บริการ 1,090 แห่งในญี่ปุ่นหยุดให้บริการจากช่องโหว่ความปลอดภัย PHP ขณะทยอยกลับมาเปิดอย่างยากลำบาก

บริการหลายร้อยแห่งยังรอกลับมาเปิดให้บริการ

การรับมือของญี่ปุ่นต่อช่องโหว่ความปลอดภัยร้ายแรงสองรายการใน PHP ส่งผลกระทบต่อเว็บไซต์และบริการออนไลน์อย่างน้อย 1,090 แห่ง โดย ณ วันที่ 26 ตุลาคม 2026 ยังไม่มีประกาศยืนยันการกลับมาเปิดให้บริการของหลายร้อยแห่ง ผลกระทบครอบคลุมทั้งการซื้อสินค้าออนไลน์ การทำธุรกรรมบัญชีการเงิน บริการดูแลเด็ก และเกม ขณะที่ผู้ให้บริการติดตั้งแพตช์และตรวจสอบความปลอดภัยของระบบก่อนเชื่อมต่อกลับ

Assured บริษัทในกรุงโตเกียวที่ให้ข้อมูลการประเมินความปลอดภัยสำหรับบริการคลาวด์ นับพบการระงับบริการ 1,090 แห่ง ณ เวลา 15.00 น. วันที่ 26 ตุลาคม การวิเคราะห์อาศัยข้อมูลเป็นหลักจากโพสต์ประกาศปิดบริการของบัญชีทางการบน X ตัวเลขดังกล่าวเพิ่มจาก 502 แห่งเมื่อเวลา 14.00 น. วันที่ 23 ตุลาคม หรือเพิ่มขึ้น 588 แห่ง คิดเป็นประมาณ 117% ในเวลาราวสามวัน

Assured ยังไม่พบประกาศการกลับมาเปิดให้บริการของ 465 แห่ง หรือประมาณ 43% ของบริการที่บันทึกว่าระงับให้บริการ ตัวเลขนี้ติดตามจากประกาศสาธารณะ ดังนั้นจึงยังต้องตรวจสอบสถานะล่าสุดของบริการทั้ง 465 แห่งกับผู้ให้บริการ

Bandai Namco Holdings คาดว่าจะเปิดร้านค้าออนไลน์ที่จำหน่ายของเล่นและสินค้าอื่น ๆ อีกครั้งในเวลาเที่ยงวันที่ 27 ตุลาคม หลังเริ่มปิดปรับปรุงตั้งแต่ค่ำวันที่ 21 ตุลาคม ส่วนการเชื่อมต่อออนไลน์ของเกมอาร์เคด รวมถึง Taiko no Tatsujin ยังคงถูกระงับ ที่ Daiwa Securities ฟังก์ชันบางส่วนของเว็บไซต์กลับมาใช้งานได้แล้ว แต่เมื่อเวลา 17.00 น. วันที่ 26 ตุลาคม การสมัครเปิดบัญชีลงทุน NISA และขั้นตอนต่าง ๆ เช่น การเปลี่ยนที่อยู่ ยังไม่สามารถใช้บริการได้

ช่องโหว่ PHP2shell ทำอะไรได้บ้าง

สำนักงานส่งเสริมเทคโนโลยีสารสนเทศแห่งญี่ปุ่น หรือ IPA ระบุช่องโหว่ดังกล่าวในชื่อ CVE-2026-109618 และ CVE-2026-109619 ในประกาศเตือนความปลอดภัย PHPเมื่อวันที่ 22 ตุลาคม เมื่อนำช่องโหว่ทั้งสองรายการมาใช้ร่วมกันจะเรียกว่า PHP2shell PHP เป็นซอฟต์แวร์ที่ใช้ขับเคลื่อนเว็บไซต์และเว็บแอปพลิเคชันจำนวนมาก โดยประมวลผลบนเซิร์ฟเวอร์ก่อนส่งข้อมูลไปยังเบราว์เซอร์ของผู้ใช้

