หน่วยงานของ EU แนะนำเว็บไซต์พิจารณาปิดระบบเนื่องจากช่องโหว่ใน PHP

ทีมรับมือเหตุฉุกเฉินทางไซเบอร์ของสหภาพยุโรปแนะนำเว็บไซต์ที่ไม่สามารถติดตั้งแพตช์สำหรับช่องโหว่ PHP ที่ร้ายแรงถึงสองรายการให้พิจารณาปิดเว็บไซต์ของตน การโจมตีช่องโหว่เหล่านี้สามารถทำให้ผู้โจมตีควบคุมเว็บเซิร์ฟเวอร์ได้โดยไม่ต้องผ่านการยืนยันตัวตน

PHP เป็นรากฐานของอินเทอร์เน็ตส่วนใหญ่ ขับเคลื่อนแพลตฟอร์มตั้งแต่บล็อก WordPress ไปจนถึงร้านค้าออนไลน์ Magento แต่รายละเอียดทางเทคนิคของช่องโหว่ทั้งสองถูกเปิดเผยต่อสาธารณะก่อนที่จะมีการออกแพตช์

ผู้โจมตีได้เปรียบก่อนใคร

ตามรายงานของ Huntress ข้อมูลรั่วไหลออกมาเมื่อวันที่ 20 ตุลาคม ก่อนกำหนดการประกาศ ทีมรักษาความปลอดภัยของ PHP Foundation จึงกำหนดเวลาปล่อยแพตช์เป็นวันที่ 21 ตุลาคม เวลา 14:00 UTC

ทีมรักษาความปลอดภัยของ PHP ขอแจ้งให้ทราบล่วงหน้า: การปล่อยอัปเดตความปลอดภัยที่กำลังจะมาถึงในวันพุธที่ 21 ตุลาคม 2026 เวลา 14:00 UTC ช่องโหว่ร้ายแรงสองรายการ ซึ่งทั้งคู่ได้รับการจัดอันดับที่ CVSSv4 9.2

ผู้ใช้ PHP ได้รับคำแนะนำให้เตรียมพร้อมอัปเดต จะปล่อยก่อนกำหนดหากมีรายละเอียดเผยแพร่สู่สาธารณะ หรือมีหลักฐานการโจมตีจริง

— The PHP Foundation (@ThePHPF) 20 ตุลาคม 2026

บริษัทด้านความปลอดภัย watchTowr สามารถจำลองหนึ่งในสองช่องโหว่ดังกล่าวได้สำเร็จ ตามรายงานของ Huntress โดย Huntress ตั้งข้อสังเกตว่ายังไม่พบการโจมตีในระบบของลูกค้าตน

อย่างไรก็ตาม Dane Knecht ประธานเจ้าหน้าที่ฝ่ายเทคโนโลยีของ Cloudflare ระบุว่าการโจมตีได้เริ่มแล้ว โดยบริษัทได้ใช้กฎไฟร์วอลล์ที่ครอบคลุมเวกเตอร์การโจมตีที่ระบุได้ทั้งหมดสำหรับลูกค้าทุกคน รวมถึงผู้ที่ใช้แผนฟรี

เรากำลังเห็นการโจมตีในระยะแรกเกิดขึ้น และกำลังอัปเดตมาตรการรับมือเมื่อมีเวกเตอร์ใหม่ปรากฏขึ้น นี่เป็นเพียงมาตรการชั่วคราวเท่านั้น

Knecht โพสต์คำเตือนดังกล่าวบน X

ทั้งทีมรับมือเหตุฉุกเฉินทางคอมพิวเตอร์ของสหภาพยุโรป (CERT-EU) และหน่วยงานไซเบอร์ของออสเตรเลียเตือนว่าช่องโหว่ของ PHP อาจส่งผลกระทบต่อทุกรุ่นนับตั้งแต่ PHP 5 ตามรายงานของสำนักข่าว Reuters

Huntress ตั้งข้อสังเกตว่านักวิจัยบางรายคาดว่าการอัปเดตจะมีเฉพาะสำหรับ PHP 8 ซึ่งเป็นรุ่นที่ยังได้รับการสนับสนุนอยู่ สถานการณ์นี้ทำให้เว็บไซต์ที่ใช้ PHP รุ่นเก่าที่ไม่ได้รับการสนับสนุนแล้วอาจไม่มีทางแก้ไขใดๆ

คำเตือนนี้มีขึ้นไม่กี่สัปดาห์หลังจากที่บริษัทกว่า 100 แแห่งได้เตือนว่าการโจมตีทางไซเบอร์ที่ขับเคลื่อนด้วย AI อาจเพิ่มขึ้นอย่างรุนแรงภายในไม่กี่เดือน

ช่องโหว่ PHP ส่งผลอย่างไรต่อเจ้าของเว็บไซต์

ตามข้อมูลของ W3Techs PHP ถูกใช้บนประมาณ 69% ของเว็บไซต์ที่สามารถระบุภาษาฝั่งเซิร์ฟเวอร์ได้ WordPress เพียงอย่างเดียวคิดเป็นประมาณ 40% ของเว็บไซต์ทั้งหมด

CERT-EU ระบุว่าระดับความรุนแรงที่ 9.2 บ่งชี้ถึงความสามารถในการเรียกใช้โค้ดจากระยะไกลโดยไม่ต้องผ่านการยืนยันตัวตน กล่าวอย่างง่ายๆ ผู้กระทำจากภายนอกสามารถเรียกใช้โค้ดที่เป็นอันตรายบนเซิร์ฟเวอร์โดยไม่ต้องมีข้อมูลประจำตัวสำหรับเข้าสู่ระบบ

ผู้ให้บริการเว็บโฮสติ้ง GoDaddy เตือนว่าผู้โจมตีอาจขโมยข้อมูล ทำลายเว็บไซต์ หรือเข้าควบคุมระบบทั้งหมด มูลค่าของข้อมูลที่ถูกขโมยนั้นเห็นได้ชัดจากการโจมตีธนาคารในเกาหลีใต้

Wordfence ปลั๊กอินด้านความปลอดภัย ชี้ให้เห็นว่าทุกเว็บไซต์ WordPress ทำงานบนเซิร์ฟเวอร์ PHP อย่างไรก็ตาม กลไกอัปเดตอัตโนมัติของ WordPress ไม่สามารถจัดการช่องโหว่ PHP เหล่านี้ได้ ดังนั้น เจ้าของเว็บไซต์ต้องพิจารณาว่าใครเป็นผู้รับผิดชอบในการจัดการ PHP ของตน

เหตุการณ์ที่มุ่งเป้าไปที่โครงสร้างพื้นฐานในชีวิตประจำวันยังคงเพิ่มขึ้น ดังตัวอย่างจากการแฮ็กตู้เย็นซูเปอร์มาร์เก็ตในฝรั่งเศสเมื่อเดือนตุลาคม ช่องโหว่ PHP เหล่านี้ได้ย้ายภัยคุกคามไปยังชั้นซอฟต์แวร์ที่เป็นรากฐานของเว็บส่วนใหญ่ ซึ่งการอัปเดตเซิร์ฟเวอร์ที่พลาดเพียงครั้งเดียวสามารถสร้างช่องทางให้โจมตีได้