เกาหลีใต้เร่งให้ผู้ใช้ PHP อัปเดต หลังพบช่องโหว่ 2 จุดและเกิดมาตรการรับมือด้านความปลอดภัยทั่วโลก

เร่งแก้ไขช่องโหว่ 2 จุดในซอฟต์แวร์เว็บที่มีผู้ใช้อย่างแพร่หลาย

สำนักงานความมั่นคงทางอินเทอร์เน็ตและสารสนเทศเกาหลีใต้ (KISA) เรียกร้องให้ผู้ดูแลเว็บไซต์อัปเดต PHP เมื่อวันที่ 21 ตุลาคม 2026 หลังพบช่องโหว่ด้านความปลอดภัย 2 จุดในซอฟต์แวร์ที่ใช้ดูแลระบบล็อกอิน บริการซื้อขายสินค้า และกระดานสนทนา ความเสี่ยงที่มีการรายงานรวมถึงการที่ผู้โจมตีสามารถสั่งให้เซิร์ฟเวอร์ทำงานตามคำสั่งได้โดยไม่ต้องล็อกอินก่อน

KISA ระบุช่องโหว่ดังกล่าวเป็น CVE-2026-109618 ซึ่งเกี่ยวข้องกับการจัดการเงื่อนไขผิดปกติที่ไม่เหมาะสม และ CVE-2026-109619 ซึ่งเกี่ยวข้องกับการใช้งานหน่วยความจำหลังจากมีการคืนหน่วยความจำนั้นแล้ว เกณฑ์เวอร์ชันที่ต้องอัปเดตครอบคลุม PHP 4 สาย ได้แก่ 8.2.35, 8.3.36, 8.4.27 และ 8.5.12

กระทรวงวิทยาศาสตร์และไอซีทีของเกาหลีใต้กับ KISA ส่งคำขอด้านความปลอดภัยไปยังธุรกิจและสถาบันในเครือข่ายความมั่นคงปลอดภัยไซเบอร์ระดับชาติในคืนวันที่ 21 ตุลาคม หน่วยงานรัฐบาลเปิดเผยการดำเนินการดังกล่าวเมื่อวันที่ 22 ตุลาคม ขณะเดียวกันกำลังพิจารณาให้ความช่วยเหลือฉุกเฉินแก่ธุรกิจขนาดเล็กในการติดตั้งแพตช์

ช่องโหว่ทั้งสองซึ่งเรียกรวมกันว่า PHP2Shell ทำให้เกิดการตอบสนองในระดับนานาชาติ มีรายงานว่าสถาบันรัฐบาลบางแห่งในเนเธอร์แลนด์และฟินแลนด์ระงับเว็บไซต์ไว้เป็นการชั่วคราวเพื่อป้องกันความเสี่ยง ขณะที่หน่วยงานความมั่นคงปลอดภัยไซเบอร์ในยุโรป ญี่ปุ่น และออสเตรเลียเรียกร้องให้อัปเดต หน่วยงานสหรัฐฯ ยังมีรายงานว่าแนะนำให้ปิดระบบที่ได้รับผลกระทบ หากไม่สามารถติดตั้งแพตช์ได้ทันที

PHP เวอร์ชันใดที่ต้องตรวจสอบ?

คำแนะนำของ KISA กำหนดเวอร์ชันขั้นต่ำที่แตกต่างกันสำหรับ PHP แต่ละสาย สายเวอร์ชันหมายถึงกลุ่มรุ่นย่อย เช่น เว็บไซต์ที่ใช้ PHP 8.3 ต้องอัปเดตเป็นรุ่นที่แก้ไขแล้วในสายดังกล่าว หรือเปลี่ยนไปใช้เวอร์ชันที่ใหม่กว่าและยังได้รับการสนับสนุนอย่างเหมาะสม