CVE-2026-109618 เกี่ยวข้องกับการจัดการข้อผิดพลาดเมื่อ PHP ใช้หน่วยความจำจนหมด ส่วน CVE-2026-109619 เกี่ยวข้องกับการประมวลผลคำขอที่ส่งไปยังเซิร์ฟเวอร์ การใช้ประโยชน์จากช่องโหว่เหล่านี้อาจเปิดทางให้ผู้โจมตีจากระยะไกลสั่งรันโค้ดใด ๆ ก็ได้ ซึ่งหมายถึงคำสั่งที่ผู้โจมตีเลือก ไม่ใช่ผู้ดูแลเว็บไซต์

JPCERT/CC ซึ่งเป็นหน่วยงานประสานงานเหตุการณ์ความปลอดภัยคอมพิวเตอร์ของญี่ปุ่น ระบุว่าโค้ดดังกล่าวอาจทำงานภายใต้สิทธิ์ของกระบวนการ PHP กล่าวให้ง่ายคือ ผู้โจมตีอาจทำสิ่งต่าง ๆ ได้ตามสิทธิ์ที่ซอฟต์แวร์ซึ่งขับเคลื่อนเว็บไซต์ได้รับ ขอบเขตความเสียหายขึ้นอยู่กับสิทธิ์และการตั้งค่าของระบบที่ได้รับผลกระทบ

IPA แนะนำให้องค์กรตรวจสอบข้อมูลจากผู้พัฒนาหรือผู้ให้บริการผลิตภัณฑ์ที่ใช้งาน เนื่องจาก PHP อาจเป็นส่วนหนึ่งของแอปพลิเคชันหรือบริการขนาดใหญ่ JPCERT/CC ยังเตือนด้วยว่า PHP ที่มาพร้อมผลิตภัณฑ์ซอฟต์แวร์หรือดิสทริบิวชัน Linux อาจได้รับผลกระทบเช่นกัน ดังนั้นแนวทางจากผู้จำหน่ายจึงเป็นส่วนหนึ่งของการรับมือ

การระงับบริการขยายวงอย่างไร

ผู้ให้บริการเริ่มนำระบบออกจากระบบออนไลน์เมื่อวันที่ 21 ตุลาคม ก่อนที่อัปเดตความปลอดภัยจะพร้อมให้ใช้งานในเวลาประมาณ 23.00 น. ตามเวลาญี่ปุ่น บางรายดำเนินการล่วงหน้าก่อนการเผยแพร่ ซึ่งอาจทำให้รายละเอียดช่องโหว่ที่เปิดเผยต่อสาธารณะเพิ่มความเสี่ยงจากการโจมตี

ลำดับเหตุการณ์แสดงให้เห็นว่าอัปเดตซอฟต์แวร์เร่งด่วนกลายเป็นการหยุดชะงักที่ยืดเยื้อหลายวันได้อย่างไร:

• 21 ตุลาคม: BASE, Codmon, Pixiv, DMM.com, niconico และบริการบางส่วนของ Sakura Internet เข้าสู่ช่วงปิดปรับปรุงหรือระงับฟังก์ชัน เกมอย่าง Granblue Fantasy และ Uma Musume Pretty Derby ก็หยุดให้บริการชั่วคราวเช่นกัน
• 21 ตุลาคม เวลา 21.55 น.: นายกรัฐมนตรี Sanae Takaichi เรียกร้องให้เร่งเตรียมติดตั้งแพตช์ และระบุว่าการระงับเว็บไซต์ชั่วคราวเป็นทางเลือกเมื่อไม่สามารถติดตั้งได้ทันที
• 21 ตุลาคม เวลาประมาณ 23.00 น.: อัปเดตความปลอดภัย PHP เผยแพร่
• 22 ตุลาคม: IPA และ JPCERT/CC เผยแพร่ประกาศเตือน อธิบายช่องโหว่และแนวทางรับมือที่แนะนำ
• 23 ตุลาคม: Assured นับพบการระงับบริการ 502 แห่ง ขณะเดียวกันนักพัฒนา PHP เปิดเผยช่องโหว่อีกรายการ คือ CVE-2026-115560
• 26 ตุลาคม: ยอดรวมของ Assured เพิ่มเป็น 1,090 แห่ง ขณะที่ JPCERT/CC ปรับปรุงคำเตือนโดยระบุว่ามีรายงานความพยายามใช้ประโยชน์จากช่องโหว่
• 27 ตุลาคม เวลาเที่ยง: Bandai Namco คาดว่าจะเปิดร้านค้าออนไลน์ที่จำหน่ายของเล่นและสินค้าอื่น ๆ อีกครั้ง

