่ไม่ปลอดภัย และเปิดโอกาสให้ผู้โจมตีสั่งรันโค้ดจากระยะไกลได้ โดยช่องโหว่นี้ได้รับคะแนน CVSS v4.0 เท่ากับ 9.2

2. CVE-2026-109619: ปัญหาสถานะภายในที่ยังค้างหลังคืนหน่วยความจำ

ช่องโหว่นี้เกี่ยวข้องกับสถานะภายในของคำขอที่ยังคงอยู่ แม้หน่วยความจำที่เกี่ยวข้องจะถูกคืนไปแล้ว เช่น หลังเกิด Fatal Error คำขอถัดไปที่ทำงานบน Worker เดียวกันอาจนำสถานะที่ค้างอยู่ไปใช้ ก่อนที่ระบบจะเริ่มต้นข้อมูลใหม่อย่างถูกต้อง

ลักษณะดังกล่าวเกี่ยวข้องกับปัญหาประเภท Use-After-Free และอาจทำให้ผู้โจมตีที่ไม่ผ่านการยืนยันตัวตนสามารถรันโค้ดบนระบบเป้าหมายได้ หากเงื่อนไขของการโจมตีครบถ้วน

ทั้งสองรายการเป็นช่องโหว่ในตัว PHP เอง ไม่ได้จำกัดอยู่เฉพาะเว็บไซต์ที่ใช้ WordPress และไม่ได้หมายความว่าเว็บไซต์ทุกแห่งถูกเจาะระบบแล้ว แต่ระบบที่ใช้ PHP รุ่นซึ่งยังไม่ได้แก้ไขควรได้รับการตรวจสอบโดยเร็ว

ประกาศเพิ่มเติมวันที่ 23 ตุลาคม: CVE-2026-115560

วันที่ 23 ตุลาคม 2026 ทีม PHP เผยแพร่คำแนะนำเพิ่มเติมเกี่ยวกับ CVE-2026-115560 ซึ่งอาจทำให้เกิด Remote Code Execution (RCE) แต่ปัญหานี้เกิดได้ภายใต้การตั้งค่าและรูปแบบการเรียกใช้งานที่ผิดปกติ จึงถูกประเมินว่าเป็นกรณีที่มีโอกาสเกิดขึ้นค่อนข้างต่ำ

ตามคำอธิบายของทีม PHP แอปพลิเคชันต้องมีการตั้งค่า session.serialize_handler เป็น php_binary หรือ php_serialize แล้วเปลี่ยนเป็น php ขณะทำงานผ่าน ini_set() ก่อนเรียก session_start() และต้องเปิดใช้งาน Session Upload Progress อยู่ด้วย

สำหรับการลดความเสี่ยงเฉพาะกรณีนี้ PHP แนะนำให้ตั้งค่า session.upload_progress.enabled=0 จนกว่าจะมีการอัปเดตตามรอบปกติ โดยต้องตั้งค่าผ่านตำแหน่งที่มีผลจริง และตรวจสอบให้แน่ใจว่าการตั้งค่ามีผลกับ Worker ที่ให้บริการอยู่

อ่านประกาศต้นฉบับได้ที่ เว็บไซต์ทางการ PHP และ คำแนะนำด้านความปลอดภัยจาก CERT-EU

ระบบและ PHP เวอร์ชันใดได้รับผลกระทบ?

คำแนะนำจากโครงการ PHP ระบุว่าระบบ PHP ที่ให้บริการคำขอผ่านเว็บมีความเสี่ยง โดยสภาพแวดล้อมที่เกี่ยวข้องอาจรวมถึง PHP-FPM, Apache ที่ใช้ mod_php, php-cgi, FrankenPHP และ LiteSpeed

ทีม PHP ระบุว่าการติดตั้ง Apache แบบ mod_php เป็นรูปแบบที่มีความเสี่ยงสูงเป็นพิเศษ เนื่องจากมีการสาธิตการโจมตีที่สามารถเริ่มทำงานได้จากคำขอที่ไม่ได้ผ่านการยืนยันตัวตน ก่อนที่โค้ดแอปพลิเคชันจะเริ่มทำงาน