• PHP 8.2: อัปเดตเวอร์ชันที่เก่ากว่า 8.2.35
• PHP 8.3: อัปเดตเวอร์ชันที่เก่ากว่า 8.3.36
• PHP 8.4: อัปเดตเวอร์ชันที่เก่ากว่า 8.4.27
• PHP 8.5: อัปเดตเวอร์ชันที่เก่ากว่า 8.5.12

KISA เตือนด้วยว่า PHP 8.1 และเวอร์ชันก่อนหน้านั้นสิ้นสุดระยะเวลารับการสนับสนุนด้านความปลอดภัยอย่างเป็นทางการแล้ว ผู้ดูแลระบบที่ใช้รุ่นเหล่านี้ได้รับคำแนะนำให้เปลี่ยนไปใช้เวอร์ชันที่ยังได้รับการสนับสนุน แทนการใช้ซอฟต์แวร์ที่ยุติการบำรุงรักษาด้านความปลอดภัยอย่างเป็นทางการแล้วต่อไป

สำหรับเจ้าของธุรกิจ จุดเริ่มต้นที่ควรลงมือคือการตรวจสอบ PHP เวอร์ชันที่ทำงานอยู่บนเซิร์ฟเวอร์ของเว็บไซต์ บริษัทผู้ให้บริการโฮสติ้งอาจเป็นผู้ดูแลซอฟต์แวร์ดังกล่าว หรือความรับผิดชอบอาจอยู่กับทีมเทคโนโลยีภายในองค์กร การอัปเดตเบราว์เซอร์บนแล็ปท็อปเป็นการเปลี่ยนซอฟต์แวร์คนละส่วนกัน

ช่องโหว่ทั้งสองอาจเปิดทางให้ทำอะไรได้บ้าง

CVE-2026-109618 เกี่ยวข้องกับเงื่อนไขผิดปกติ ซึ่งหมายถึงสถานการณ์ที่ซอฟต์แวร์พบสิ่งที่อยู่นอกเหนือการทำงานตามปกติ โปรแกรมจำเป็นต้องจัดการสถานการณ์เหล่านี้อย่างปลอดภัย หากจัดการผิดพลาด ซอฟต์แวร์อาจทำงานในลักษณะที่ไม่คาดหมาย

CVE-2026-109619 ถูกระบุว่าเป็นช่องโหว่ use after free ซอฟต์แวร์จะจองพื้นที่ในหน่วยความจำคอมพิวเตอร์ไว้ชั่วคราว และคืนพื้นที่ดังกล่าวเมื่อใช้งานเสร็จ ช่องโหว่ประเภทนี้เกิดขึ้นเมื่อโปรแกรมพยายามใช้พื้นที่ที่คืนไปแล้ว ซึ่งอาจทำให้เข้าถึงข้อมูลที่เปลี่ยนแปลงไปหรือเป็นของการทำงานอื่น

ความเสี่ยงที่มีการรายงานคือการสั่งรันโค้ดจากระยะไกลโดยไม่ต้องผ่านการยืนยันตัวตน กล่าวอย่างง่ายคือ บุคคลภายนอกอาจทำให้เซิร์ฟเวอร์ของเว็บไซต์รันคำสั่งได้ โดยไม่ต้องใช้ชื่อผู้ใช้หรือรหัสผ่านที่ถูกต้อง หากโจมตีสำเร็จ อาจเปิดเผยข้อมูล ติดตั้งซอฟต์แวร์อันตราย หรือทำให้บริการหยุดชะงัก

ประกาศที่เผยแพร่ต่อสาธารณะไม่ได้ระบุการตั้งค่าเซิร์ฟเวอร์และเงื่อนไขของคำขอที่แน่ชัดซึ่งจำเป็นต่อการใช้ประโยชน์จากช่องโหว่แต่ละจุด ผู้ดูแลระบบจึงควรตรวจสอบเวอร์ชันของซอฟต์แวร์ที่ได้รับผลกระทบ และขอคำแนะนำทางเทคนิคให้เหมาะกับระบบที่ตนใช้งาน

