เปิดเผย 2 ช่องโหว่ PHP ระดับวิกฤต เสี่ยงถูกโจมตีเพื่อรันโค้ดจากระยะไกล

เกิดอะไรขึ้น

เมื่อวันที่ 20 ตุลาคม 2569 มีการเผยแพร่ข้อมูลเกี่ยวกับช่องโหว่ PHP ระดับวิกฤต 2 รายการออกสู่สาธารณะ ก่อนกำหนดการเปิดเผยข้อมูลอย่างเป็นทางการ

ในวันเดียวกัน ทีมพัฒนา PHP ได้ประกาศการเตรียมเผยแพร่อัปเดตความปลอดภัยฉุกเฉิน เพื่อแก้ไขช่องโหว่ทั้งสองรายการ โดยกำหนดการเผยแพร่ไว้ในวันที่ 21 ตุลาคม 2569 เวลา 14:00 น. UTC พร้อมระบุระดับความรุนแรงของแต่ละช่องโหว่ที่ CVSS v4.0 9.2 คะแนน

จากการวิเคราะห์ของ CloudSEK พบว่าช่องโหว่ดังกล่าวอาจเกี่ยวข้องกับข้อผิดพลาดในการจัดการหน่วยความจำภายในฟังก์ชัน File-Upload Progress ของ PHP ซึ่งอาจถูกใช้เป็นช่องทางในการรันโค้ดที่เป็นอันตรายจากระยะไกล

อย่างไรก็ตาม ณ เวลาที่ CloudSEK จัดทำรายงาน ยังไม่มีการยืนยันเวอร์ชัน PHP ที่ได้รับผลกระทบอย่างเป็นทางการ และยังไม่พบหลักฐานยืนยันการโจมตีจริงจากแหล่งข้อมูลที่ตรวจสอบ

ระบบใดบ้างที่อาจได้รับผลกระทบ

รายงานของ CloudSEK ระบุว่าช่องโหว่ทั้งสองรายการเกี่ยวข้องกับ PHP Runtime ซึ่งเป็นส่วนประกอบหลักในการประมวลผลโค้ด PHP โดยตรง ไม่ได้เกิดจากปลั๊กอินหรือแอปพลิเคชันใดโดยเฉพาะ

ด้วยเหตุนี้ ระบบที่พัฒนาหรือทำงานบน PHP จึงอาจอยู่ในขอบเขตความเสี่ยง เช่น

• เว็บไซต์ที่ใช้ระบบ CMS: เช่น WordPress, Drupal, Joomla และ Magento
• แพลตฟอร์ม E-commerce: เว็บไซต์ซื้อขายสินค้าออนไลน์และระบบให้บริการลูกค้า
• เว็บแอปพลิเคชันขององค์กร: ระบบงานและแอปพลิเคชันที่พัฒนาด้วย PHP
• ระบบ Web Hosting และ Web Server: โดยเฉพาะระบบที่ให้บริการเว็บไซต์หลายแห่งบนโครงสร้างพื้นฐานร่วมกัน
• ระบบองค์กรและอุปกรณ์เฉพาะทาง: ที่มี PHP เป็นส่วนประกอบในการทำงาน

ระบบที่เปิดให้เข้าถึงผ่านอินเทอร์เน็ต (Internet-Facing Systems) เป็นกลุ่มที่ต้องให้ความสำคัญเป็นพิเศษ เนื่องจากผู้โจมตีอาจสามารถเข้าถึงฟังก์ชันที่มีช่องโหว่จากภายนอกเครือข่ายได้

อย่างไรก็ตาม เนื่องจากความเสี่ยงที่แท้จริงยังขึ้นอยู่กับเวอร์ชันและเงื่อนไขทางเทคนิคที่เกี่ยวข้อง การใช้งาน PHP ไม่ได้หมายความว่าระบบจะสามารถถูกโจมตีได้ทันที ยังต้องรอการยืนยันอย่างเป็นทางการจากทีมพัฒนา PHP

ช่องโหว่นี้ถูกใช้โจมตีได้อย่างไร

จากข้อมูลการวิจัยด้านความปลอดภัยที่ CloudSEK นำมาวิเคราะห์ ช่องโหว่ทั้งสองรายการอาจเกี่ยวข้องกับข้อผิดพลาดในการจัดการหน่วยความจำที่เรียกว่า Use-After-Free (UAF) ภายในฟังก์ชัน session.upload_progress ของ PHP

ฟังก์ชันดังกล่าวมีหน้าที่ติดตามสถานะและความคืบหน้าของการอัปโหลดไฟล์ โดยจะทำงานระหว่างที่ PHP ประมวลผลคำขออัปโหลด ก่อนที่โค้ดของเว็บแอปพลิเคชันจะเริ่มทำงาน