เหตุใดการนำเว็บไซต์ออกจากระบบออนไลน์จึงเป็นทางเลือก

สำนักงานความมั่นคงปลอดภัยไซเบอร์แห่งชาติของญี่ปุ่นแนะนำว่า การระงับเว็บไซต์ชั่วคราวอาจช่วยลดความเสี่ยงได้เมื่อผู้ให้บริการไม่สามารถติดตั้งแพตช์ได้ทันที Takaichi กล่าวย้ำถึงทางเลือกนี้ในการเรียกร้องเมื่อวันที่ 21 ตุลาคม CERT-EU และศูนย์ความมั่นคงปลอดภัยไซเบอร์แห่งชาติของสหราชอาณาจักรก็เรียกร้องให้ดำเนินการ และระบุว่าการนำระบบออกจากออนไลน์จนกว่าจะมีมาตรการป้องกันพร้อมใช้เป็นแนวทางรับมือที่อาจพิจารณาได้

แนวทางของ IPA กำหนดลำดับทางเลือกไว้ องค์กรควรพิจารณามาตรการป้องกันชั่วคราวและจำกัดการเข้าถึงก่อน ระหว่างเตรียมอัปเดตหรือย้ายระบบ หากทำมาตรการชั่วคราวที่มีประสิทธิภาพได้ยาก ควรประเมินว่าจะปิดกั้นการเข้าถึงจากภายนอกหรือระงับบริการหรือไม่ โดยคำนึงถึงความเสียหายที่อาจเกิดขึ้นและผลกระทบต่อธุรกิจ

สำหรับลูกค้า การตัดสินใจดังกล่าวหมายถึงการเข้าใช้งานฟังก์ชันประจำวันไม่ได้ระหว่างที่ผู้ให้บริการดำเนินงาน เว็บไซต์ช็อปปิงอาจหยุดรับคำสั่งซื้อ เว็บไซต์การเงินอาจระงับขั้นตอนเกี่ยวกับบัญชี และเครื่องอาร์เคดอาจขาดการเชื่อมต่อกับฟีเจอร์ออนไลน์

Yasuhiro Suzuki ผู้เป็นหัวหน้าการสอบสวนของ Assured ระบุว่า ผู้ให้บริการเลือกระงับบริการมากขึ้นเพื่อปกป้องข้อมูลลูกค้า ขณะที่การกลับมาเปิดบริการอย่างล่าช้าแสดงให้เห็นว่าการเปิดระบบอีกครั้งอย่างปลอดภัยทำได้ยากเพียงใด การประเมินของเขาสะท้อนปัญหาหลักในการดำเนินงานว่า การปิดการเข้าถึงทำได้รวดเร็ว แต่การเปิดกลับต้องรอให้งานที่จำเป็นเสร็จสมบูรณ์

การติดตั้งแพตช์เป็นเพียงส่วนหนึ่งของการเปิดบริการอีกครั้ง

ผลกระทบที่เกิดกับ Bandai Namco แสดงให้เห็นว่าเหตุใดบริการต่าง ๆ ในเครือบริษัทเดียวกันจึงกลับมาเปิดในเวลาต่างกัน กลุ่มบริษัทคาดว่าจะเปิดร้านจำหน่ายสินค้าอีกครั้งในวันที่ 27 ตุลาคม ขณะที่การเชื่อมต่อของเกมอาร์เคดยังคงถูกระงับ การอัปเดตระบบที่จำเป็นต่อการติดตั้งแพตช์ PHP ต้องใช้เวลา

บริการบางแห่งยังพิจารณาย้ายข้อมูลไปยังเซิร์ฟเวอร์ของบริษัทอื่นเป็นการชั่วคราว ซึ่งตรวจสอบความปลอดภัยแล้ว การดำเนินการนี้จะเปลี่ยนสถานที่ที่บริการทำงานระหว่างทีมงานจัดการสภาพแวดล้อมที่ได้รับผลกระทบ และเพิ่มขั้นตอนเตรียมความพร้อมอีกชุดก่อนที่ลูกค้าจะกลับมาใช้บริการได้