เหตุใด WordPress จึงทำให้ปัญหานี้เกี่ยวข้องกับธุรกิจทั่วไป

PHP ทำงานบนเซิร์ฟเวอร์ของเว็บไซต์ ไม่ได้ทำงานบนโทรศัพท์หรือคอมพิวเตอร์ของผู้เข้าชม เมื่อผู้ซื้อขอดูประวัติคำสั่งซื้อ โปรแกรม PHP อาจดึงข้อมูลที่เกี่ยวข้องจากฐานข้อมูลและจัดเตรียมหน้าเว็บเพื่อส่งกลับไปยังเบราว์เซอร์ ระบบล็อกอิน ความคิดเห็น และกระดานข้อความก็ทำงานในลักษณะเดียวกันได้

WordPress ซึ่งมีเครื่องมือสำหรับสร้างและจัดการเว็บไซต์ ก็ทำงานบน PHP เช่นกัน นั่นทำให้มาตรการรับมือด้านความปลอดภัยนี้เกี่ยวข้องกับบล็อก เว็บไซต์บริษัท และร้านค้าออนไลน์ที่เจ้าของอาจแทบไม่เคยต้องจัดการกับภาษาโปรแกรมที่อยู่เบื้องหลังโดยตรง

ข้อมูลที่อ้างอิงจาก W3Techs ซึ่งเป็นบริการวัดการใช้เทคโนโลยีเว็บระบุว่า PHP ถูกใช้กับเว็บไซต์ประมาณ 75% ในกลุ่มเว็บไซต์ที่สามารถระบุภาษาโปรแกรมฝั่งเซิร์ฟเวอร์ได้ ส่วน WordPress ใช้กับเว็บไซต์ทั้งหมดประมาณ 43% ตัวเลขการใช้ PHP ครอบคลุมกลุ่มที่แคบกว่าตัวเลขของ WordPress คือเฉพาะเว็บไซต์ที่ระบุภาษาเซิร์ฟเวอร์ได้ ไม่ใช่เว็บไซต์ทั้งหมด

ตัวเลขเหล่านี้ช่วยอธิบายว่าเหตุใดการตอบสนองจึงครอบคลุมเป็นวงกว้าง เว็บไซต์จำนวนมากที่มีผู้ดูแลแยกจากกันพึ่งพาซอฟต์แวร์พื้นฐานเดียวกัน ดังนั้นการรณรงค์แก้ไขครั้งเดียวจึงเกี่ยวข้องกับสถาบันภาครัฐ บริษัทขนาดใหญ่ และธุรกิจขนาดเล็กพร้อมกัน

เกาหลีใต้ติดต่อธุรกิจผ่านช่องทางด้านความปลอดภัย 2 ช่องทาง

กระทรวงวิทยาศาสตร์และไอซีทีกับ KISA ส่งคำขอเมื่อวันที่ 21 ตุลาคมไปยังสมาชิก C-TAS ซึ่งเป็นระบบวิเคราะห์และแบ่งปันข้อมูลภัยคุกคามทางไซเบอร์ และบริษัทที่มีหน้าที่ต้องจดทะเบียนหัวหน้าเจ้าหน้าที่รักษาความมั่นคงปลอดภัยสารสนเทศ หรือ CISO

C-TAS มีบริษัทและสถาบันเข้าร่วมประมาณ 5,900 แห่ง ส่วนบริษัทประมาณ 30,000 แห่งมีหน้าที่ตามกฎหมายเครือข่ายสารสนเทศและการสื่อสารของเกาหลีใต้ในการแต่งตั้ง CISO และแจ้งต่อกระทรวง CISO คือเจ้าหน้าที่ระดับสูงที่รับผิดชอบด้านความมั่นคงปลอดภัยสารสนเทศขององค์กร