ข้อผิดพลาดที่มีการรายงานอาจทำให้ผู้โจมตีสามารถส่งคำขออัปโหลดไฟล์ที่ถูกสร้างขึ้นเป็นพิเศษ เพื่อกระตุ้นให้เกิดการเข้าถึงหน่วยความจำที่ถูกปล่อยคืนไปแล้ว ซึ่งอาจนำไปสู่ความเสียหายของข้อมูลในหน่วยความจำและการรันโค้ดโดยไม่ได้รับอนุญาต

หากการโจมตีสำเร็จ ผู้โจมตีอาจสามารถสั่งรันคำสั่งภายใต้สิทธิ์ของกระบวนการ PHP ที่ทำงานอยู่บนเซิร์ฟเวอร์ได้

CloudSEK ได้ตรวจสอบโค้ดต้นฉบับของ PHP และยืนยันว่ามีกลไกการทำงานบางส่วนที่สอดคล้องกับข้อมูลการวิจัยดังกล่าว อย่างไรก็ตาม กระบวนการโจมตีทั้งหมดและรายละเอียดของสาเหตุที่แท้จริงยังไม่ได้รับการยืนยันอย่างเป็นทางการจากทีมพัฒนา PHP ณ เวลาที่จัดทำรายงาน

ทำไมช่องโหว่นี้จึงสำคัญต่อธุรกิจ

หากผู้ไม่หวังดีสามารถใช้ประโยชน์จากช่องโหว่เหล่านี้ได้สำเร็จ อาจส่งผลกระทบต่อระบบสารสนเทศและการดำเนินธุรกิจในหลายด้าน ได้แก่

• ความเสี่ยงจากข้อมูลรั่วไหล (Data Breaches): ผู้โจมตีอาจเข้าถึงข้อมูลสำคัญขององค์กร ข้อมูลลูกค้า หรือข้อมูลสำหรับเชื่อมต่อฐานข้อมูลและแอปพลิเคชันโดยไม่ได้รับอนุญาต
• การเข้าควบคุมเซิร์ฟเวอร์ (Server Compromise): ผู้โจมตีอาจรันคำสั่งที่เป็นอันตราย หรือติดตั้ง Web Shell เพื่อสร้างช่องทางเข้าถึงระบบอย่างต่อเนื่อง
• การหยุดชะงักของธุรกิจ (Business Disruption): อาจเกิดการแก้ไขหน้าเว็บไซต์โดยไม่ได้รับอนุญาต (Website Defacement) การหยุดให้บริการ หรือการเปลี่ยนแปลงไฟล์และการตั้งค่าระบบ
• การขยายขอบเขตการโจมตี (Expanded Cyberattacks): ระบบ Shared Hosting หรือโครงสร้างพื้นฐานที่มีการแยกสิทธิ์ระหว่างเว็บไซต์ไม่รัดกุม อาจมีความเสี่ยงต่อการโจมตีขยายไปยังระบบอื่น

สำหรับองค์กรที่พึ่งพาเว็บไซต์และเว็บแอปพลิเคชันในการดำเนินธุรกิจ ช่องโหว่ลักษณะนี้สะท้อนถึงความสำคัญของการตรวจสอบความเสี่ยงและการเตรียมความพร้อมรับมือภัยคุกคามที่อาจเกิดขึ้นได้อย่างรวดเร็ว

องค์กรควรรับมืออย่างไร

CloudSEK แนะนำให้องค์กรดำเนินมาตรการลดความเสี่ยง พร้อมติดตามประกาศอัปเดตด้านความปลอดภัยจาก PHP อย่างใกล้ชิด ดังนี้

1. ตรวจสอบระบบที่ใช้งาน PHP

สำรวจเว็บไซต์ เว็บแอปพลิเคชัน API และโครงสร้างพื้นฐานที่ใช้ PHP โดยเฉพาะระบบที่เชื่อมต่ออินเทอร์เน็ต เพื่อตรวจสอบเวอร์ชันและการตั้งค่าของระบบที่อาจมีความเสี่ยง

2. อัปเดตแพตช์ความปลอดภัยโดยเร็วที่สุด

ติดตั้งแพตช์หรือเวอร์ชันที่ได้รับการยืนยันจากผู้พัฒนา PHP ว่าสามารถแก้ไขช่องโหว่ได้ โดยให้ความสำคัญกับระบบที่เปิดให้เข้าถึงจากอินเทอร์เน็ตและระบบที่มีความสำคัญต่อธุรกิจเป็นลำดับแรก

3. ปิดฟังก์ชัน Upload Progress หากไม่มีความจำเป็น

สำหรับระบบที่ไม่ได้ใช้งานฟังก์ชันติดตามความคืบหน้าการอัปโหลดไฟล์ สามารถพิจารณาปิดการทำงานผ่านการตั้งค่า

session.upload_progress.enabled = Off

ทั้งนี้ การตั้งค่าดังกล่าวเป็นเพียงมาตรการลดความเสี่ยงชั่วคราว และยังไม่มีการยืนยันว่าสามารถป้องกันช่องโหว่ทั้งสองรายการได้อย่างสมบูรณ์ จึงไม่สามารถใช้ทดแทนการติดตั้งแพตช์ความปลอดภัยได้