Daiwa Securities กู้คืนเว็บไซต์บางส่วนแล้ว รวมถึงหน้าคำถามที่พบบ่อย แต่เมื่อวันที่ 26 ตุลาคม การสมัครบัญชีและการเปลี่ยนที่อยู่ยังใช้บริการไม่ได้ ดังนั้นหน้าข้อมูลที่ใช้งานได้จึงยังคงอยู่ควบคู่กับขั้นตอนบริการลูกค้าที่หยุดชะงัก

IPA อธิบายว่า ระบบที่ไม่ได้รับอัปเดตเป็นเวลานานอาจต้องแก้ไขโค้ดแอปพลิเคชัน และตรวจสอบว่าฟังก์ชันต่าง ๆ ยังทำงานได้หลังอัปเดต PHP หรือไม่ การขาดเอกสารการพัฒนา บุคลากรที่มีความรู้เกี่ยวกับระบบ และสัญญาบำรุงรักษาที่หมดอายุ ล้วนทำให้งานยากขึ้น JPCERT/CC แนะนำให้ทดสอบอย่างเพียงพอ แล้วติดตั้งเวอร์ชันที่แก้ไขแล้วโดยเร็ว

เวอร์ชันใดบ้างที่ต้องตรวจสอบ

IPA และ JPCERT/CC ระบุ PHP สี่เวอร์ชันที่แก้ไขช่องโหว่สองรายการแรก ได้แก่ PHP 8.2.35, 8.3.36, 8.4.27 และ 8.5.12 เวอร์ชันก่อนหน้าในแต่ละสายเวอร์ชันได้รับผลกระทบ ผู้ให้บริการต้องเลือกแพตช์ให้ตรงกับสายเวอร์ชัน PHP ที่ระบบใช้อยู่ และตรวจสอบแนวทางจากผู้ให้บริการซอฟต์แวร์หรือระบบปฏิบัติการ

ระบบติดตั้งรุ่นเก่ายังมีปัญหาเพิ่มเติม IPA อ้างถึงผลการตรวจสอบของ Wiz บริษัทด้านความปลอดภัย ซึ่งพบว่าเวอร์ชันตั้งแต่ PHP 5.4 เป็นต้นไปได้รับผลกระทบจากช่องโหว่อย่างน้อยหนึ่งรายการ PHP 8.1 และเวอร์ชันก่อนหน้านั้นสิ้นสุดระยะเวลาการสนับสนุนแล้ว หมายความว่าจะไม่ได้รับการบำรุงรักษาตามปกติเช่นเดียวกับเวอร์ชันที่ยังอยู่ในระยะสนับสนุน

IPA แนะนำให้ย้ายไปใช้ PHP เวอร์ชันที่ยังได้รับการสนับสนุน หรือใช้ผลิตภัณฑ์และบริการที่มีมาตรการป้องกัน หากไม่มีแพตช์ให้ใช้งาน JPCERT/CC ระบุเพิ่มเติมว่า นักพัฒนา PHP จัดทำมาตรการบรรเทาความเสี่ยงแบบจำกัดสำหรับ PHP 7.4, 8.0 และ 8.1 เนื่องจากช่องโหว่มีความร้ายแรง

มาตรการบรรเทาความเสี่ยงชั่วคราวช่วยลดการเปิดรับการโจมตีผ่านช่องทางบางประเภท JPCERT/CC ระบุว่าการอัปเดตเป็นวิธีแก้ไขช่องโหว่เดิม ดังนั้นองค์กรที่ใช้การตั้งค่าชั่วคราวยังต้องวางแผนอัปเดตซอฟต์แวร์หรือย้ายระบบตามที่ระบบของตนจำเป็นต้องใช้

ความพยายามโจมตีเพิ่มความเร่งด่วน

การปรับปรุงคำแนะนำด้านช่องโหว่ PHPของ JPCERT/CC เมื่อวันที่ 26 ตุลาคม ระบุว่ามีโค้ดตัวอย่างจำนวนมากที่อ้างว่าใช้ประโยชน์จากช่องโหว่เหล่านี้ปรากฏขึ้น นอกจากนี้ยังกล่าวถึงรายงานซ้ำหลายครั้งเกี่ยวกับทราฟฟิกเครือข่ายที่พยายามใช้ช่องโหว่