ตัวเลขทั้งสองหมายถึงกลุ่มเป้าหมายการติดต่อที่แตกต่างกัน แต่อาจมีสมาชิกซ้ำกันได้ รัฐบาลยังใช้พอร์ทัลความมั่นคงปลอดภัยไซเบอร์สาธารณะของ KISA ที่เรียกว่า Boho Nara เพื่อแนะนำให้อัปเดตระบบความปลอดภัยและติดตั้งแพตช์

ธุรกิจขนาดเล็กเผชิญปัญหาด้านบุคลากรในทางปฏิบัติ บางแห่งไม่มีพนักงานที่สามารถตรวจหาการติดตั้งซอฟต์แวร์ที่ได้รับผลกระทบ ประสานงานการอัปเดต และตรวจสอบว่าเว็บไซต์ยังทำงานได้ตามปกติหลังจากนั้น เจ้าหน้าที่กระทรวงรายหนึ่งกล่าวว่า รัฐบาลได้เผยแพร่คำแนะนำด้านความปลอดภัยไปก่อนแล้ว และกำลังพิจารณาความช่วยเหลือฉุกเฉินในการติดตั้งแพตช์ แต่ยังไม่มีการประกาศวันเริ่มให้ความช่วยเหลือหรือหลักเกณฑ์ผู้มีสิทธิ์

พัฒนาการของการตอบสนอง

ลำดับเหตุการณ์ที่มีการรายงานเริ่มจากการตรวจสอบความปลอดภัยโดยหน่วยงานภายนอกในปี 2024 และนำไปสู่การเร่งเผยแพร่แพตช์แก้ไขในเดือนตุลาคม 2026 วันสำคัญมีดังนี้

• 2024: มีรายงานว่าการตรวจสอบจากภายนอกพบสัญญาณของข้อบกพร่องบางประการ โดยมีการระบุว่าความเห็นที่ไม่ตรงกันภายในและข้อกังวลเรื่องความเข้ากันได้กับซอฟต์แวร์เดิมเป็นเหตุให้การพัฒนาแพตช์ไม่ได้ดำเนินการในเวลานั้น
• 21 ตุลาคม 2026: มีรายงานว่านักพัฒนา PHP เผยแพร่แพตช์แก้ช่องโหว่ 2 จุด และ KISA ออกคำแนะนำให้อัปเดต
• คืนวันที่ 21 ตุลาคม: หน่วยงานเกาหลีใต้ส่งคำขอด้านความปลอดภัยผ่านช่องทางธุรกิจและสถาบัน
• 22 ตุลาคม: หน่วยงานเกาหลีใต้เปิดเผยการดำเนินการดังกล่าว ซึ่งตรงกับวันที่วางแผนเผยแพร่แพตช์ไว้แต่แรก

มีรายงานว่าเลื่อนเผยแพร่แพตช์ให้เร็วขึ้นหนึ่งวัน หลังข้อมูลเกี่ยวกับช่องโหว่รั่วไหล นอกจากนี้ยังมีรายงานว่าตรวจพบความพยายามโจมตีก่อนที่แพตช์จะเผยแพร่ต่อสาธารณะ ยิ่งเพิ่มแรงกดดันให้ผู้ดูแลระบบเร่งดำเนินการ

รายงานการตรวจสอบในปี 2024 ยังชี้ให้เห็นความท้าทายในการบำรุงรักษาด้วย การเปลี่ยนแปลงซอฟต์แวร์ที่ใช้ร่วมกันอาจส่งผลต่อแอปพลิเคชันที่สร้างขึ้นโดยอาศัยพฤติกรรมเดิมของซอฟต์แวร์ ข้อกังวลเรื่องความเข้ากันได้อาจทำให้การประสานงานแก้ไขทำได้ยากขึ้น โดยเฉพาะเมื่อภาษาโปรแกรมนั้นรองรับเว็บไซต์และรูปแบบการให้บริการโฮสติ้งที่หลากหลาย