เวอร์ชันที่ควรตรวจสอบเป็นพิเศษ ได้แก่

• PHP 8.5 รุ่นก่อน 8.5.12
• PHP 8.4 รุ่นก่อน 8.4.27
• PHP 8.3 รุ่นก่อน 8.3.36
• PHP 8.2 รุ่นก่อน 8.2.35
• PHP 8.1 และเก่ากว่า ซึ่งอยู่ในกลุ่มที่สิ้นสุดการสนับสนุนจากโครงการ PHP แล้ว

เวอร์ชันที่สิ้นสุดการสนับสนุนอาจไม่มีแพตช์จากโครงการ PHP โดยตรง แต่ผู้ให้บริการ Linux หรือผู้ดูแลระบบระยะยาวบางรายอาจมีการ Backport แพตช์ จึงควรตรวจสอบสถานะจากผู้ดูแลแพ็กเกจที่ใช้งานจริง ไม่ควรพิจารณาจากเลขเวอร์ชันเพียงอย่างเดียว

PHP รุ่นใดมีอัปเดตแก้ไขช่องโหว่?

เมื่อวันที่ 21 ตุลาคม 2026 ทีม PHP ประกาศรุ่นที่แก้ไขช่องโหว่หลักทั้งสองรายการแล้ว โดยแนะนำให้ผู้ใช้งานอัปเดตทันทีตามรุ่นที่ตรงกับสายเวอร์ชันของระบบ

ตารางนี้แสดงรุ่นที่โครงการ PHP ประกาศแก้ไขช่องโหว่หลักสองรายการ ส่วน CVE-2026-115560 ที่มีประกาศวันที่ 23 ตุลาคม ควรดำเนินการตามคำแนะนำเพิ่มเติมของ PHP ควบคู่กันไป

สามารถตรวจสอบประกาศและดาวน์โหลดรุ่นที่เกี่ยวข้องได้จาก PHP Official News Archive ทั้งนี้ หากติดตั้ง PHP ผ่าน Linux Distribution หรือบริการ Managed Hosting ควรใช้แพ็กเกจที่ผู้ให้บริการรับรอง แทนการเปลี่ยนไฟล์ระบบด้วยตนเองโดยไม่ตรวจสอบความเข้ากันได้

ความเสี่ยงที่องค์กรและเว็บไซต์ต้องระวัง

หากผู้โจมตีใช้ช่องโหว่ได้สำเร็จ อาจสามารถรันโค้ดด้วยสิทธิ์ของ PHP Worker ซึ่งอาจกระทบข้อมูลและบริการที่ Worker นั้นเข้าถึงได้ ระดับความเสียหายจึงขึ้นอยู่กับสิทธิ์ของบัญชีที่รัน PHP การแยกระบบ การตั้งค่าเซิร์ฟเวอร์ และมาตรการควบคุมการเข้าถึงอื่น ๆ

• ข้อมูลเว็บไซต์: อาจเสี่ยงต่อการเข้าถึงหรือแก้ไขไฟล์ที่บัญชี PHP มีสิทธิ์ใช้งาน
• ฐานข้อมูล: ความเสี่ยงขึ้นอยู่กับสิทธิ์ฐานข้อมูลและข้อมูลเชื่อมต่อที่แอปพลิเคชันเข้าถึงได้
• ระบบหลังบ้าน: ระบบจัดการเนื้อหา ระบบสมาชิก และแอปพลิเคชันที่ทำงานบน PHP อาจได้รับผลกระทบ
• บริการที่เปิดสู่อินเทอร์เน็ต: ควรให้ความสำคัญเป็นลำดับแรก เนื่องจากสามารถถูกส่งคำขอจากภายนอกได้
• ซอฟต์แวร์ของบุคคลที่สาม: บางผลิตภัณฑ์อาจมี PHP ฝังอยู่ภายใน แม้ผู้ดูแลระบบจะไม่ได้ติดตั้ง PHP แยกเอง

การมีช่องโหว่ไม่ได้เป็นหลักฐานว่าเว็บไซต์ถูกเจาะระบบแล้ว แต่หากระบบยังใช้เวอร์ชันที่มีช่องโหว่ ควรรีบอัปเดตและตรวจสอบ Log เพื่อค้นหาสัญญาณผิดปกติ โดยเฉพาะระบบที่เปิดให้บริการจากอินเทอร์เน็ต

