สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) เร่งแจ้งเตือนหน่วยงานทั่วประเทศให้ตรวจสอบระบบ หลังมีการเปิดเผยช่องโหว่ระดับวิกฤตในภาษา PHP สองรายการ ได้แก่ CVE-2026-109618 และ CVE-2026-109619 ซึ่งเรียกรวมกันว่า PHP2Shell ช่องโหว่ทั้งสองอาจเปิดโอกาสให้ผู้โจมตีสั่งให้เซิร์ฟเวอร์ทำงานตามโค้ดจากระยะไกลได้โดยไม่ต้องผ่านการยืนยันตัวตน
คำเตือนมีขึ้นเมื่อวันที่ 22 ตุลาคม 2569 หลังโครงการ PHP เผยแพร่รุ่นแก้ไขฉุกเฉินในวันที่ 21 ตุลาคม เวลา 13.30 น. UTC ช่องโหว่นี้สำคัญต่อไทยเพราะ PHP ถูกใช้เป็นระบบเบื้องหลังเว็บไซต์ เว็บแอปพลิเคชัน ระบบร้านค้าออนไลน์ และระบบจัดการเนื้อหาจำนวนมาก ผู้ใช้อาจไม่เห็นคำว่า PHP บนหน้าเว็บ แต่เซิร์ฟเวอร์ด้านหลังอาจใช้เทคโนโลยีนี้ประมวลผลการเข้าสู่ระบบ แบบฟอร์ม การอัปโหลดไฟล์ และฐานข้อมูล
สกมช. ระบุว่า ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ หรือ ThaiCERT ได้เริ่มมาตรการเชิงรุกตั้งแต่ช่วงเช้าของวันที่ 22 ตุลาคม ประกอบด้วยการแจ้งเตือนหน่วยงานรัฐ หน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ และเครือข่าย Sectoral CERT ให้เร่งสำรวจระบบที่เปิดบริการผ่านอินเทอร์เน็ต ประเมินความเสี่ยง เฝ้าระวังพฤติกรรมโจมตี และติดตามการติดตั้งแพตช์กับเหตุการณ์ผิดปกติอย่างต่อเนื่อง
CERT‑EU ประเมินช่องโหว่ทั้งสองที่ระดับ 9.2 ตามมาตรฐาน CVSS 4.0 และอธิบายว่า ความผิดพลาดอยู่ในกลไกภายในของ PHP เอง ไม่ได้จำกัดอยู่ที่ปลั๊กอินหรือเว็บแอปตัวใดตัวหนึ่ง ช่องโหว่แรกเกี่ยวข้องกับการจัดการหน่วยความจำเมื่อระบบใช้หน่วยความจำเกินขีดจำกัด ส่วนช่องโหว่ที่สองเกี่ยวข้องกับสถานะภายในที่หลงเหลือจากคำขอก่อนหน้า ความผิดพลาดเหล่านี้อาจถูกใช้เพื่อรันโค้ดบนเซิร์ฟเวอร์ก่อนที่โค้ดของเว็บแอปจะเริ่มทำงานด้วยซ้ำ
รุ่นที่แก้ไขแล้วคือ PHP 8.5.12, 8.4.27, 8.3.36 และ 8.2.35 ผู้ดูแลระบบควรตรวจรุ่น PHP ที่ใช้งานจริงในทุกจุด ไม่ใช่เฉพาะเซิร์ฟเวอร์หลัก แต่รวมถึงคอนเทนเนอร์ อิมเมจสำรอง ระบบทดสอบ งานตามเวลา และเครื่องที่ซ่อนอยู่หลังพร็อกซี หากใช้แพ็กเกจจาก Linux distribution หรือผู้ให้บริการโฮสติ้ง ควรติดตั้งอัปเดตจากผู้จำหน่ายและยืนยันว่าบริการถูกรีสตาร์ตด้วยรุ่นใหม่แล้ว