การค้นพบด้วย AI และงานวิจัยด้านความปลอดภัยอิสระ

มีรายงานว่าบริษัทความมั่นคงปลอดภัยไซเบอร์ Calif ระบุช่องโหว่เหล่านี้โดยใช้โมเดลของ OpenAI ที่เรียกว่า GPT-5.6 Sol โดยมีการระบุว่าข้อบกพร่องดังกล่าวหลุดรอดการตรวจพบมานานกว่าทศวรรษ

มีรายงานว่า Wiz บริษัทความมั่นคงปลอดภัยไซเบอร์ในเครือ Google ค้นพบและยื่นรายงานช่องโหว่ทั้งสองแยกกัน Ami Luttwak ผู้ร่วมก่อตั้ง Wiz ระบุว่า ช่องโหว่เหล่านี้ร้ายแรงที่สุดเท่าที่เคยค้นพบด้วย AI และกล่าวว่าความซับซ้อนของช่องโหว่ทำให้การค้นพบเป็นเรื่องยากอย่างยิ่งหากไม่มี AI

OpenAI ระบุว่าในช่วงสองเดือนก่อนหน้านั้น บริษัทได้ประสานงานกับนักวิจัยและบริษัทด้านความมั่นคงปลอดภัยไซเบอร์เพื่อสนับสนุนการรับมือ และคาดการณ์ว่าการค้นพบช่องโหว่ลักษณะเดียวกันด้วย AI จะเพิ่มขึ้นอย่างรวดเร็วในช่วงหลายเดือนถัดไป

สิ่งที่ผู้ดูแลเว็บไซต์ต้องทำในตอนนี้ยังเป็นงานที่ชัดเจน ได้แก่ ตรวจสอบซอฟต์แวร์ที่ติดตั้ง ใช้แพตช์แก้ไขที่เหมาะสม และดูแลให้บริการทำงานต่อไป การใช้ AI เพื่อค้นหาช่องโหว่เป็นอีกแง่มุมหนึ่งของเรื่องนี้ นอกเหนือจากงานวิจัยอิสระ การประสานงานของนักพัฒนา และการเผยแพร่แพตช์

เหตุใดบางหน่วยงานจึงแนะนำให้ปิดเว็บไซต์ชั่วคราว

มีรายงานว่าสำนักงานความมั่นคงแห่งชาติสหรัฐฯ แนะนำให้องค์กรที่ใช้ PHP อัปเดตทันที พร้อมเตือนว่าการใช้ประโยชน์จากช่องโหว่อาจทำให้ผู้โจมตีเข้าถึงระบบไฟล์หรือฐานข้อมูลของเซิร์ฟเวอร์ได้ สำนักงานฯ แนะนำให้ปิดระบบที่ได้รับผลกระทบจนกว่าจะแก้ไขช่องโหว่ หากไม่สามารถอัปเดตได้ทันที

มีรายงานว่า FBI ให้คำแนะนำในลักษณะเดียวกัน โดยเตือนถึงความเสี่ยงในการสั่งรันโค้ดจากระยะไกลและการเปิดเผยข้อมูลอ่อนไหวรวมถึงเครือข่าย สถาบันรัฐบาลบางแห่งในเนเธอร์แลนด์และฟินแลนด์ระงับเว็บไซต์เพื่อป้องกันความเสี่ยง

การปิดเว็บไซต์มีต้นทุนที่เกิดขึ้นทันที คือผู้เข้าชมไม่สามารถใช้บริการได้ สำหรับร้านค้าอาจหมายถึงการขายที่หยุดชะงัก ส่วนสถาบันภาครัฐอาจทำให้ข้อมูลหรือแบบฟอร์มออนไลน์เข้าใช้งานไม่ได้ คำแนะนำดังกล่าวสะท้อนความร้ายแรงของการปล่อยให้เซิร์ฟเวอร์ที่เสี่ยงยังเชื่อมต่อได้ระหว่างรอการแก้ไข