แนวทางรับมือและอัปเดต PHP

1. ตรวจสอบเวอร์ชัน PHP ที่ทำงานจริง

เริ่มจากตรวจสอบเวอร์ชัน PHP ของเว็บไซต์และแอปพลิเคชันที่อยู่ในความดูแล โดยต้องตรวจสอบให้ตรงกับสภาพแวดล้อมที่ให้บริการจริง เพราะ PHP ใน Command Line อาจเป็นคนละเวอร์ชันกับ PHP-FPM หรือเว็บเซิร์ฟเวอร์

ผู้ใช้ Shared Hosting สามารถตรวจสอบจากแผงควบคุมหรือสอบถามผู้ให้บริการ ส่วนผู้ดูแลเซิร์ฟเวอร์ควรตรวจสอบทั้งเวอร์ชันของแพ็กเกจและเวอร์ชันที่ Worker ใช้งาน

2. สำรองข้อมูลและวางแผนอัปเดต

ก่อนอัปเดตควรสำรองข้อมูลและตรวจสอบความเข้ากันได้ของแอปพลิเคชัน รวมถึงส่วนขยาย PHP และซอฟต์แวร์ที่เกี่ยวข้อง จากนั้นเลือกติดตั้งรุ่นที่แก้ไขช่องโหว่แล้วผ่านช่องทางที่ผู้ดูแลระบบรับรอง

3. ตรวจสอบประกาศจากผู้ให้บริการ

หากใช้แพ็กเกจ Linux หรือบริการโฮสติ้งที่มีผู้ดูแลระบบให้ ควรตรวจสอบว่ามีแพตช์พร้อมติดตั้งแล้วหรือไม่ และมีข้อกำหนดเฉพาะสำหรับการอัปเดตหรือการรีสตาร์ตบริการอย่างไร

4. จัดการ CVE-2026-115560 แยกจากการอัปเดตหลัก

หลังจัดการช่องโหว่หลักแล้ว ควรตรวจสอบคำแนะนำเพิ่มเติมของ PHP สำหรับ CVE-2026-115560 ด้วย โดยเฉพาะการตั้งค่า session.upload_progress.enabled=0 ซึ่งต้องกำหนดในตำแหน่งที่มีผลกับการประมวลผลคำขอจริง และรีสตาร์ต Worker ตามความจำเป็น

ไม่ควรคัดลอกการตั้งค่าจากระบบอื่นไปใช้ทันทีโดยไม่ประเมินผลกระทบ เพราะการเปลี่ยนค่า PHP อาจกระทบฟังก์ชันของเว็บไซต์ และควรทดสอบกับระบบที่เกี่ยวข้องก่อนใช้งานจริงเมื่อทำได้

5. ทดสอบเว็บไซต์และติดตามเหตุการณ์หลังอัปเดต

หลังติดตั้งแพตช์ ควรทดสอบการเข้าใช้งานเว็บไซต์ ระบบล็อกอิน การอัปโหลดไฟล์ การเชื่อมต่อฐานข้อมูล และฟังก์ชันสำคัญอื่น ๆ พร้อมตรวจสอบ Error Log และ Access Log เพื่อค้นหาความผิดปกติ

หากยังอัปเดตไม่ได้ ควรทำอย่างไร?

การอัปเดตเป็นแนวทางหลักในการแก้ไขช่องโหว่ มาตรการชั่วคราวช่วยลดความเสี่ยงได้เพียงบางเส้นทางการโจมตี และไม่ควรถือว่าเป็นการทำให้ระบบปลอดภัยเทียบเท่าการติดตั้งแพตช์

หากไม่สามารถอัปเดตได้ทันที ควรดำเนินการดังนี้

• ประเมินระบบที่เปิดสู่อินเทอร์เน็ต: จัดลำดับความสำคัญให้เว็บไซต์และบริการที่รับคำขอจากภายนอกก่อน
• จำกัดการเข้าถึงเมื่อจำเป็น: พิจารณาแยกระบบที่ยังไม่ได้แก้ไขออกจากเครือข่ายสาธารณะ ตามการประเมินความเสี่ยงและผลกระทบต่อธุรกิจ
• ปฏิบัติตามคำแนะนำทางการ: ใช้มาตรการชั่วคราวจาก PHP และผู้ให้บริการแพ็กเกจที่เกี่ยวข้อง โดยให้ผู้ดูแลระบบตรวจสอบการตั้งค่าก่อนเปลี่ยนแปลง
• ตรวจสอบ Log: เฝ้าระวังคำขอและพฤติกรรมที่ผิดปกติ รวมถึงตรวจสอบสัญญาณการบุกรุก
• กำหนดแผนแก้ไข: ระบุผู้รับผิดชอบ กำหนดเวลาอัปเดต และทดสอบการทำงานหลังแก้ไขให้ชัดเจน