ความพยายามดังกล่าวจะสำเร็จหรือไม่ขึ้นอยู่กับปัจจัยต่าง ๆ เช่น เวอร์ชัน PHP สภาพแวดล้อมการทำงาน และการจัดวางข้อมูลในหน่วยความจำ JPCERT/CC เตือนว่าอาจมีวิธีโจมตีเพิ่มเติมและเทคนิคที่มุ่งเป้าไปยังสภาพแวดล้อมเฉพาะเกิดขึ้น พร้อมแนะนำให้อัปเดตและตรวจสอบว่าระบบถูกเจาะหรือไม่

แนวทางการตรวจสอบของหน่วยงานรวมถึงการค้นหาคุกกี้ PHPSESSID ที่ยาวผิดปกติหรือมีรูปแบบแปลก ๆ ซึ่งเก็บข้อมูลที่ใช้ระบุเซสชันของเบราว์เซอร์ สัญญาณเตือนอื่น ๆ ได้แก่ คำขอต้องสงสัยที่ใช้ multipart/form-data ซึ่งเป็นรูปแบบที่มักใช้สำหรับอัปโหลด โดยเฉพาะเมื่อเกิดใกล้กับข้อผิดพลาดหน่วยความจำเต็ม หรือข้อผิดพลาด HTTP 500 ที่บ่งชี้ปัญหาของเซิร์ฟเวอร์

การหยุดทำงานที่ไม่คาดคิดหรือการเริ่มกระบวนการทำงานของ PHP ใหม่บ่อยครั้งก็เป็นอีกประเด็นที่ควรตรวจสอบ กระบวนการทำงานเหล่านี้คือส่วนที่จัดการงานขาเข้า JPCERT/CC ยังแนะนำให้ตรวจสอบกระบวนการที่น่าสงสัย การสื่อสารกับภายนอก และไฟล์ที่สร้างขึ้นใหม่ พร้อมติดตามระบบอย่างต่อเนื่อง หากสงสัยว่าถูกเจาะ หน่วยงานแนะนำให้เก็บรักษาบันทึกการทำงานและหลักฐานอื่น ๆ ตรวจสอบพื้นที่ที่ได้รับผลกระทบ และแยกระบบออกตามความจำเป็น

ช่องโหว่รายการที่สามต้องปรับการตั้งค่า

นักพัฒนา PHP เปิดเผย CVE-2026-115560 เมื่อวันที่ 23 ตุลาคม ทำให้มีงานเพิ่มเติมระหว่างการรับมือ JPCERT/CC ระบุว่าช่องโหว่นี้อาจเปิดทางให้รันโค้ดใด ๆ ก็ได้ เมื่อมีการตั้งค่าและโค้ดแอปพลิเคชันบางอย่างประกอบกัน

นักพัฒนาระบุว่าการตั้งค่าที่ได้รับผลกระทบพบได้ไม่บ่อย และวางแผนแก้ไขในรอบการเผยแพร่ตามปกติ ระหว่างรอการเผยแพร่ดังกล่าว JPCERT/CC ถ่ายทอดคำแนะนำให้ตั้งค่า session.upload_progress.enabled=0 และเริ่มกระบวนการทำงานทุกตัวใหม่ การปรับปรุงคำเตือนเมื่อวันที่ 26 ตุลาคมไม่ได้ระบุวันเผยแพร่แพตช์

ก่อนหน้านี้มีการแนะนำให้ใช้การตั้งค่าเดียวกันนี้เป็นมาตรการบรรเทาความเสี่ยงสำหรับ CVE-2026-109619 ตามคำแนะนำ ผู้ให้บริการที่ตั้งค่านี้แล้วไม่จำเป็นต้องทำขั้นตอนดังกล่าวซ้ำ ทีมงานยังต้องคำนึงถึงช่องโหว่สองรายการแรกและปัญหาเพิ่มเติมนี้เมื่อตรวจสอบระบบ