Cloudflare ระบุว่ากำลังปรับปรุงมาตรการป้องกันให้สอดคล้องกับช่องทางการโจมตี ผู้ดูแลเว็บไซต์ยังได้รับคำแนะนำให้ติดตั้งแพตช์ PHP เพื่ออัปเดตซอฟต์แวร์พื้นฐานให้เป็นเวอร์ชันที่ระบุไว้ในการรับมือด้านความปลอดภัย

สิ่งที่ผู้ดูแลระบบควรทำในตอนนี้

ผู้ดูแลเว็บไซต์ควรตรวจสอบว่าใครเป็นผู้ควบคุมการติดตั้ง PHP และเปรียบเทียบเวอร์ชันที่ใช้อยู่กับเกณฑ์ที่ KISA ระบุ องค์กรที่ใช้ผู้ให้บริการโฮสติ้งควรให้ผู้ให้บริการยืนยันเวอร์ชันของเซิร์ฟเวอร์และแผนการอัปเดต ส่วนทีมที่ดูแลเซิร์ฟเวอร์เองต้องดำเนินการเปลี่ยนแปลงโดยตรง

ธุรกิจที่ใช้ WordPress ควรรวม PHP runtime ไว้ในการตรวจสอบควบคู่กับการบำรุงรักษาเว็บไซต์ตามปกติ PHP เป็นซอฟต์แวร์อีกชั้นหนึ่งที่อยู่ใต้ระบบจัดการเนื้อหา ดังนั้นการทราบเพียงเวอร์ชัน WordPress ยังไม่ครอบคลุมการติดตั้งทั้งหมด

ผู้ดูแลระบบที่ใช้ PHP 8.1 หรือเวอร์ชันก่อนหน้าจำเป็นต้องเปลี่ยนไปใช้รุ่นที่ยังได้รับการสนับสนุน ส่วนผู้ที่ใช้สายเวอร์ชันที่ได้รับผลกระทบอยู่แล้วต้องอัปเดตเป็นรุ่นที่แก้ไขแล้ว หรือเปลี่ยนไปใช้เวอร์ชันที่ใหม่กว่าและยังได้รับการสนับสนุนอย่างเหมาะสม การทดสอบฟังก์ชันสำคัญ เช่น การล็อกอินของลูกค้า การเรียกดูคำสั่งซื้อ และการชำระเงิน จะช่วยให้พบปัญหาการให้บริการระหว่างอัปเดต

ประเด็นสำคัญ

• KISA ออกคำแนะนำด้านความปลอดภัยให้อัปเดต PHP เมื่อวันที่ 21 ตุลาคม 2026 โดยระบุ CVE-2026-109618 และ CVE-2026-109619
• เวอร์ชันขั้นต่ำที่ระบุให้ใช้อัปเดตคือ PHP 8.2.35, 8.3.36, 8.4.27 และ 8.5.12
• KISA แนะนำให้ผู้ใช้ PHP 8.1 และเวอร์ชันก่อนหน้าเปลี่ยนไปใช้เวอร์ชันที่ยังได้รับการสนับสนุน
• ความเสี่ยงที่มีการรายงานรวมถึงผู้โจมตีสามารถสั่งรันโค้ดจากระยะไกลได้โดยไม่ต้องล็อกอิน
• เกาหลีใต้ติดต่อสมาชิกเครือข่ายด้านความปลอดภัยและบริษัทที่มีหน้าที่แต่งตั้ง CISO
• รัฐบาลเกาหลีใต้กำลังพิจารณาให้ความช่วยเหลือฉุกเฉินด้านการติดตั้งแพตช์แก่ธุรกิจขนาดเล็ก
• หน่วยงานต่างประเทศเรียกร้องให้อัปเดต โดยบางแห่งแนะนำให้ปิดระบบชั่วคราวหากไม่สามารถติดตั้งแพตช์ได้ทันที