4. จำกัดการรับคำขออัปโหลดไฟล์ที่ไม่จำเป็น

กำหนดให้ระบบยอมรับคำขอแบบ multipart/form-data เฉพาะหน้าเว็บไซต์หรือ API Endpoint ที่จำเป็นต้องรองรับการอัปโหลดไฟล์จริง เพื่อลดช่องทางที่อาจถูกใช้ในการโจมตี

5. เพิ่มความเข้มงวดในการตรวจสอบและเฝ้าระวัง

ตรวจสอบกิจกรรมที่ผิดปกติ เช่น การทำงานของ PHP Process ที่เรียกใช้คำสั่งหรือโปรแกรมที่ไม่คาดคิด การหยุดทำงานของ PHP Worker อย่างผิดปกติ คำขออัปโหลดไฟล์ที่น่าสงสัย และการเปลี่ยนแปลงไฟล์ในระบบโดยไม่ได้รับอนุญาต

นอกจากนี้ องค์กรที่ยังใช้ PHP เวอร์ชันที่สิ้นสุดการสนับสนุน (End-of-Life) ควรพิจารณาจำกัดการเข้าถึงระบบหรือวางแผนอัปเกรดไปยังเวอร์ชันที่ยังได้รับการสนับสนุนด้านความปลอดภัย

รับมือภัยคุกคามไซเบอร์เชิงรุกด้วย CloudSEK managed by BMSP

การเปิดเผยช่องโหว่ CVE-2026-109618 และ CVE-2026-109619 แสดงให้เห็นว่าช่องโหว่ที่เกิดขึ้นกับเทคโนโลยีพื้นฐานซึ่งองค์กรใช้งานอย่างแพร่หลาย อาจก่อให้เกิดความเสี่ยงด้านความปลอดภัยไซเบอร์ได้ในวงกว้าง

สำหรับภาคธุรกิจ การรักษาความปลอดภัยไซเบอร์จำเป็นต้องอาศัยการติดตามภัยคุกคามที่เกิดขึ้นใหม่ การมองเห็นความเสี่ยงของสินทรัพย์ดิจิทัล และการประเมินผลกระทบที่อาจเกิดขึ้นกับองค์กรอย่างต่อเนื่อง

CloudSEK managed by BMSP ช่วยสนับสนุนการยกระดับความปลอดภัยไซเบอร์ขององค์กรจากการตั้งรับไปสู่การป้องกันเชิงรุก (Proactive Cybersecurity) ผ่านการใช้ข้อมูลข่าวกรองภัยคุกคาม (Threat Intelligence) และการมองเห็นความเสี่ยงที่เกี่ยวข้องกับสินทรัพย์ดิจิทัลขององค์กร (Digital Risk Visibility)

ด้วยการผสานความสามารถด้าน Threat Intelligence ของ CloudSEK เข้ากับความเชี่ยวชาญในการบริหารจัดการบริการด้านความปลอดภัยไซเบอร์ของ BMSP องค์กรสามารถเสริมประสิทธิภาพในการติดตามภัยคุกคามที่เกิดขึ้นใหม่ ประเมินความเสี่ยงที่อาจส่งผลกระทบต่อธุรกิจ และสนับสนุนการตัดสินใจด้านความปลอดภัยได้อย่างมีประสิทธิภาพมากยิ่งขึ้น

ในยุคที่ภัยคุกคามไซเบอร์พัฒนาและเปลี่ยนแปลงอย่างต่อเนื่อง การเข้าถึงข้อมูลภัยคุกคามที่รวดเร็วและการบริหารจัดการความเสี่ยงเชิงรุก ถือเป็นปัจจัยสำคัญในการปกป้องข้อมูล ระบบงาน และความต่อเนื่องในการดำเนินธุรกิจ

ปกป้องสินทรัพย์ดิจิทัลขององค์กร ก่อนที่ภัยคุกคามจะกลายเป็นเหตุการณ์โจมตีจริง

ติดต่อ BMSP เพื่อเรียนรู้เพิ่มเติมว่า CloudSEK managed by BMSP สามารถช่วยเสริมความแข็งแกร่งให้กับกลยุทธ์ด้านความปลอดภัยไซเบอร์ขององค์กรคุณได้อย่างไร

แหล่งอ้างอิง

CloudSEK Global Threat Intelligence (GTI) – CVE-2026-109618 and CVE-2026-109619: Remote Code Execution in PHP File-Upload Progress Functionality, 21 October 2026.