บางองค์กรต้องตัดสินใจในวงกว้างกว่าเดิม

คำแนะนำของ IPA ครอบคลุมมากกว่าการซ่อมแซมเร่งด่วน โดยขอให้องค์กรพิจารณาว่าระบบยังมีบทบาทอะไร มีผู้ใช้งานมากน้อยเพียงใด และบริการอื่นสามารถใช้ทดแทนได้หรือไม่ สำหรับซอฟต์แวร์ที่ขาดการบำรุงรักษา การเปิดบริการอีกครั้งอาจต้องตัดสินใจด้วยว่าจะมีใครคอยสนับสนุนระบบต่อไป

IPA ระบุว่า ผู้จัดการธุรกิจและผู้บริหารควรประเมินร่วมกับเจ้าหน้าที่เทคนิคว่าองค์กรจัดหาบุคลากร งบประมาณ และแนวทางการบำรุงรักษาที่จำเป็นต่อการอัปเดตหรือย้ายระบบ รวมถึงการดำเนินงานต่อเนื่องได้หรือไม่ หากมีทรัพยากรสนับสนุนเพียงพอ หน่วยงานแนะนำให้ดำเนินการอัปเดตหรือย้ายไปใช้บริการที่มีการป้องกัน

หากไม่สามารถจัดให้มีการบำรุงรักษาต่อเนื่องได้ IPA ระบุทางเลือกอื่นไว้ ได้แก่ ย้ายไปใช้ผลิตภัณฑ์ที่มีบริการสนับสนุน ลดฟังก์ชันการทำงาน ยุติการเข้าถึงจากสาธารณะ หรือเลิกใช้ระบบ นอกจากนี้ยังเรียกร้องให้จัดทำแผนเก็บรักษาหรือถ่ายโอนข้อมูลที่จำเป็น และชี้แจงทางเลือกอื่นให้ผู้ใช้ทราบ

ความท้าทายในทางปฏิบัติขณะนี้ครอบคลุมตั้งแต่การติดตั้ง PHP รุ่นที่ระบุ ไปจนถึงการกู้คืนฟังก์ชันสำหรับลูกค้าแต่ละรายการ การเปิดร้านค้าของ Bandai Namco ตามกำหนดเป็นหนึ่งในขั้นตอนที่วางแผนไว้ ขณะที่บริการ 465 แห่งซึ่งยังไม่มีประกาศยืนยันการกลับมาเปิดตามข้อมูลของ Assured สะท้อนให้เห็นว่าเมื่อวันที่ 26 ตุลาคม ยังมีบริการอีกมากที่ต้องติดตามสถานะจากประกาศสาธารณะ

ประเด็นสำคัญ

• Assured นับพบการระงับบริการในญี่ปุ่น 1,090 แห่ง ณ เวลา 15.00 น. วันที่ 26 ตุลาคม เพิ่มจาก 502 แห่งเมื่อวันที่ 23 ตุลาคม
• ยังไม่มีการยืนยันประกาศกลับมาเปิดให้บริการของ 465 แห่ง หรือประมาณ 43% ของทั้งหมด
• ช่องโหว่ PHP2shell อาจเปิดทางให้ผู้โจมตีจากระยะไกลรันโค้ดภายใต้สิทธิ์ของกระบวนการ PHP
• เวอร์ชันที่แก้ไขช่องโหว่สองรายการแรกแล้ว ได้แก่ PHP 8.2.35, 8.3.36, 8.4.27 และ 8.5.12
• JPCERT/CC เตือนว่ามีการเผยแพร่โค้ดตัวอย่างและมีรายงานความพยายามใช้ประโยชน์จากช่องโหว่
• ช่องโหว่รายการที่สามต้องปรับการตั้งค่าชั่วคราวและเริ่มกระบวนการทำงานทุกตัวใหม่ระหว่างเตรียมแพตช์
• Bandai Namco คาดว่าจะเปิดร้านจำหน่ายสินค้าอีกครั้งในเวลาเที่ยงวันที่ 27 ตุลาคม ส่วนการเชื่อมต่อเกมอาร์เคดและขั้นตอนบางอย่างของ Daiwa Securities ยังคงถูกระงับเมื่อวันที่ 26 ตุลาคม