สำหรับคำแนะนำทางเทคนิคเฉพาะช่องโหว่ ควรอ้างอิงประกาศจาก PHP และ CERT-EU โดยตรง เนื่องจากรายละเอียดการตั้งค่าและมาตรการบรรเทาความเสี่ยงอาจแตกต่างกันตามสภาพแวดล้อม

Checklist สำหรับผู้ดูแลเว็บไซต์และเซิร์ฟเวอร์

เพื่อช่วยให้การตรวจสอบเป็นระบบมากขึ้น ผู้ดูแลระบบสามารถใช้รายการต่อไปนี้ เป็นแนวทางเบื้องต้นสำหรับติดตามสถานะการแก้ไข

• ☐ สำรวจระบบ: ระบุเว็บไซต์ แอปพลิเคชัน เซิร์ฟเวอร์ และผลิตภัณฑ์ที่ใช้ PHP
• ☐ ตรวจสอบเวอร์ชัน: ตรวจสอบเวอร์ชันที่ทำงานจริง รวมถึง PHP-FPM และเว็บเซิร์ฟเวอร์ที่เกี่ยวข้อง
• ☐ ติดตั้งแพตช์: อัปเดตไปยังรุ่นที่แก้ไขช่องโหว่หลัก หรือใช้แพ็กเกจที่ผู้ให้บริการรับรอง
• ☐ ตรวจสอบช่องโหว่เพิ่มเติม: ประเมินการตั้งค่า Session ที่เกี่ยวข้องกับ CVE-2026-115560
• ☐ ทดสอบระบบ: ตรวจสอบการทำงานของเว็บไซต์ ระบบหลังบ้าน การอัปโหลดไฟล์ และฐานข้อมูล
• ☐ ตรวจสอบ Log: ค้นหาความผิดปกติและประเมินว่ามีสัญญาณการโจมตีหรือไม่
• ☐ บันทึกผล: จัดเก็บเวอร์ชันก่อนและหลังอัปเดต ผลทดสอบ และผู้รับผิดชอบการเปลี่ยนแปลง

สรุป: ทำไมจึงควรรีบตรวจสอบ PHP?

ช่องโหว่ PHP ที่ประกาศวันที่ 21 ตุลาคม 2026 จำนวนสองรายการ มีความรุนแรงระดับ Critical และอาจทำให้ผู้โจมตีรันโค้ดจากระยะไกลได้ โดยไม่ต้องยืนยันตัวตน ทีม PHP จึงได้เผยแพร่รุ่นแก้ไข ได้แก่ 8.5.12, 8.4.27, 8.3.36 และ 8.2.35

ข้อมูลเพิ่มเติมวันที่ 23 ตุลาคมเกี่ยวกับ CVE-2026-115560 ยังเป็นประเด็นที่ผู้ดูแลระบบควรติดตาม โดยเฉพาะแอปพลิเคชันที่มีการตั้งค่า Session ในรูปแบบเฉพาะ แม้เงื่อนไขจะไม่ใช่รูปแบบที่พบได้ทั่วไปก็ตาม

สิ่งสำคัญคืออย่ารอให้พบความผิดปกติก่อนจึงค่อยตรวจสอบ ควรสำรวจเวอร์ชัน PHP อัปเดตแพตช์ตามช่องทางที่ถูกต้อง ทดสอบการทำงานหลังแก้ไข และเฝ้าระวังระบบที่เปิดให้บริการจากอินเทอร์เน็ต

บริการ IT Infrastructure และ Network Security โดย J&P IT Solution

J&P IT Solution ให้บริการด้าน IT Infrastructure และ Network Security สำหรับองค์กร ครอบคลุมงานระบบเซิร์ฟเวอร์ เครือข่าย Firewall และการดูแลโครงสร้างพื้นฐาน IT ตามขอบเขตงานที่ตกลงร่วมกัน

สำหรับองค์กรที่ต้องการตรวจสอบความพร้อมของระบบเซิร์ฟเวอร์ หรือวางแผนปรับปรุงโครงสร้างพื้นฐานด้าน IT สามารถติดต่อเพื่อหารือรายละเอียดและประเมินแนวทางที่เหมาะสมกับสภาพแวดล้อมจริงได้