เว็บไซต์ที่ยังใช้ PHP 8.1 หรือต่ำกว่าต้องระวังเป็นพิเศษ เพราะเป็นสายรุ่นที่หมดอายุการสนับสนุนจากโครงการ PHP แล้ว ผู้จำหน่ายระบบปฏิบัติการหรือบริการ LTS บางรายอาจมีแพตช์ย้อนหลังให้ แต่เจ้าของเว็บไซต์ต้องตรวจสอบกับผู้ให้บริการโดยตรง ทางเลือกที่ปลอดภัยในระยะยาวคือย้ายไปยัง PHP รุ่นที่ยังได้รับการสนับสนุนและผ่านการทดสอบร่วมกับเว็บไซต์เดิม
CERT‑EU ย้ำว่า การอัปเดตเป็นวิธีแก้ไขที่สมบูรณ์ หากยังแพตช์ไม่ได้ ควรพิจารณาแยกเว็บหรือบริการที่หันออกสู่อินเทอร์เน็ตออกจากเครือข่ายสาธารณะชั่วคราวจนกว่าจะติดตั้งและตรวจสอบแพตช์แล้ว มาตรการอย่างไฟร์วอลล์เว็บหรือการจำกัดคำขอช่วยลดความเสี่ยงบางเส้นทางได้ แต่ไม่ควรถูกมองว่าแทนการอัปเดต PHP ได้
ข่าวนี้กำลังเป็นกระแสทั่วโลกเพราะรายละเอียดทางเทคนิคและตัวอย่างพิสูจน์แนวคิดเริ่มเผยแพร่สู่สาธารณะ ทำให้โอกาสเกิดการสแกนหาเซิร์ฟเวอร์ที่ยังไม่ได้อัปเดตเพิ่มขึ้น Google Cloud ระบุว่าช่องโหว่อาจนำไปสู่การรันโค้ดโดยไม่ยืนยันตัวตนและการเปิดเผยข้อมูลในหน่วยความจำ พร้อมแนะนำให้ลูกค้าที่รัน PHP อัปเดตและนำบริการขึ้นใหม่ทันที สำหรับระบบคลาวด์บางแบบ แพตช์อาจติดตั้งอัตโนมัติ แต่คอนเทนเนอร์หรือรันไทม์ที่ผู้ใช้สร้างเองยังเป็นความรับผิดชอบของเจ้าของระบบ
เจ้าของเว็บทั่วไปที่ใช้ shared hosting ควรสอบถามผู้ให้บริการว่าเซิร์ฟเวอร์ได้รับแพตช์เป็นรุ่นใดและเมื่อใด พร้อมสำรองข้อมูลก่อนการเปลี่ยนแปลง ตรวจบันทึกเหตุการณ์ย้อนหลัง และเปลี่ยนรหัสผ่านหรือคีย์สำคัญหากพบสัญญาณผิดปกติ ส่วนผู้ใช้อินเทอร์เน็ตทั่วไปไม่สามารถแก้ PHP ที่เซิร์ฟเวอร์ได้โดยตรง แต่ควรระวังหน้าเว็บปลอม การเปลี่ยนเส้นทางผิดปกติ และไม่กรอกข้อมูลสำคัญในเว็บไซต์ที่มีพฤติกรรมแปลกไปจากเดิม
สิ่งที่ต้องจับตาต่อคือจำนวนระบบไทยที่อัปเดตสำเร็จ การตรวจพบความพยายามโจมตีจริง และคำแนะนำเพิ่มเติมจาก ThaiCERT ผู้ดูแลระบบควรติดตามประกาศจากแหล่งทางการ ไม่ดาวน์โหลดแพตช์จากลิงก์ที่ไม่น่าเชื่อถือ และเก็บหลักฐานบันทึกระบบหากสงสัยว่าถูกบุกรุก เพราะการรีบอัปเดตโดยไม่ตรวจสอบร่องรอยอาจทำให้พลาดหลักฐานสำคัญในการสอบสวน
แหล่งข้อมูล: - รัฐบาลไทย: https://www.thaigov.go.th/th/news/170442 - CERT‑EU: https://cert.europa.eu/publications/security-advisories/2026-018 - Google Cloud: https://cloud.google.com/blog/products/identity-security/responding-to-core-php-vulnerabilities-cve-2026-109618-cve-2026-109619
